Release von Chrome 94

Das Unternehmen Google hat die Veröffentlichung des Web-Browsers Chrome 94 vorgestellt. Gleichzeitig ist eine stabile Version des Open-Source-Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Der Browser Chrome zeichnet sich durch die Verwendung von Google-Logos, ein System zur Benachrichtigung im Falle eines Absturzes, Module zur Wiedergabe geschützter Videos (DRM), ein automatisches Update-System und die Übertragung von RLZ-Parametern bei Suchanfragen aus. Die nächste Version, Chrome 95, ist für den 19. Oktober geplant.

Mit der Veröffentlichung von Chrome 94 wurde die Entwicklung auf einen neuen Release-Zyklus umgestellt. Neue bedeutende Versionen werden nun alle 4 Wochen anstelle von 6 Wochen veröffentlicht, was dazu beiträgt, neue Funktionen schneller den Nutzern zugänglich zu machen. Es wird betont, dass die Optimierung des Release-Prozesses und die Verbesserung des Testsystems häufigere Veröffentlichungen ermöglichen, ohne die Qualität zu beeinträchtigen. Für Unternehmen und Nutzer, die mehr Zeit für Updates benötigen, wird alle 8 Wochen eine separate Extended Stable-Version veröffentlicht, die den Übergang zu neuen funktionalen Versionen alle 8 Wochen statt alle 4 Wochen ermöglicht.

Wesentliche Änderungen in Chrome 94:

• Ein neuer HTTPS-First-Modus wurde eingeführt, der dem bereits in Firefox existierenden HTTPS-Only-Modus ähnelt. Wenn dieser Modus in den Einstellungen aktiviert ist und man versucht, eine unverschlüsselte HTTP-Ressource zu öffnen, wird der Browser zunächst versuchen, die Seite über HTTPS zu erreichen. Sollte dieser Versuch fehlschlagen, wird dem Nutzer eine Warnung angezeigt, dass HTTPS nicht unterstützt wird, und er hat die Möglichkeit, die Seite unverschlüsselt zu öffnen. In Zukunft denkt Google darüber nach, HTTPS-First als Standard für alle Nutzer zu aktivieren, den Zugang zu bestimmten Funktionen der Webplattform für Seiten, die über HTTP geöffnet werden, einzuschränken und zusätzliche Warnungen hinzuzufügen, um Nutzer über die Gefahren von unverschlüsselten Webseiten zu informieren. Der Modus kann im Abschnitt "Datenschutz und Sicherheit" > "Sicherheit" > "Erweiterte Einstellungen" aktiviert werden.
• Für Seiten, die ohne HTTPS geladen werden, ist das Senden von Anfragen (z.B. das Laden von Ressourcen) an lokale URLs (zum Beispiel „http://router.local“ und localhost) sowie an interne Adressbereiche (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 usw.) untersagt. Eine Ausnahme gilt lediglich für Seiten, die von Server, die über interne IPs verfügen. Beispielsweise kann eine von 1.2.3.4 geladene Seite auf Ressourcen zugreifen, die auf IP 192.168.0.1 oder IP 127.0.0.1 gehostet sind, während eine von einem Server mit der IP 192.168.1.1 geladene Seite dies ebenfalls kann. Diese Änderung führt zu einer zusätzlichen Schutzebene gegen die Ausnutzung von Schwachstellen in Handlern, die Anfragen an lokale IPs entgegennehmen, und hilft, sich vor DNS-Rebinding-Angriffen zu schützen. Server Eine Funktion namens „Sharing Hub“ wurde hinzugefügt, die es ermöglicht, schnell einen Link zur aktuellen Seite mit anderen Benutzern zu teilen. Es wird die Möglichkeit geboten, einen QR-Code mit der URL zu generieren, die Seite zu speichern, den Link an ein anderes Gerät zu senden, das mit dem Benutzerkonto verbunden ist, und Links an Drittanbieter-Webseiten wie Facebook, WhatsApp, Twitter und VK zu übertragen. Diese Funktion ist derzeit noch nicht für alle Nutzer verfügbar. Um die Schaltfläche „Teilen“ im Menü und in der Adressleiste aktiv zu schalten, können die Einstellungen „chrome://flags/#sharing-hub-desktop-app-menu“ und „chrome://flags/#sharing-hub-desktop-omnibox“ genutzt werden.
• Die Benutzeroberfläche der Browsereinstellungen wurde umstrukturiert. Jede Einstellungssektion wird nun auf einer eigenen Seite angezeigt, anstatt auf einer gemeinsamen.
• Die Benutzeroberfläche der Browsereinstellungen wurde neu strukturiert. Jetzt wird jeder Einstellungsbereich auf einer separaten Seite angezeigt, anstatt auf einer gemeinsamen.
• Die Unterstützung für die dynamische Aktualisierung von Protokollen für ausgestellte und widerrufene Zertifikate (Certificate Transparency) wurde implementiert. Diese werden nun unabhängig von den Browser-Updates aktualisiert.
• Eine Hilfeseite ‘chrome://whats-new’ wurde hinzugefügt, die einen Überblick über die sichtbaren Änderungen für die Nutzer in der neuen Version bietet. Die Seite wird automatisch nach einem Update angezeigt oder ist über den Button 'Was ist neu' im Hilfe-Menü verfügbar. Momentan werden auf der Seite die tab-basierten Suchfunktionen, die Möglichkeit zur Profildelierung und die Hintergrundfarbwechsel-Funktion erwähnt, die nicht spezifisch für Chrome 94 sind und in früheren Versionen hinzugefügt wurden. Die Anzeige der Seite ist derzeit nicht für alle Nutzer aktiviert: Zur Steuerung der Aktivierung können die Einstellungen 'chrome://flags#chrome-whats-new-ui' und 'chrome://flags#chrome-whats-new-in-main-menu-new-badge' verwendet werden.
• Der Zugriff auf die WebSQL-API aus Inhalten, die von Drittanbietern geladen werden (z. B. über iFrames), wird als veraltet angesehen. In Chrome 94 wird beim Versuch, von externen Skripten auf WebSQL zuzugreifen, eine Warnung ausgegeben, aber ab Chrome 97 werden solche Zugriffe blockiert. Zukünftig ist geplant, die Unterstützung von WebSQL unabhängig vom Nutzungskontext schrittweise vollständig einzustellen. Der WebSQL-Handler basiert auf dem SQLite-Code und könnte von Angreifern zur Ausnutzung von Schwachstellen in SQLite verwendet werden.
• Aus Sicherheitsgründen und zur Verhinderung schädlicher Aktivitäten wurde der Gebrauch des veralteten MK-Protokolls (URL:MK) blockiert, das einst in Internet Explorer verwendet wurde und es Webanwendungen ermöglichte, Informationen aus komprimierten Dateien abzurufen.
• Die Synchronisierung mit alten Versionen von Chrome (Chrome 48 und älter) wurde eingestellt.
• Die HTTP-Header Permissions-Policy, die zur Aktivierung bestimmter Funktionen und zur Verwaltung des Zugriffs auf APIs dient, unterstützt jetzt das Flag „display-capture“, das die Nutzung der API Screen Capture auf der Seite steuert (standardmäßig wird die Erfassung von Bildschirminhalten aus externen iFrames blockiert).
• Im Origin Trials-Modus (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Der Origin Trial ermöglicht die Nutzung der angegebenen API aus Anwendungen, die von localhost oder 127.0.0.1 geladen werden, oder nach Registrierung und Erhalt eines speziellen Tokens, das für einen bestimmten Zeitraum für eine bestimmte Website gültig ist.
  • Die WebGPU-API wurde hinzugefügt und ersetzt die WebGL-API. Sie bietet Funktionen für die Ausführung von GPU-Operationen wie Rendering und Berechnungen. Konzeptuell ist WebGPU ähnlich wie die APIs Vulkan, Metal und Direct3D 12. Es unterscheidet sich von WebGL in etwa so, wie die Grafik-API Vulkan sich von OpenGL unterscheidet, basiert jedoch nicht auf einer spezifischen Grafikschnittstelle, sondern stellt eine universelle Zwischenschicht dar, die dieselben Low-Level-Primitiven verwendet, die auch in Vulkan, Metal und Direct3D 12 vorhanden sind.

    WebGPU ermöglicht JavaScript-Anwendungen eine niedriglevelige Kontrolle über die Organisation, Verarbeitung und Übertragung von Befehlen an die GPU. Außerdem ermöglicht es das Management zugehöriger Ressourcen, Speicher, Puffer, Texturobjekte und kompilierte Grafik-Shader. Dieser Ansatz führt zu einer höheren Leistung von grafikintensiven Anwendungen, indem die Overheads reduziert und die Effizienz der GPU-Nutzung erhöht wird. Die API ermöglicht es auch, komplexe 3D-Projekte für das Web zu erstellen, die in ihrer Leistung nicht hinter eigenständigen Programmen zurückfallen, aber nicht an spezifische Plattformen gebunden sind.

  • Für isolierte PWA-Anwendungen wurde die Möglichkeit implementiert, sich als URL-Handler zu registrieren. Zum Beispiel kann die Anwendung music.example.com sich als Handler für die URL https://*.music.example.com registrieren, sodass alle Übergänge von externen Anwendungen über diese Links, etwa aus Messengern und E-Mail-Clients, zur Öffnung dieser PWA-Anwendung führen, anstatt eine neue Browser-Registerkarte zu öffnen.
  • Die Unterstützung des neuen HTTP-Antwortcodes — 103 wurde implementiert, der zur proaktiven Ausgabe von Headern verwendet werden kann. Der Code 103 ermöglicht es, den Client über den Inhalt bestimmter HTTP-Header unmittelbar nach der Anfrage zu informieren, ohne darauf zu warten, dass der Server alle mit der Anfrage verbundenen Operationen ausführt und mit der Bereitstellung von Inhalten beginnt. Auf diese Weise können Hinweise zu Elementen, die mit der ausgegebenen Seite verbunden sind und vorab geladen werden können (zum Beispiel Links zu den auf der Seite verwendeten CSS- und JavaScript-Dateien), übermittelt werden. Erhält der Browser Informationen über solche Ressourcen, beginnt er mit deren Laden, ohne auf den Abschluss der Hauptseitenausgabe zu warten, was die gesamte Bearbeitungszeit der Anfrage verkürzt.
• Der WebCodecs-API wurde hinzugefügt, um Multimedia-Streams auf niedriger Ebene zu manipulieren, und ergänzt thereby die hochgradigen APIs HTMLMediaElement, Media Source Extensions, WebAudio, MediaRecorder und WebRTC. Dieser neue API könnte in Bereichen wie Gaming-Streaming, Client-seitige Effekte, Stream-Rekodierung und Unterstützung für nicht-standardisierte Multimedia-Container gefragt sein. Anstatt separate Codecs in JavaScript oder WebAssembly zu implementieren, bietet der WebCodecs-API Zugriff auf leistungsstarke, vorinstallierte Komponenten im Browser. Insbesondere stellt der WebCodecs-API Decoder und Encoder für Audio und Video, Bilddecoder und Funktionen zur Verarbeitung von Einzelbildern auf niedriger Ebene bereit.
• Stabilisierte API Insertable Streams ermöglichen die Manipulation von unkomprimierten (raw) Medienströmen, die über die API MediaStreamTrack übertragen werden, wie z.B. Daten von Kamera und Mikrofon, Bildschirmaufnahmen oder Zwischenergebnisse der Dekodierung durch einen Codec. Für die Darstellung unkomprimierter Frames werden die WebCodec-Schnittstellen verwendet, wonach ein Stream entsteht, der dem entspricht, was API WebRTC Insertable Streams auf Basis von RTCPeerConnections generiert. Praktisch ermöglicht die neue API die Umsetzung von Funktionalitäten wie die Anwendung von Methoden des maschinellen Lernens zur Identifizierung oder Annotation von Objekten in Echtzeit oder das Hinzufügen von Effekten wie dem Entfernen des Hintergrunds vor der Kodierung oder nach der Dekodierung durch einen Codec.
• Die stabilisierte Methode scheduler.postTask() ermöglicht es, die Planung der Ausführung von Aufgaben (JavaScript-Callback-Aufrufen) mit verschiedenen Prioritätsstufen zu steuern. Es stehen drei Prioritätsstufen zur Verfügung: 1 - sofortige Ausführung, auch wenn Benutzeraktionen blockiert sein können; 2 - sichtbare Änderungen für den Benutzer sind erlaubt; 3 - Ausführung im Hintergrund. Zur Änderung der Priorität und zum Abbrechen von Aufgaben kann das Objekt TaskController verwendet werden.
• Die Stabilisierung und nun außerhalb der Origin Trials verbreitete API Idle Detection dient zur Erkennung der Inaktivität des Benutzers. Die API ermöglicht die Bestimmung der Zeit, in der der Benutzer nicht mit der Tastatur/Maus interagiert, der Bildschirmschoner aktiv ist, der Bildschirm gesperrt ist oder Aufgaben auf einem anderen Monitor ausgeführt werden. Die Benachrichtigung der Anwendung über die Inaktivität erfolgt durch das Senden einer Benachrichtigung, sobald der festgelegte Inaktivitätszeitraum erreicht ist.
• Der Prozess der Farbverwaltung in den Objekten CanvasRenderingContext2D und ImageData sowie die Verwendung des Farbraums sRGB sind formalisiert worden. Es besteht die Möglichkeit, Objekte von CanvasRenderingContext2D und ImageData in anderen Farbräumen als sRGB, wie Display P3, zu erstellen, um die erweiterten Möglichkeiten moderner Monitore zu nutzen.
• Die API VirtualKeyboard wurde um Methoden und Eigenschaften erweitert, die das Steuern der Anzeige und des Versteckens der virtuellen Tastatur sowie das Abrufen von Informationen über die Größe der angezeigten virtuellen Tastatur ermöglichen.
• In JavaScript können Klassen nun statische Initialisierungsblöcke verwenden, um Code zu gruppieren, der einmal während der Verarbeitung der Klasse ausgeführt wird: class C { // Block wird während der Verarbeitung der Klasse ausgeführt static { console.log('C’s static block'); } }
• In den CSS-Eigenschaften flex-basis und flex wurden die Schlüsselwörter content, min-content, max-content und fit-content implementiert, um eine flexiblere Kontrolle über die Größe des Flexbox-Hauptbereichs zu ermöglichen.
• Die CSS-Eigenschaft scrollbar-gutter wurde hinzugefügt, um den Platzbedarf für Scrollleisten im Bildschirm zu steuern. Beispielsweise kann die Ausgabe erweitert werden, wenn keine Scrollung des Inhalts erforderlich ist, um den Bereich der Scrollleiste zu nutzen.
• Die API zur Selbstprofilierung wurde hinzugefügt, die ein Profilsystem implementiert, um die Ausführungszeit von JavaScript auf der Client-Seite zu messen. Dies dient der Fehlersuche bei Leistungsproblemen im JavaScript-Code, ohne dass manuelle Anpassungen in der Entwickleroberfläche erforderlich sind.
• Nach der Entfernung des Flash-Plugins wurde beschlossen, leere Werte in den Eigenschaften navigator.plugins und navigator.mimeTypes zurückzugeben. Dabei stellte sich heraus, dass einige Anwendungen diese für die Überprüfung der Verfügbarkeit von Plugins zum Anzeigen von PDF-Dateien verwendeten. Da Chrome über einen integrierten PDF-Betrachter verfügt, werden die Eigenschaften navigator.plugins und navigator.mimeTypes künftig eine feste Liste standardmäßiger Plugins und MIME-Typen zum Anzeigen von PDF-Dokumenten zurückgeben — „PDF Viewer, Chrome PDF Viewer, Chromium PDF Viewer, Microsoft Edge PDF Viewer und WebKit integrierter PDF-Betrachter“.
• Verbesserungen wurden in den Werkzeugen für Webentwickler vorgenommen. Geräte wie Nest Hub und Nest Hub Max wurden der Liste der simulierten Bildschirme hinzugefügt. Im Netzwerkaktivitätsinspektor gibt es jetzt eine Schaltfläche zum Invertieren von Filtern (zum Beispiel kann man schnell alle anderen Anfragen ansehen, wenn man den Filter „status-code: 404“ setzt). Zudem können nun die ursprünglichen Werte der Set-Cookie-Header eingesehen werden, was hilft, inkorrekte Werte bei der Normalisierung zu identifizieren. Die Seitenleiste in der Web-Konsole wurde als veraltet erklärt und wird in einer der nächsten Versionen entfernt. Eine experimentelle Funktion zum Ausblenden von Problemen im Tab Issues wurde hinzugefügt. In den Einstellungen besteht nun die Möglichkeit, die Sprache des Interfaces auszuwählen.

Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 19 Sicherheitsanfälligkeiten behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Kritische Probleme, die es ermöglichen könnten, alle Sicherheitsebenen des Browsers zu überwinden und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung von Sicherheitsforschern hat Google für die aktuelle Version 17 Prämien in Höhe von 56.500 US-Dollar vergeben (eine Prämie von 15.000 $, zwei Prämien von 10.000 $, eine Prämie von 7.500 $, vier Prämien von 3.000 $ und zwei Prämien von 1.000 $). Die Höhe von 7 Prämien ist noch nicht festgelegt.

Quelle: opennet.ru