Release von Chrome 92

Google hat die Veröffentlichung des Webbrowsers Chrome 92 bekannt gegeben. Gleichzeitig ist auch eine stabile Version des freien Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Der Browser Chrome zeichnet sich durch die Verwendung von Google-Logos aus, bietet ein System zur Benachrichtigung im Falle eines Absturzes, Module zur Wiedergabe geschützten Videoinhalts (DRM), ein automatisches Update-System und die Übertragung von RLZ-Parametern bei der Suche. Die nächste Version von Chrome 93 ist für den 31. August geplant.

Wesentliche Änderungen in Chrome 92:

• In die Einstellungen wurden Werkzeuge zur Verwaltung der Aktivierung von Komponenten des Privacy Sandbox hinzugefügt. Benutzer haben die Möglichkeit, die von Google entwickelte FLoC-Technologie (Federated Learning of Cohorts) zu deaktivieren, die Tracker-Cookies durch „Kohorten“ ersetzt, die es ermöglichen, Benutzer mit ähnlichen Interessen zu gruppieren, ohne Einzelpersonen zu identifizieren. Kohorten werden im Browser mithilfe von Algorithmen für maschinelles Lernen auf Basis von Besuchshistorie und den im Browser geöffneten Inhalten berechnet.
• Für Nutzer von Desktop-Systemen ist standardmäßig der Back-forward Cache aktiviert, der einen sofortigen Zugriff beim Nutzen der Tasten 'Zurück' und 'Vorwärts' oder beim Navigieren zu zuvor besuchten Seiten der aktuellen Website ermöglicht. Zuvor war der Back-forward Cache nur in Builds für die Android-Plattform verfügbar.
• Die Isolierung von Websites und Erweiterungen in verschiedenen Prozessen wurde verstärkt. Während der Mechanismus der Site-Isolierung zuvor dafür sorgte, dass Websites voneinander in unterschiedlichen Prozessen isoliert waren und alle Erweiterungen in einen separaten Prozess ausgelagert wurden, ermöglicht die neue Version nun die Trennung der Browsererweiterungen untereinander, indem jede Erweiterung in einen eigenen Prozess verschoben wird. Dies schafft eine zusätzliche Barriere zum Schutz vor schädlichen Erweiterungen.
• Die Leistung und Effizienz der Phishing-Erkennung wurde erheblich gesteigert. Die Geschwindigkeit der Phishing-Erkennung basierend auf der lokalen Bildanalyse hat in der Hälfte der Fälle um bis zu 50-fach zugenommen, während sie in 99 % der Fälle mindestens um das 2,5-Fache schneller war. Im Durchschnitt hat sich die Klassifikationszeit für Phishing-Bilder von 1,8 Sekunden auf 100 ms verkürzt. Insgesamt wurde die CPU-Belastung durch alle Renderprozesse um 1,2 % reduziert.
• Zu den gesperrten Netzwerkports wurden die Ports 989 (ftps-data) und 990 (ftps) hinzugefügt. Zuvor waren bereits die Ports 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 und 10080 blockiert. Für die auf der schwarzen Liste stehenden Ports wird der Versand von HTTP-, HTTPS- und FTP-Anfragen blockiert, um Angriffe durch NAT-Slipstreaming zu verhindern. Diese Angriffe ermöglichen es, durch das Öffnen von speziell präparierten Webseiten im Browser eine Netzwerkverbindung vom angreifenden Server zu einem beliebigen UDP- oder TCP-Port des Benutzers herzustellen, unabhängig von der Verwendung interner Adressbereiche (192.168.x.x, 10.x.x.x).
• Es wurde eine Anforderung zur Anwendung der Zwei-Faktor-Authentifizierung für Entwickler eingeführt, die neue Erweiterungen oder Versionsupdates im Chrome Web Store veröffentlichen.
• Es wird sichergestellt, dass bereits installierte Erweiterungen im Browser deaktiviert werden, wenn sie aufgrund von Regelverstößen aus dem Chrome Web Store entfernt werden.
• Beim Senden von DNS-Anfragen, bei Verwendung klassischer DNS-Server, werden zusätzlich zu den "A"- und "AAAA"-Einträgen jetzt auch DNS-Einträge vom Typ "HTTPS" abgefragt, durch die Parameter übermittelt werden, die die Einrichtung von HTTPS-Verbindungen beschleunigen, wie Protokolleinstellungen, TLS-ClientHello-Verschlüsselungsschlüssel und eine Liste von Alias-Subdomains. IP-Adressen Aus Iframe-Blöcken, die von Domains geladen werden, die von der aktuellen Seite abweichen, ist der Aufruf der JavaScript-Dialoge window.alert, window.confirm und window.prompt verboten. Diese Änderung wird die Benutzer vor Missbrauch schützen, indem versucht wird, eine externe Benachrichtigung als Anfrage der Hauptwebsite darzustellen.
• Auf der Seite eines neuen Tabs wird eine Liste der am häufigsten verwendeten Dokumente angezeigt, die in Google Drive gespeichert sind. DomänenEs wird die Möglichkeit bereitgestellt, den Namen und das Symbol für PWA-Anwendungen (Progressive Web Apps) zu ändern.
• Auf der Seite eines neuen Tabs wird eine Liste der gefragtesten Dokumente angezeigt, die in Google Drive gespeichert sind.
• Es besteht die Möglichkeit, den Namen und das Symbol für PWA-Anwendungen (Progressive Web Apps) zu ändern.
• Für eine begrenzte Anzahl von Webformularen, die mit der Eingabe von Adressen oder Kreditkartennummern zusammenhängen, wird experimentell die Anzeige von Autocomplete-Empfehlungen deaktiviert.
• In der Desktop-Version wurde die Bildsuche (Punkt „Bild finden“ im Kontextmenü) auf den Google Lens-Dienst umgestellt, anstelle der üblichen Google-Suchmaschine. Wenn der Benutzer auf die entsprechende Schaltfläche im Kontextmenü klickt, wird er auf eine separate Webanwendung weitergeleitet.
• Im Inkognito-Modus sind die Links zur Besuchshistorie verborgen (diese Links sind unnötig, da sie zu einem Platzhalter führten, der anzeigt, dass keine Historie gesammelt wird).
• Neue Befehle wurden hinzugefügt, die bei der Eingabe in die Adressleiste verstanden werden. Zum Beispiel reicht es aus, „safety check“ einzugeben, um die Schaltfläche für den schnellen Zugriff auf die Überprüfung der Passwort- und Erweiterungssicherheit zu erhalten; für den Zugriff auf die Sicherheitseinstellungen und die Synchronisation einfach „manage security settings“ und „manage sync“ eingeben.
• Spezifische Änderungen in der Chrome-Version für Android:
  • Im Panel wurde eine neue anpassbare Schaltfläche „Magic Toolbar“ implementiert, die verschiedene Verknüpfungen anzeigt, die auf der aktuellen Aktivität des Nutzers basieren und Links umfasst, die in diesem Moment möglicherweise benötigt werden.
  • Die Implementierung des machine-learning Modells, das auf dem Gerät ausgeführt wird, zur Erkennung von Phishing-Versuchen wurde aktualisiert. Bei der Erkennung von Phishing-Versuchen wird der Browser nun neben der Anzeige einer Warnseite auch Informationen über die Modellversion des maschinellen Lernens, das berechnete Gewicht für jede Kategorie und das Flag zur Anwendung des neuen Modells an den externen Service Safe Browsing senden.
  • Die Einstellung „Ähnliche Seiten anzeigen, wenn eine Seite nicht gefunden werden kann“, die zu Empfehlungen ähnlicher Seiten basierend auf einer Google-Suche führte, wurde entfernt, wenn die Seite nicht gefunden wurde. Diese Einstellung war zuvor bereits aus der Desktop-Version entfernt worden.
  • Die Anwendung des Modus zur Isolierung von Websites in separaten Prozessen wurde erweitert. Aus Gründen des Ressourcenverbrauchs wurden zuvor nur ausgewählte große Websites in separate Prozesse verlagert. In der neuen Version wird die Isolation auch für Websites aktiviert, bei denen der Benutzer sich über OAuth (zum Beispiel durch Anmeldung mit einem Google-Konto) authentifiziert hat oder die den HTTP-Header "Cross-Origin-Opener-Policy" setzen. Für diejenigen, die die Isolierung für alle Websites in separaten Prozessen aktivieren möchten, gibt es die Einstellung „chrome://flags/#enable-site-per-process“.
  • Die im V8-Engine eingebauten Schutzmechanismen gegen Angriffe über seitliche Kanäle wie Spectre wurden deaktiviert, da sie als weniger effektiv angesehen werden als die Isolierung von Websites in separaten Prozessen. In der Desktop-Version wurden diese Mechanismen bereits mit der Veröffentlichung von Chrome 70 deaktiviert.
  • Der Zugriff auf die Berechtigungseinstellungen von Websites, wie z.B. Zugriff auf Mikrofon, Kamera und Standortbestimmung, wurde vereinfacht. Um die Berechtigungen anzuzeigen, reicht es aus, auf das Schloss-Symbol in der Adressleiste zu klicken und dann den Abschnitt „Berechtigungen“ auszuwählen.
• Im Origin Trials-Modus (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Der Origin Trial ermöglicht die Nutzung der angegebenen API aus Anwendungen, die von localhost oder 127.0.0.1 geladen werden, oder nach Registrierung und Erhalt eines speziellen Tokens, das für einen bestimmten Zeitraum für eine bestimmte Website gültig ist.
  • API-Dateihandhabung, die es ermöglicht, Webanwendungen als Dateihandler zu registrieren. Beispielsweise kann eine im PWA-Modus (Progressive Web Apps) betriebene Webanwendung mit einem Texteditor sich als Handler für die Dateitypen „.txt“ registrieren und somit im System-Dateimanager zum Öffnen von Textdateien verwendet werden.
  • API für Shared Element Transitions, die es ermöglicht, von den Browsern bereitgestellte vorgefertigte Effekte zu nutzen, die den Zustand von Benutzeroberflächen in einseitigen (SPA, Single-Page Applications) und mehrseitigen (MPA, Multi-Page Applications) Webanwendungen visualisieren.
• Im CSS-Regel @font-face wurde der Parameter size-adjust hinzugefügt, der es ermöglicht, die Glyphengröße für einen bestimmten Schriftschnitt zu skalieren, ohne den Wert der CSS-Eigenschaft font-size zu ändern (der Bereich unter dem Zeichen bleibt gleich, aber die Glyphengröße in diesem Bereich ändert sich).
• In JavaScript haben die Objekte Array, String und TypedArray die Methode at() implementiert, die eine relative Indizierung ermöglicht (für das Array wird die relative Position als Index angegeben), einschließlich der Angabe negativer Werte relativ zum Ende (zum Beispiel gibt „arr.at(-1)“ das letzte Element des Arrays zurück).
• Im JavaScript-Konstruktor Intl.DateTimeFormat wurde die Eigenschaft dayPeriod hinzugefügt, die es ermöglicht, ungefähre Tageszeiten (morgens, abends, tagsüber, nachts) anzuzeigen.
• Bei der Verwendung von SharedArrayBuffers, die das Erstellen von Arrays im gemeinsamen Speicher ermöglichen, ist jetzt die Definition der HTTP-Header Cross-Origin-Opener-Policy und Cross-Origin-Embedder-Policy erforderlich, andernfalls wird die Anfrage blockiert.
• Im Media Session API wurden die Aktionen „togglemicrophone“, „togglecamera“ und „hangup“ hinzugefügt, die es Websites, die Videokonferenzsysteme implementieren, ermöglichen, eigene Handler für die im Picture-in-Picture-Interface angezeigten Schaltflächen zur Stummschaltung/Aktivierung des Mikrofons, Stummschaltung/Aktivierung der Kamera und zum Beenden des Anrufs anzuhängen.
• Im Web Bluetooth API wurde die Möglichkeit hinzugefügt, gefundene Bluetooth-Geräte nach Hersteller- und Produkt-IDs zu filtern. Der Filter wird über den Parameter „options.filters“ in der Methode Bluetooth.requestDevice() angegeben.
• Die erste Phase der Kürzung des Inhalts des HTTP-Headers User-Agent wurde umgesetzt: In der DevTools-Registerkarte Issues wird jetzt eine Warnung über die Abwertung von navigator.userAgent, navigator.appVersion und navigator.platform angezeigt.
• Eine Reihe von Verbesserungen wurde in die Tools für Webentwickler eingeführt. In der Web-Konsole gibt es jetzt die Möglichkeit, Ausdrücke wie "const" zu überschreiben. Im Elemente-Bereich können Benutzer von iframes eine schnelle Ansicht der Details über das Kontextmenü erhalten, das durch einen Rechtsklick auf das Element angezeigt wird. Außerdem wurde das Debugging von CORS-Fehlern (Cross-Origin Resource Sharing) verbessert. In der Netzwerkaktivitätsinspektionsansicht wurde eine Filterfunktion für Netzwerkrequests aus WebAssembly hinzugefügt. Ein neuer CSS Grid-Editor („display: grid“ und „display: inline-grid“) mit einer Vorschaufunktion für Änderungen wurde vorgestellt.

Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 35 Sicherheitsanfälligkeiten behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen würden, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung im System auszuführen, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung von Entdeckungen von Sicherheitsanfälligkeiten hat Google für die aktuelle Version insgesamt 24 Prämien in Höhe von 112.000 US-Dollar ausgezahlt (darunter zwei Prämien von 15.000 USD, vier Prämien von 10.000 USD, eine Prämie von 8.500 USD, zwei Prämien von 7.500 USD, drei Prämien von 5.000 USD, eine Prämie von 3.000 USD und eine Prämie von 500 USD). Die Höhe von 11 Prämien ist noch nicht festgelegt.

Quelle: opennet.ru