Veröffentlichung von Chrome 93

Google hat die Veröffentlichung des Web-Browsers Chrome 93 bekannt gegeben. Gleichzeitig steht eine stabile Version des Open-Source-Projekts Chromium zur Verfügung, auf dem Chrome basiert. Der Chrome-Browser zeichnet sich durch die Verwendung der Google-Logos, ein System zur Benachrichtigung im Falle eines Absturzes, Module zur Wiedergabe von geschützten Videoinhalten (DRM), ein automatisches Update-System und die Übertragung von RLZ-Parametern bei der Suche aus. Die nächste Version, Chrome 94, ist für den 21. September geplant (die Entwicklung ist auf einen vierwöchigen Release-Zyklus umgestellt).

Wesentliche Änderungen in Chrome 93:

• Das Design des Bereichs mit Seiteninformationen (page info) wurde modernisiert; hier wird nun die Unterstützung für untergeordnete Bereiche realisiert, während die Dropdown-Listen für Berechtigungen durch Schalter ersetzt wurden. In den Listen wird die wichtigste Information zuerst angezeigt. Diese Änderung ist nicht für alle Benutzer aktiv; zur Aktivierung kann die Einstellung „chrome://flags/#page-info-version-2-desktop“ verwendet werden.
• Für einen kleinen Prozentsatz der Benutzer wurde als Experiment das Symbol für eine gesicherte Verbindung in der Adresszeile durch ein neutraleres und weniger zweideutiges Zeichen (das Schloss wurde durch das Zeichen „V“ ersetzt) ersetzt. Für Verbindungen, die ohne Verschlüsselung hergestellt wurden, bleibt das Symbol „nicht gesichert“ sichtbar. Der Grund für die Änderung des Symbols liegt darin, dass viele Benutzer das Schloss-Symbol mit der Vertraulichkeit des Website-Inhalts assoziieren und es nicht als Hinweis auf die Verschlüsselung der Verbindung erkennen. Laut einer Umfrage von Google verstehen lediglich 11 % der Benutzer die Bedeutung des Schloss-Symbols.
• In der Liste der kürzlich geschlossenen Tabs wird der Inhalt geschlossener Tab-Gruppen angezeigt (früher erschien nur der Gruppenname ohne Details), mit der Möglichkeit, sowohl die gesamte Gruppe als auch einzelne Tabs aus der Gruppe wiederherzustellen. Diese Funktion ist nicht für alle Benutzer aktiviert, daher kann es erforderlich sein, die Einstellung „chrome://flags/#tab-restore-sub-menus“ zu ändern, um diese Möglichkeit zu aktivieren.
• Für Unternehmen wurden neue Einstellungen für DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites und JavaScriptJitBlockedForSites implementiert. Diese ermöglichen die Steuerung des JIT-less Modus, der die Anwendung der JIT-Kompilierung bei der Ausführung von JavaScript deaktiviert (es wird nur der Ignition-Interpreter verwendet) und die Zuweisung von ausführbarem Speicher während der Codeausführung untersagt. Die Deaktivierung von JIT kann hilfreich sein, um die Sicherheit im Umgang mit potenziell gefährlichen Webanwendungen zu erhöhen, wobei die Leistung der JavaScript-Ausführung um etwa 17 % verringert wird. Bemerkenswert ist, dass Microsoft noch weiter gegangen ist und im Edge-Browser einen experimentellen Modus namens "Super Duper Secure" eingeführt hat, der es dem Benutzer ermöglicht, JIT zu deaktivieren und inkompatible Hardware-Schutzmechanismen wie CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) und CFG (Control Flow Guard) für Prozesse, die Webinhalte verarbeiten, zu aktivieren. Sollte das Experiment erfolgreich verlaufen, könnte man erwarten, dass es in die Hauptversion von Chrome übernommen wird.
• Auf der Seite für einen neuen Tab wird eine Liste der gefragtesten Dokumente angezeigt, die in Google Drive gespeichert sind. Der Inhalt dieser Liste entspricht dem Abschnitt „Priority“ auf drive.google.com. Um die Anzeigeinhalte von Google Drive zu steuern, können die Einstellungen „chrome://flags/#ntp-modules“ und „chrome://flags/#ntp-drive-module“ verwendet werden.
• Für die Seite eines neuen Tabs werden neue Informationskarten angeboten, die dabei helfen, kürzlich angeschauten Inhalt und relevante Informationen zu finden. Diese Karten sollen das Wiederaufnehmen von Inhalten erleichtern, deren Betrachtung unterbrochen wurde, zum Beispiel die Karten helfen, ein kürzlich im Netz gefundenes, aber nach dem Schließen der Seite verlorenes Rezept zu finden, oder die Auswahl von Einkäufen in Geschäften fortzusetzen. Als Experiment werden den Nutzern zwei neue Karten angeboten: „Rezepte“ (chrome://flags/#ntp-recipe-tasks-module) zum Suchen von Kochrezepten und Anzeigen kürzlich angesehener Rezepte; „Einkäufe“ (chrome://flags/#ntp-chrome-cart-module) zur Erinnerung an ausgewählte Produkte in Online-Shops.
• In der Android-Version wurde eine optionale Unterstützung für das Panel für kontinuierliche Suche (chrome://flags/#continuous-search) hinzugefügt, das die letzten Google-Suchergebnisse im Blick behält (das Panel zeigt die Ergebnisse weiterhin an, auch wenn man zu anderen Seiten wechselt).
• In der Android-Version wurde ein experimenteller Modus für das Teilen von Zitaten (chrome://flags/#webnotes-stylize) hinzugefügt, der es ermöglicht, einen markierten Abschnitt der Seite als Zitat zu speichern und mit anderen Nutzern zu teilen.
• Bei der Veröffentlichung neuer Erweiterungen oder Aktualisierungen im Chrome Web Store ist jetzt die Anwendung der Zwei-Faktor-Authentifizierung für Entwickler obligatorisch.
• Für Nutzer eines Google-Kontos wurde die Option hinzugefügt, Zahlungsinformationen in ihrem Google-Konto zu speichern.
• Im Inkognito-Modus gibt es bei Aktivierung der Option zur Datenbereinigung einen neuen Bestätigungsdialog, der erklärt, dass das Reinigen der Daten zur Schließung des Fensters und zum Ende aller Inkognito-Sitzungen führt.
• Aufgrund von Inkompatibilitäten mit den Firmware-Versionen bestimmter Geräte wurde die Unterstützung der neuen, in Chrome 91 eingeführten Schlüsselaushandlungsmethode, die gegen Angriffe von Quantencomputern widerstandsfähig ist und auf der Verwendung der TLSv1.3-Erweiterung CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) basiert, vorübergehend deaktiviert. Diese Methode kombiniert den klassischen Schlüsselaustauschmechanismus X25519 mit dem HRSS-Schema, das auf dem NTRU Prime-Algorithmus basiert und für postquantenkryptografische Systeme entwickelt wurde.
• Die Ports 989 (ftps-data) und 990 (ftps) wurden zu den gesperrten Netzwerkports hinzugefügt, um den ALPACA-Angriff zu blockieren. Zuvor wurden bereits zum Schutz vor dem NAT Slide-streaming-Angriff die Ports 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 und 10080 blockiert.
• Die Unterstützung für Chiffren auf Basis des 3DES-Algorithmus wurde in TLS eingestellt. Insbesondere wurde der Chiffersatz TLS_RSA_WITH_3DES_EDE_CBC_SHA entfernt, der anfällig für den Sweet32-Angriff ist.
• Die Unterstützung für die Distribution Ubuntu 16.04 wurde eingestellt.
• Die Möglichkeit, die WebOTP-API zwischen verschiedenen Geräten zu nutzen, die über ein gemeinsames Google-Konto verbunden sind, wurde bereitgestellt. WebOTP erlaubt es Webanwendungen, einmalige Bestätigungscodes zu lesen, die per SMS gesendet werden. Diese Änderung ermöglicht es, den Bestätigungscode auf einem mobilen Gerät mit Chrome für Android zu empfangen und ihn auf einem Desktop-System anzuwenden.
• Die API User-Agent Client Hints wurde erweitert und dient als Ersatz für den User-Agent-Header. User-Agent Client Hints ermöglicht eine selektive Bereitstellung von Daten zu bestimmten Browser- und Systemparametern (Version, Plattform usw.) nur auf Anfrage. dem Server durchDer Benutzer kann seinerseits festlegen, welche Informationen den Website-Betreibern bereitgestellt werden dürfen. Bei Verwendung von User-Agent Client Hints wird die Browser-ID nicht ohne ausdrückliche Anfrage übermittelt, und standardmäßig werden nur grundlegende Parameter angegeben, was passive Identifizierung erschwert.

  In der neuen Version wurde die Unterstützung des Parameters Sec-CH-UA-Bitness implementiert, um Informationen über die Plattformarchitektur zurückzugeben, die zur Bereitstellung optimierter Binärdateien verwendet werden kann. Standardmäßig wird der Parameter Sec-CH-UA-Platform mit allgemeinen Plattformdaten gesendet. Im Wert UADataValues, der bei der Methode getHighEntropyValues() zurückgegeben wird, werden standardmäßig zusammengefasste Parameter ausgegeben, wenn es nicht möglich ist, eine detaillierte Version zurückzugeben. Dem Objekt NavigatorUAData wurde die Methode toJSON hinzugefügt, die die Verwendung von Konstruktionen wie JSON.stringify(navigator.userAgentData) ermöglicht.

• Die Möglichkeit, Ressourcen in Form von Web Bundles zu packen, wurde stabilisiert und standardmäßig angeboten. Dies ermöglicht eine effizientere Auslieferung vieler begleitender Dateien (CSS-Stile, JavaScript, Bilder, iframe). Zu den Nachteilen der vorhandenen Unterstützung für JavaScript-Dateipakete (webpack), die in Web Bundles behoben werden sollen, gehört, dass der gesamte Bundle im HTTP-Cache gespeichert werden kann, jedoch nicht seine Bestandteile. Die Kompilierung und Ausführung kann erst nach dem vollständigen Laden des Bundles beginnen. Zusätzliche Ressourcen wie CSS und Bilder müssen in Form von JavaScript-Strings kodiert werden, was zu einer Vergrößerung der Dateigröße führt und eine zusätzliche Parsing-Phase erfordert.
• Der API WebXR Plane Detection ist aktiviert und liefert Informationen über flache Oberflächen in einer virtuellen 3D-Umgebung. Dieser API ermöglicht es, auf ressourcenintensive Datenverarbeitung zu verzichten, die normalerweise durch den Aufruf von MediaDevices.getUserMedia() erforderlich wäre, indem eigene Implementierungen von Computer Vision-Algorithmen verwendet werden. Der WebXR API standardisiert die Arbeit mit verschiedenen Klassen von Virtual-Reality-Geräten, von stationären 3D-Headsets bis hin zu mobilen Lösungen.
• Im Origin Trials-Modus (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Der Origin Trial ermöglicht die Nutzung der angegebenen API aus Anwendungen, die von localhost oder 127.0.0.1 geladen werden, oder nach Registrierung und Erhalt eines speziellen Tokens, das für einen bestimmten Zeitraum für eine bestimmte Website gültig ist.
  • Der API Multi-Screen Window Placement ermöglicht es, Fenster auf jedem Bildschirm, der mit dem aktuellen System verbunden ist, zu platzieren und die Fensterposition zu speichern, um sie bei Bedarf im Vollbildmodus anzuzeigen. Beispielsweise kann eine Webanwendung zur Präsentation mit diesem API Folien auf einem Bildschirm präsentieren, während sie Anmerkungen für den Referenten auf einem anderen anzeigt.
  • Im Header der Cross-Origin-Embedder-Policy, die den Isolationsmodus für Cross-Origin steuert und Regeln für die sichere Nutzung auf der Seite privilegierter Operationen festlegt, wurde die Unterstützung des Parameters „credentialless“ hinzugefügt, um die Übertragung von credentials-bezogenen Informationen wie Cookies und Client-Zertifikaten zu deaktivieren.
  • Für separat installierte Webanwendungen (PWA, Progressive Web Apps), die das Rendering des Fensterinhalts steuern und die Eingabeverarbeitung übernehmen, wurde ein Overlay mit Steuerungselementen für das Fenster bereitgestellt, wie z. B. einem Titelbereich und Schaltflächen zum Öffnen/Schließen des Fensters. Das Overlay erweitert den veränderbaren Bereich auf das gesamte Fenster und ermöglicht das Hinzufügen eigener Elemente in den Titelbereich.
  • Die Möglichkeit zur Erstellung von PWA-Anwendungen wurde hinzugefügt, die als URL-Handler verwendet werden können. Beispielsweise kann die Anwendung music.example.com sich als Handler für die URL https://*.music.example.com registrieren, sodass alle Weiterleitungen von externen Anwendungen über diese Links, z. B. aus Messenger-Apps und E-Mail-Clients, zur Öffnung dieser PWA-Anwendung und nicht zu einem neuen Tab im Browser führen.
• Es wurde die Möglichkeit eingeführt, CSS-Dateien mithilfe des Ausdrucks „import“ ähnlich wie bei der Lade von JavaScript-Modulen zu laden. Dies ist praktisch beim Erstellen eigener Elemente und ermöglicht es, auf die Zuweisung von Stilen mit JavaScript zu verzichten. import sheet from ‘./styles.css’ assert { type: ‘css’ }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• Eine neue statische Methode AbortSignal.abort() wurde eingeführt, die ein AbortSignal-Objekt zurückgibt, dessen Parameter bereits auf aborted gesetzt ist. Anstelle mehrerer Zeilen Code zur Erstellung eines AbortSignal-Objekts im Status aborted kann jetzt eine einzelne Zeile mit „return AbortSignal.abort()“ verwendet werden.
• Der Flexbox-Element hat jetzt Unterstützung für die Schlüsselwörter start, end, self-start, self-end, left und right, die die Schlüsselwörter center, flex-start und flex-end ergänzen, um das Positionieren von Flex-Elementen zu erleichtern.
• Im Konstruktor Error() wurde eine neue optionale Eigenschaft „cause“ implementiert, mit der Fehler einfach miteinander verknüpft werden können. const parentError = new Error(‘parent’); const error = new Error(‘child’, { cause: parentError }); console.log(error.cause === parentError); // → true
• Die Eigenschaft HTMLMediaElement.controlsList unterstützt jetzt den Modus noplaybackrate, der es ermöglicht, die im Browser bereitgestellten Benutzeroberflächenelemente zur Änderung der Wiedergabegeschwindigkeit von Multimedia-Inhalten zu deaktivieren.
• Ein neuer Header Sec-CH-Prefers-Color-Scheme wurde hinzugefügt, der es ermöglicht, bei der Anfrage die Informationen zum bevorzugten Farbschema des Nutzers zu übermitteln. Dies wird in den Media Queries „prefers-color-scheme“ verwendet, sodass die Website die Ladezeit der dazugehörigen CSS-Dateien optimieren und sichtbare Wechsel zwischen unterschiedlichen Schemas vermeiden kann.
• Die Eigenschaft Object.hasOwn wurde hinzugefügt, die eine vereinfachte Version von Object.prototype.hasOwnProperty darstellt, umgesetzt als statische Methode. Object.hasOwn({ prop: 42 }, 'prop') // → true
• Im JIT-Compiler Sparkplug, der für die sehr schnelle Ausführung der Rohkompilierung konzipiert ist, wurde ein Batch-Modus für die Ausführung von Operationen hinzugefügt. Dieser Modus reduziert die Overheads durch das Umschalten von Speicherseiten zwischen Schreib- und Ausführungsmodus. Sparkplug kompiliert jetzt mehrere Funktionen auf einmal und ruft mprotect nur einmal auf, um die Zugriffsrechte für die gesamte Gruppe zu ändern. Der vorgeschlagene Modus verkürzt die Kompilierungszeit erheblich (um bis zu 44%), ohne die Ausführungsleistung von JavaScript negativ zu beeinflussen.
• In der Android-Version wurden die im V8-Engine integrierten Schutzmechanismen gegen Seitenkanalangriffe wie Spectre deaktiviert, da diese als nicht so effektiv angesehen werden wie die Isolierung von Websites in separaten Prozessen. In der Desktop-Version wurden diese Mechanismen bereits mit Chrome 70 deaktiviert. Die Deaktivierung überflüssiger Prüfungen hat die Leistung um 2-15% gesteigert.
• Verbesserungen der Tools für Webentwickler wurden vorgenommen. Im Inspektionsmodus der Stylesheets gibt es jetzt die Möglichkeit, Abfragen, die mit der @container-Anweisung erstellt wurden, zu bearbeiten. Im Netzwerkinspektor wurde eine Vorschau von Ressourcen im Webbundle-Format implementiert. Im Webkonsole-Kontextmenü wurden Optionen zum Kopieren von Zeilen als JavaScript- oder JSON-Literale hinzugefügt. Die Fehlersuche bei CORS (Cross-Origin Resource Sharing) wurde vereinfacht.

Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 27 Sicherheitsanfälligkeiten behoben. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Kritische Probleme, die es ermöglichen würden, alle Sicherheitsebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht gefunden. Im Rahmen des Belohnungsprogramms für die Entdeckung von Sicherheitsanfälligkeiten hat Google für diese Version 19 Prämien in Höhe von insgesamt 136.500 US-Dollar ausgeschüttet (drei Prämien von 20.000 $, eine Prämie von 15.000 $, drei Prämien von 10.000 $, eine Prämie von 7.500 $, drei Prämien von 5.000 $ und drei Prämien von 3.000 $). Die Höhe von fünf Prämien wurde noch nicht festgelegt.

Quelle: opennet.ru