Veröffentlichung des Webbrowsers Chrome 127

Google hat die Version 127 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht eine stabile Version des freien Projekts Chromium zur Verfügung, das als Grundlage für Chrome dient. Der Chrome-Browser unterscheidet sich von Chromium durch die Verwendung von Google-Logos, die Implementierung eines Systems zur Benachrichtigung bei Abstürzen, Modulen zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, die dauerhafte Aktivierung von Sandbox-Isolierung, die Bereitstellung von Schlüsseln zu den Google-APIs und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für das Update benötigen, wird eine separate Version namens Extended Stable mit einer Unterstützung von 8 Wochen bereitgestellt. Der nächste Release von Chrome 128 ist für den 20. August geplant.

Die Hauptänderungen in Chrome 127:

• Im Inkognito-Modus ist standardmäßig die Funktion „HTTPS-First“ aktiviert, die HTTP-Anfragen automatisch auf HTTPS umleitet. Um den Zugriff auf Websites zu ermöglichen, die HTTPS nicht unterstützen, wird ein Rückfall auf HTTP realisiert, wenn nach der Umleitung der Zugriff über HTTPS nicht möglich ist oder es Zertifikatprobleme gibt. Bei dem Versuch, eine Website über HTTP zu öffnen, erscheint eine spezielle Warnung.
• Im integrierten Speicher für Root-Zertifikate (Chrome Root Store) wurde beschlossen, das Vertrauen in die Zertifizierungsstelle Entrust aufgrund mehrfacher Verstöße gegen die Anforderungen an Zertifizierungsstellen, Nichteinhaltung von Reaktionszeiten auf problematische Zertifikate, Verzögerungen bei Zertifikatswiderrufen, mangelhafte Berichterstattung über Vorfälle und Nichteinhaltung von Vorschriften bei der Ausstellung einzustellen. TLS-Zertifikaten EV-Stufen (Extended Validation), die eine Überprüfung der Dokumente zur Domainzugehörigkeit und die Bestätigung des Ressourceninhabers erfordern. Aufgrund fehlender Maßnahmen zur Behebung der festgestellten Mängel werden TLS-Zertifikate, die nach dem 31. Oktober 2024 von Entrust ausgestellt werden, von Chrome als nicht vertrauenswürdig betrachtet. Die vor dem 31. Oktober ausgestellten Zertifikate werden weiterhin als normal angesehen.
• Der Prozess zur schrittweisen Unterstützung der zweiten Version des Chrome-Manifests, das die Funktionen und Ressourcen definiert, die für mit den WebExtensions-APIs geschriebenen Erweiterungen verfügbar sind, hat begonnen. Die Deaktivierung der Erweiterungen, die die zweite Version des Manifests verwenden, betrifft momentan nur einen Teil der Nutzer von Testversionen von Chrome (nicht von den stabilen Versionen). Die vollständige Migration auf die dritte Version des Manifests soll bis Juni 2025 abgeschlossen sein.
• Bei aktivierter erweiterter Browserschutzfunktion (Safe Browsing > Erweiterter Schutz) wird an Server Google zusätzliche Telemetriedaten gesendet, die Informationen über die besuchten Seiten enthalten, wenn auf diesen Seiten APIs zur Initiierung von Vibrationen (Vibration) oder zur vollständigen Kontrolle über die Maus (PointerLock) und die Tastatur (Keyboard) verwendet werden. Wenn die aufgerufene Seite auf der Schwarzen Liste steht, erhält der Nutzer eine entsprechende Warnung und die Funktionen der markierten APIs werden deaktiviert.
• Die Ergebnisse der Modernisierung der Überprüfung hochgeladener Dateien im Modus für erweiterten Browserschutz (Safe Browsing > Erweiterte Sicherheit) wurden zusammengefasst. Dabei wird die Übertragung ausführbarer Dateien und verdächtiger Archive an die Server von Google zur Überprüfung auf Viren und Malware aktiviert. Um die Sicherheit hochgeladener verschlüsselter Archive (.zip, .7z und .rar) zu gewährleisten, wird der Browser den Benutzer nach dem Passwort zur Entschlüsselung des Archivs fragen. Der Benutzer kann auf die Überprüfung verzichten oder das Passwort eingeben, wonach der Browser die Datei mit dem Passwort an die Google-Server zur Prüfung sendet. Im Standardmodus (nicht erweitert) von Safe Browsing wird ebenfalls eine Passwortabfrage angezeigt, aber anstelle der Übertragung des Inhalts des Archivs werden lediglich Metadaten und Hashes der enthaltenen Dateien an die Server von Google gesendet. Es wurden auffälligere Warnungen beim Herunterladen gefährlicher Dateien umgesetzt, die nicht in der unteren Leiste, sondern unter der oberen Leiste angezeigt werden.
• Eine erste Implementierung der Spezifikation für Private Network Access wurde vorgeschlagen, die das Laden von Ressourcen von öffentlich zugänglichen Seiten, die auf Hosts im internen Netzwerk verweisen (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 usw.), einschränkt. Das Laden solcher Ressourcen ist jetzt nur erlaubt, wenn die Seite in einem sicheren Kontext (über HTTPS) geöffnet wird. Zukünftig ist geplant, den nicht kontrollierbaren Zugriff auf interne Intranet-Subnetze von Seiten, die von öffentlichen Websites geöffnet werden, vollständig einzuschränken, da solche Anfragen von Angreifern verwendet werden, um CSRF-Angriffe auf Router, Zugangspunkte, Drucker, Unternehmens-Webschnittstellen und andere Geräte und Dienste, die Anfragen nur aus dem lokalen Netzwerk akzeptieren, durchzuführen. Experimente mit der Blockierung wurden bereits 2022 in Chrome 98 begonnen, mussten jedoch aufgrund von Sicherheitsproblemen verschoben werden.
• Im ‚Origin trials‘-Modus wurde eine experimentelle Blockierung des Zugriffs auf die IP 0.0.0.0 implementiert, da diese IP zur Umgehung der Blockierung des Zugriffs auf die IP 127.0.0.1 (localhost) auf Linux- und macOS-Plattformen verwendet werden kann.
• In der Android-Version wurde die Benutzeroberfläche zur Verknüpfung mit dem Google-Konto sowie zur Synchronisierung von Daten wie gespeicherten Passwörtern und Lesezeichen vereinfacht. Die Synchronisierung ist nun in die Anmeldung zum Konto integriert und wird nicht mehr als separate Funktion in den Einstellungen angeboten.
• In der Android-Version wurde die Passwortverwaltungsoberfläche aktualisiert. Nutzern, die sich mit ihrem Google-Konto verbunden haben, aber die Synchronisierung nicht aktiviert haben, wird die Möglichkeit geboten, Passwörter im Zusammenhang mit ihrem Google-Konto zu speichern und zu verwenden.
• Die Einstellung "Automatisches Aktivieren des Vollbildmodus" (Automatic Fullscreen, chrome://settings/content/automaticFullScreen) wurde hinzugefügt. Diese ermöglicht es Websites, den Vollbildmodus automatisch über die Methode Element.requestFullscreen() zu aktivieren, ohne dass eine Bestätigung des Benutzers erforderlich ist. Außerdem können Browser-Dialoge im Vollbildmodus angezeigt werden. Standardmäßig ist die Einstellung deaktiviert und kann für einzelne Websites und Webanwendungen aktiviert werden. In Kombination mit der Window Management API und den Einstellungen für Pop-up-Benachrichtigungen (chrome://settings/content/popups) vereinfacht die neue Funktion die Nutzung von Möglichkeiten wie das Öffnen eines Vollbild-Pop-ups auf einem anderen Monitor, die Anzeige von Vollbildinhalten auf allen Bildschirmen oder auf einem zusätzlichen Bildschirm sowie das Wechseln von Vollbildinhalten von einem Display auf ein anderes.
• Die CSS-Eigenschaft font-size-adjust wurde hinzugefügt, um die Größe der Kleinbuchstaben im Verhältnis zur Größe der Großbuchstaben, festgelegt durch die Eigenschaft 'font-size', zu verändern. Dies kann nützlich sein, um beispielsweise das frühere Lesbarkeitsniveau des Textes aufrechtzuerhalten, wenn eine Ersatzschriftart verwendet wird, weil die Hauptschriftart nicht verfügbar ist. Bei Schriften mit unterschiedlichen Verhältnissen der Höhe der Kleinbuchstaben zur Schriftgröße weicht die Größe der Buchstaben erheblich ab, was beispielsweise dazu führen kann, dass der Text schlecht lesbar ist, wenn die Schriftart Verdana durch Times ersetzt wird.
• Im API für die statische Routing-ServiceWorker (Service Worker Static Routing), die festlegt, wie bestimmte Ressourcen geladen werden sollen und den Aufruf des ServiceWorkers für Ressourcen deaktiviert, die aus dem Cache abgerufen oder direkt geladen werden können, wurde die Möglichkeit zur Anwendung der logischen Operation 'not' hinzugefügt, um die Bedingungen für die Anfragenübereinstimmung umzukehren.
• Die Übertragung von Aktivierungsereignissen, die beim Arbeiten des Benutzers mit Inhalten in einem im Bild-im-Bild-Modus (Picture-in-Picture) geöffneten Fenster erzeugt werden, in das übergeordnete Fenster dieses Modus ist sichergestellt. Diese Änderung ermöglicht es, die API für Benutzeraktivierung (navigator.userActivation) auf der Hauptseite, von der das Bild-im-Bild-Fenster geöffnet wurde, zu verwenden, um die Interaktion des Benutzers mit diesem Fenster zu bestimmen (zum Beispiel kann ermittelt werden, ob der Benutzer mit der Maus im Bild-im-Bild-Fenster geklickt hat oder ob die Seite nur geladen wurde und unberührt bleibt).
• Es wurden Verbesserungen an den Werkzeugen für Webentwickler vorgenommen. Beim Anzeigen von CSS-Stilen wurden Links zu den entsprechenden Positionen im Dokument hinzugefügt, auf die sich die CSS-Eigenschaften zur Steuerung der Anzeige von Elementen, die an die Position anderer Elemente gebunden sind (CSS Anchor Positioning), beziehen. Beim Anzeigen des HTML-Codes wurden Links hinzugefügt, auf die das Attribut „popovertarget“ verweist. In der Netzwerkinspektor-Panel wurde eine neue Geschwindigkeitsvorauswahl „Fast 4G“ hinzugefügt (die Vorauswahl „Fast 3G“ wurde in „Slow 4G“ umbenannt, und „Slow 3G“ in „3G“). Im Performance-Analyse-Panel wird beim Tracing eine Anzeige der Informationen über das Senden und Empfangen von Nachrichten über WebSocket bereitgestellt.

Neben den Neuerungen und Fehlerbehebungen in der neuen Version wurden 24 Sicherheitsanfälligkeiten beseitigt. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Fünf der Probleme wurden als hochgefährlich eingestuft. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung im System auszuführen, wurden nicht festgestellt. Im Rahmen des Belohnungsprogramms für die Entdeckung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 16 Prämien in Höhe von insgesamt 47.500 US-Dollar ausgezahlt (eine Prämie in Höhe von 11.000 US-Dollar, 5.000 US-Dollar, 3.000 US-Dollar und 500 US-Dollar, zwei Prämien in Höhe von 8.000 US-Dollar, drei Prämien in Höhe von 2.000 US-Dollar). Die Höhe von 6 Prämien ist bisher nicht festgelegt.

Quelle: opennet.ru