Release von Chrome 98

Google hat die Version des Webbrowsers Chrome 98 vorgestellt. Gleichzeitig steht die stabile Version des freien Projekts Chromium zur Verfügung, das als Grundlage für Chrome dient. Der Browser Chrome zeichnet sich durch die Verwendung von Google-Logos, ein System zur Benachrichtigung bei Abstürzen, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System und die Übertragung von RLZ-Parametern bei der Suche aus. Die nächste Version, Chrome 99, ist für den 1. März geplant.

Hauptänderungen in Chrome 98:

• Der Browser verfügt über einen integrierten Speicher für die Root-Zertifikate der Zertifizierungsstellen (Chrome Root Store), der anstelle von externen, betriebssystemspezifischen Speichern verwendet wird. Dieser Speicher ist analog zum unabhängigen Root-Zertifikatspeicher von Firefox konzipiert, der als erste Instanz zur Überprüfung der Vertrauenskette von Zertifikaten beim Zugriff auf HTTPS-Websites dient. Das neue Speicherformat wird derzeit nicht standardmäßig verwendet. Um die Migration von Konfigurationen zu vereinfachen, die auf systemeigene Speicher angewiesen sind, und um die Portabilität zu gewährleisten, wird es einen Übergangszeitraum geben, in dem der Chrome Root Store eine vollständige Sammlung von Zertifikaten enthalten wird, die auf den meisten unterstützten Plattformen genehmigt sind.
• Die Umsetzung des Plans zur Verstärkung des Schutzes gegen Angriffe, die mit Anfragen an Ressourcen im lokalen Netzwerk oder auf dem Benutzercomputer (localhost) aus Skripten verbunden sind, die beim Öffnen der Website geladen werden, läuft weiter. Solche Anfragen werden von Angreifern verwendet, um CSRF-Angriffe auf Router, Access Points, Drucker, Unternehmens-Webschnittstellen und andere Geräte und Dienste durchzuführen, die Anfragen ausschließlich aus dem lokalen Netzwerk annehmen.

  Um sich vor solchen Angriffen zu schützen, wird der Browser bei Anfragen an beliebige Subressourcen im internen Netzwerk eine explizite Anfrage zur Berechtigung zum Laden solcher Subressourcen senden. Die Anfrage zur Berechtigung erfolgt durch das Senden an der Server Die Hauptseite für CORS (Cross-Origin Resource Sharing) muss den Header „Access-Control-Request-Private-Network: true“ enthalten, bevor auf das interne Netzwerk oder localhost zugegriffen wird. Nach Bestätigung der Anfrage sollte der Server den Header „Access-Control-Allow-Private-Network: true“ zurückgeben. In Chrome 98 wird diese Prüfung im Testmodus durchgeführt, und bei Nichtbestätigung erscheint eine Warnung in der Web-Konsole, jedoch wird die eigentliche Subressourcennutzanfrage nicht blockiert. Eine Blockierung ist frühestens mit der Veröffentlichung von Chrome 101 geplant.

• In die Kontoeinstellungen wurden Funktionen zur Verwaltung der Aktivierung des erweiterten Schutzmodus gegen gefährliche Websites (Enhanced Safe Browsing) integriert, in dem zusätzliche Überprüfungen zum Schutz vor Phishing, bösartiger Aktivität und anderen Bedrohungen im Web aktiviert werden. Bei Aktivierung des Modus wird jetzt in Ihrem Google-Konto vorgeschlagen, den Modus auch in Chrome zu aktivieren.
• Ein Modell zur Erkennung von Client-seitigen Phishing-Versuchen wurde hinzugefügt. Es basiert auf der Machine-Learning-Plattform TFLite (TensorFlow Lite) und benötigt keine Datenübertragung an Google zur Prüfungsdurchführung. Stattdessen wird Telemetrie mit Versionsinformationen des Modells und berechneten Gewichten für jede Kategorie gesendet. Wenn ein Phishing-Versuch erkannt wird, wird dem Benutzer vor dem Öffnen der verdächtigen Webseite eine Warnseite angezeigt.
• Die API Client Hints, die als Ersatz für den User-Agent-Header entwickelt wird, ermöglicht es, selektiv Informationen über spezifische Browser- und Systemparameter (Version, Plattform usw.) nur auf Anfrage bereitzustellen. dem Server durch, es wurde die Möglichkeit implementiert, fiktive Namen in die Liste der Browser-IDs einzufügen, analog zu dem in TLS verwendeten GREASE-Mechanismus (Generate Random Extensions And Sustain Extensibility). Zum Beispiel kann neben '»Chrome»; v=»98″' und '»Chromium»; v=»98″' eine zufällige ID eines nicht existierenden Browsers '»(Not;Browser»; v=»12″' in die Liste aufgenommen werden. Eine solche Einfügung ermöglicht es, Probleme bei der Verarbeitung von IDs unbekannter Browser zu identifizieren, die dazu führen, dass alternative Browser sich als andere beliebte Browser ausgeben müssen, um die Überprüfung anhand der zulässigen Browserlisten zu umgehen.
• Ab dem 17. Januar werden im Chrome Web Store keine Erweiterungen mehr akzeptiert, die die zweite Version des Chrome-Manifests verwenden. Neue Erweiterungen werden nun nur noch mit der dritten Version des Manifests akzeptiert. Entwickler von zuvor hinzugefügten Erweiterungen können wie zuvor Updates mit der zweiten Version des Manifests veröffentlichen. Die vollständige Einstellung der Unterstützung der zweiten Manifestversion ist für Januar 2023 geplant.
• Die Unterstützung für farbige Vektorschriften im COLRv1-Format wurde hinzugefügt (eine Teilmenge von OpenType-Schriften, die neben Vektorglyphen auch eine Farbinformationsebene enthält), die beispielsweise zur Erstellung von mehrfarbigen Emojis verwendet werden kann. Im Vergleich zum zuvor unterstützten COLRv0-Format ermöglicht COLRv1 die Verwendung von Farbverläufen, Überlagerungen und Transformationen. Das Format bietet zudem eine kompakte Speicherversion, gewährleistet eine effiziente Kompression und erlaubt die Wiederverwendung von Konturen, was die Schriftgröße erheblich reduziert. Zum Beispiel hat die Noto Color Emoji-Schrift im Rasterformat eine Größe von 9 MB, während sie im Vektorenformat COLRv1 nur 1,85 MB einnimmt.
• Im Origin Trials-Modus (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurde die API Region Capture implementiert, die es ermöglicht, aufgezeichnetes Video zuzuschneiden. Das Zuschneiden kann beispielsweise in Webanwendungen erforderlich sein, die Video von ihrer eigenen Registerkarte erfassen, um bestimmte Inhalte vor dem Senden auszuschneiden. Der Origin Trial ermöglicht die Nutzung der angegebenen API aus Anwendungen, die von localhost oder 127.0.0.1 geladen wurden, oder nach der Registrierung und dem Erhalt eines speziellen Tokens, der zeitlich begrenzt für eine bestimmte Website gültig ist.
• Im CSS-Eigenschaft „contain-intrinsic-size“ wurde die Unterstützung für den Wert „auto“ hinzugefügt. Wenn dieser angegeben wird, wird die zuletzt gespeicherte Größe des Elements verwendet (wenn er zusammen mit „content-visibility: auto“ verwendet wird, muss der Entwickler die gerenderte Größe des Elements nicht erraten).
• Die Eigenschaft AudioContext.outputLatency wurde hinzugefügt, über die Informationen zur voraussichtlichen Verzögerung vor der Audioausgabe abgerufen werden können (d.h. die Verzögerung zwischen der Anfrage nach Audio und dem Beginn der Verarbeitung der empfangenen Daten durch das Ausgabegerät).
• Die CSS-Eigenschaft color-scheme ermöglicht es, die Farbvarianten zu definieren, in denen ein Element korrekt angezeigt werden kann („light“, „dark“, „day mode“ und „night mode“). Der Parameter „only“ wurde hinzugefügt, um eine erzwungene Farbänderung für bestimmte HTML-Elemente auszuschließen. Zum Beispiel, wenn „div { color-scheme: only light }“ angegeben wird, wird für das Element div nur das helle Design verwendet, selbst wenn der Browser auf das dunkle Design gesetzt ist.
• CSS unterstützt jetzt die media-Queries ‘dynamic-range’ und ‘video-dynamic-range’, um die Verfügbarkeit von Bildschirmen, die HDR (High Dynamic Range) unterstützen, zu erkennen.
• Die Funktion window.open() hat die Möglichkeit erhalten, Links in einem neuen Tab, einem neuen Fenster oder einem Popup-Fenster zu öffnen. Zudem gibt die Eigenschaft window.statusbar.visible jetzt „false“ für Popup-Fenster und „true“ für Tabs und Fenster zurück. const popup = window.open(‘_blank’,’,’popup=1′); // Im Popup-Fenster öffnen const tab = window.open(‘_blank’,’,’popup=0′); // Im Tab öffnen
• Für Windows und Worker wurde die Methode structuredClone() implementiert, die rekursive Kopien von Objekten erstellt. Dabei werden sowohl die Eigenschaften des angegebenen Objekts als auch alle anderen Objekte, auf die das aktuelle Objekt verweist, einbezogen.
• Die Web Authentication API hat Unterstützung für die Erweiterung der FIDO CTAP2-Spezifikation hinzugefügt, die es ermöglicht, die minimale erlaubte PIN-Länge (minPinLength) festzulegen.
• Für installierte isolierte Webanwendungen wurde die Komponente Window Controls Overlay hinzugefügt, die den Anwendungsbereich auf das gesamte Fenster erweitert, einschließlich des Titelbereichs, in dem die standardmäßigen Fenstersteuerknöpfe (Schließen, Minimieren, Maximieren) überlagert werden. Die Webanwendung kann das Rendering und die Eingabeverarbeitung im gesamten Fenster steuern, mit Ausnahme des überlagerten Blocks mit den Fenstersteuerknöpfen.
• Der WritableStreamDefaultController hat eine Signalerfassungspropert hinzugefügt, die ein AbortSignal-Objekt zurückgibt. Damit können Schreibvorgänge in WritableStream sofort gestoppt werden, ohne auf deren Abschluss zu warten.
• In WebRTC wurde die Unterstützung des SDES-Schlüsselaushandlungsmechanismus entfernt, der 2013 von der IETF aufgrund von Sicherheitsproblemen als veraltet erklärt wurde.
• Standardmäßig ist die API U2F (Cryptotoken) deaktiviert, die zuvor als veraltet erklärt wurde und durch die API Web Authentication ersetzt wurde. Die API U2F wird mit Chrome 104 vollständig entfernt.
• Im API Directory wurde das Feld installed_browser_version als veraltet markiert. Stattdessen gibt es ein neues Feld pending_browser_version, das Informationen über die Browserversion enthält, unter Berücksichtigung von heruntergeladenen, aber noch nicht angewendeten Updates (d.h. die Version, die nach einem Neustart des Browsers aktiv wird).
• Die Parameter, die die Unterstützung für TLS 1.0 und 1.1 zurückgaben, wurden entfernt.
• Es wurden Verbesserungen an den Tools für Webentwickler vorgenommen. Ein Tab zur Bewertung der Funktionsweise des Back-forward Cache wurde hinzugefügt, der einen sofortigen Wechsel beim Nutzen der Schaltflächen „Zurück“ und „Vorwärts“ ermöglicht. Die Möglichkeit zur Emulation von Medienanfragen mit forced-colors wurde ergänzt. Im Flexbox-Editor wurden Schaltflächen zur Unterstützung der Eigenschaften row-reverse und column-reverse hinzugefügt. Im Tab „Changes“ wird die Anzeige von Änderungen nach der Formatierung des Codes sichergestellt, was das Verständnis von minifizierten Seiten erleichtert.

  Die Implementierung des Code-Betrachter-Panels wurde auf die Veröffentlichung des CodeMirror 6-Editors aktualisiert, der die Leistung beim Arbeiten mit sehr großen Dateien (WASM, JavaScript) erheblich verbessert, Probleme mit zufälligen Verschiebungen bei der Navigation behebt und die Vorschläge der Autovervollständigung beim Bearbeiten von Code verbessert. Im Panel für CSS-Eigenschaften wurde die Möglichkeit hinzugefügt, die Ausgabe nach Namen oder Wert der Eigenschaft zu filtern.

  

Neben neuen Funktionen und Bugfixes wurden in der neuen Version 27 Schwachstellen behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Kritische Probleme, die es erlauben würden, alle Schutzelemente des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung im System auszuführen, wurden nicht gefunden. Im Rahmen des Programms zur Ausschüttung von Prämien für die Entdeckung von Schwachstellen hat Google für die aktuelle Version 19 Prämien in Höhe von insgesamt 88.000 US-Dollar ausgezahlt (zwei Prämien über 20.000 US-Dollar, eine Prämie über 12.000 US-Dollar, zwei Prämien über 7.500 US-Dollar, vier Prämien über 1.000 US-Dollar sowie je eine Prämie in Höhe von 7.000 US-Dollar, 5.000 US-Dollar, 3.000 US-Dollar und 2.000 US-Dollar).

Quelle: opennet.ru