Veröffentlichung von Chrome 96

Google hat die Version 96 des Web-Browsers Chrome veröffentlicht. Gleichzeitig ist die stabile Version des Open-Source-Projekts Chromium verfügbar, auf dem Chrome basiert. Der Chrome-Browser ist durch das Google-Logo gekennzeichnet, verfügt über ein Benachrichtigungssystem im Falle eines Absturzes, unterstützt Module zur Wiedergabe von geschützten Video-Inhalten (DRM), bietet eine automatische Update-Installation und überträgt RLZ-Parameter bei Suchanfragen. Die Version 96 von Chrome wird über einen Zeitraum von 8 Wochen im Rahmen des Extended Stable-Zyklus begleitet. Die nächste Version, Chrome 97, ist für den 4. Januar geplant.

Die wichtigsten Änderungen in Chrome 96:

• In der Lesezeichenleiste, die unter der Adresszeile angezeigt wird, ist standardmäßig die Schaltfläche 'Apps' (»Dienste«) ausgeblendet, die den Zugriff auf die Seite 'chrome://apps' mit einer Liste der installierten Dienste und Webanwendungen ermöglichte.
• Die Unterstützung für die Plattform Android 5.0 und frühere Versionen wurde eingestellt.
• Die Unterstützung für die Umleitung von HTTP zu HTTPS unter Verwendung von DNS wurde hinzugefügt (wobei auch die DNS-Aufzeichnung 'HTTPS' angefordert wird, zusätzlich zu den 'A'- und 'AAAA'-DNS-Einträgen; wenn diese vorhanden ist, verbindet sich der Browser sofort per HTTPS mit der Website). IP-Adressen Neben den DNS-Einträgen „A“ und „AAAA“ wird auch der DNS-Eintrag „HTTPS“ abgefragt, wobei der Browser sich sofort über HTTPS mit der Website verbindet, sofern dieser vorhanden ist.
• In der Desktop-Version wurde der Back-Forward-Cache, der sofortige Rückkehr beim Verwenden der Schaltflächen "Zurück" und "Vorwärts" ermöglicht, um die Unterstützung für die Navigation zu zuvor besuchten Seiten nach dem Öffnen einer anderen Website erweitert.
• Eine Einstellung "chrome://flags#force-major-version-to-100" wurde hinzugefügt, um mögliche Störungen der Websites nach der Erreichung einer dreiziffrigen Browser-Version zu testen (nach der Veröffentlichung von Chrome 10 traten viele Probleme in den User-Agent-Parsing-Bibliotheken auf). Bei Aktivierung wird im User-Agent-Header die Version 100 (Chrome/100.0.4664.45) ausgegeben.
• In den Build-Versionen für die Windows-Plattform wurden Daten, die mit der Funktion der Netzdienste (Cookies usw.) verbunden sind, in ein separates Unterverzeichnis "Network" verschoben, um die Implementierung des Mechanismus für Netzisolierung (Network Sandbox) vorzubereiten.
• Im Origin Trials-Modus (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Der Origin Trial ermöglicht die Nutzung der angegebenen API aus Anwendungen, die von localhost oder 127.0.0.1 geladen werden, oder nach Registrierung und Erhalt eines speziellen Tokens, das für einen bestimmten Zeitraum für eine bestimmte Website gültig ist.
  • Ein vorgeschlagenes Objekt FocusableMediaStreamTrack (wird in BrowserCaptureMediaStreamTrack umbenannt), das die Methode focus() unterstützt, mit der Anwendungen, die das Erfassen von Inhalten aus Fenstern oder Tabs (z. B. Programme zur Übertragung von Inhalten während Videokonferenzen) ermöglichen, Informationen über den Eingabefokus erhalten und dessen Änderung nachverfolgen können.
  • Ein Mechanismus für Priority Hints wurde implementiert, der es ermöglicht, die Wichtigkeit bestimmter zu ladender Ressourcen durch Angabe des zusätzlichen Attributs „importance“ in Tags wie iframe, img und link festzulegen. Das Attribut kann die Werte „auto“, „low“ und „high“ annehmen, die die Ladepriorität der externen Ressourcen im Browser beeinflussen.
• Im Header Cross-Origin-Embedder-Policy, der den Cross-Origin-Isolierungsmodus steuert und Regeln für die sichere Verwendung privilegierter Vorgänge auf der Seite definiert, wurde die Unterstützung des Parameters „credentialless“ hinzugefügt, um die Übertragung von mit Anmeldedaten verbundenen Informationen wie Cookies und Client-Zertifikaten zu deaktivieren.
• In CSS wurde eine neue Pseudoklasse „:autofill“ eingeführt, die es ermöglicht, das automatische Ausfüllen von Eingabefeldern durch den Browser zu verfolgen (bei manueller Eingabe funktioniert der Selektor nicht).
• Um Endlosschleifen zu vermeiden, wirken sich die CSS-Eigenschaften writing-mode, direction und backgrounds nun nicht mehr auf den Viewport aus, wenn die CSS-Eigenschaft contain (CSS Containment) auf HTML- oder BODY-Tags angewendet wird.
• Die CSS-Eigenschaft font-synthesis wurde hinzugefügt, die es ermöglicht, die Möglichkeit der Synthese von Schriftarten (oblique, bold und small-cap), die im gewählten Schriftsatz nicht vorhanden sind, zu steuern.
• Im API PerformanceEventTiming, das zusätzliche Informationen zur Messung und Optimierung der Benutzeroberflächenreaktionsfähigkeit bereitstellt, wurde das Attribut InteractionID hinzugefügt, das die Benutzerinteraktionen identifiziert. Diese ID ermögliche es, verschiedene Metriken mit einer einzigen Benutzeraktion zu verknüpfen, beispielsweise wenn beim Berühren eines Touchscreens mehrere Ereignisse wie pointerdown, mousedown, pointerup, mouseup und click generiert werden, kann InteractionID alle diese Ereignisse mit der einen Berührung verknüpfen.
• Ein neuer Medientyp (Media Query) wurde hinzugefügt: „prefers-contrast“, um den Inhalt der Seite an die in Betriebssystemen festgelegten Kontrasteinstellungen anzupassen (z.B. Aktivierung des Hochkontrastmodus).
• Für eigenständige PWA-Anwendungen wurde im Manifest die Unterstützung eines optionalen Feldes „id“ mit der globalen Anwendungs-ID hinzugefügt (wenn dieses Feld nicht angegeben ist, wird die Start-URL zur Identifizierung verwendet).
• Für isolierte PWA-Anwendungen wurde die Möglichkeit implementiert, sich als URL-Handler zu registrieren. Zum Beispiel kann die Anwendung music.example.com sich als Handler für die URL https://*.music.example.com registrieren, sodass alle Übergänge von externen Anwendungen über diese Links, etwa aus Messengern und E-Mail-Clients, zur Öffnung dieser PWA-Anwendung führen, anstatt eine neue Browser-Registerkarte zu öffnen.
• Eine CSP-Direktive (Content Security Policy) mit wasm-unsafe-eval wurde hinzugefügt, um die Möglichkeit zur Ausführung von Code auf WebAssembly zu steuern. Die Anwendung der CSP-Direktive script-src umfasst jetzt auch WebAssembly.
• WebAssembly unterstützt nun Referenztypen (Typ externref). WebAssembly-Module können nun JavaScript- und DOM-Objektreferenzen in Variablen speichern und als Argumente übergeben.
• In PaymentMethodData wurde die Unterstützung der Zahlungsmethode „basic-card“, die die Verwendung beliebiger Kartentypen über eine eindeutige ID ohne Bindung an separate Datentypen ermöglichte, als veraltet erklärt. Statt „basic-card“ sollten alternative Methoden wie Google Pay, Apple Pay und Samsung Pay verwendet werden.
• Bei der Verwendung der U2F-API (Cryptotoken) wird dem Benutzer eine Warnung über die Veraltung dieser Schnittstelle angezeigt. Die U2F-API wird in Chrome-Version 98 standardmäßig deaktiviert und in Chrome 104 vollständig entfernt. Statt der U2F-API sollte die Web Authentication API verwendet werden.
• Es wurden Verbesserungen an den Tools für Webentwickler vorgenommen. Ein neues CSS-Überblicks-Panel wurde hinzugefügt, das eine Zusammenfassung von Informationen über Farben, Schriftarten, ungenutzte Deklarationen und Media Queries bietet, sowie mögliche Probleme hervorhebt. Die Bearbeitungs- und Kopieroperationen für CSS wurden verbessert. Im Styles-Panel wurde eine Option zum Kopieren von CSS-Definitionen im Format von JavaScript-Ausdrücken zum Kontextmenü hinzugefügt. Im Netzwerk-Anforderungsinspektor wurde ein Payload-Tab eingeführt, der die Parameter der Anfrage aufschlüsselt. In der Web-Konsole wurde eine Option hinzugefügt, die alle CORS-Fehler (Cross-Origin Resource Sharing) ausblendet und einen Stacktrace für async-Funktionen ausgibt.

In der neuen Version wurden neben neuen Funktionen und Fehlerbehebungen 25 Sicherheitsanfälligkeiten behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL festgestellt. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht gefunden. Im Rahmen des Programms zur Belohnung von Schwachstellen-Entdeckern hat Google für die aktuelle Version insgesamt 13 Auszeichnungen in Höhe von 60.000 US-Dollar vergeben (eine Auszeichnung über 15.000 US-Dollar, eine über 10.000 US-Dollar, zwei über 7.500 US-Dollar, eine über 5.000 US-Dollar, zwei über 3.000 US-Dollar, eine über 2.500 US-Dollar, zwei über 2.000 US-Dollar, zwei über 1.000 US-Dollar und eine über 500 US-Dollar). Die Höhe von 5 Auszeichnungen ist noch nicht festgelegt.

Quelle: opennet.ru