Version des Webbrowsers Chrome 135

Google hat die Version 135 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht eine stabile Version des freien Projekts Chromium, das die Grundlage für Chrome bildet, zur Verfügung. Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein Benachrichtigungssystem im Falle eines Absturzes, Module zur Wiedergabe kopiergeschützter Videoinhalte (DRM), ein automatisches Update-System, permanente Sandbox-Isolierung, die Bereitstellung von Schlüsseln für Google-APIs und die Übertragung von RLZ-Parametern bei der Suche. Für Anwender, die mehr Zeit für Updates benötigen, wird eine separate Extended Stable-Version unterstützt, die 8 Wochen lang begleitet wird. Die nächste Version Chrome 136 ist für den 29. April geplant.

Wesentliche Änderungen in Chrome 135:

• Der Schutz vor der heimlichen Identifizierung von Nutzern mittels HSTS-Cache (HTTP Strict Transport Security) wurde hinzugefügt. HSTS ermöglicht es Webseiten, beim Zugriff über HTTP den Nutzer auf HTTPS umzuleiten. Während des Betriebs wird der Hostname, der über HSTS festgelegt wurde, im internen Cache gespeichert, was es ermöglicht, das Vorhandensein oder Fehlen des Hosts im Cache zur Speicherung eines Bits an Informationen zu nutzen.

  Für die verborgene Speicherung einer 32-Bit-Benutzerkennung kann ein Array aus 32 Bildern verwendet werden, die von verschiedenen Hosts über HTTP bereitgestellt werden (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg usw.). Die Identifizierung der Benutzerkennung erfolgt durch die Überprüfung, von welchen Hosts die Bilder über HTTPS geladen wurden und von welchen über HTTP (wenn die Bilder zuvor über HTTP bereitgestellt und durch HSTS auf HTTPS umgeleitet wurden, werden sie bei anschließenden Anfragen sofort über HTTPS geladen, ohne einen Zugriff über HTTP). Der Schutz beschränkt sich darauf, das Update von HSTS nur für oberste Ressourcen zuzulassen und das Update von HSTS in Subressourcen-Anfragen zu blockieren.
• Ein lokal ausführbares Modell des maschinellen Lernens wurde hinzugefügt, um die Erkennung von Eingabeformularen für Passwörter auf Seiten zu verbessern und die automatische Passwortänderung zu ermöglichen. Wenn ein Passwort als kompromittiert erkannt wird, zeigt Chrome beim Anmeldeversuch mit diesem Passwort eine Warnung an und bietet an, das Passwort zu ändern. Bei Zustimmung generiert der Browser ein sicheres Passwort, ändert das Passwort auf der Website und speichert das neue Passwort im Passwortmanager — AI füllt die benötigten Webformulare automatisch aus und sendet diese an die entsprechende Website und aktualisiert das gespeicherte Passwort.
• Im erweiterten Schutzmodus des Browsers (Safe Browsing > Erweiterter Schutz) wurde die Möglichkeit hinzugefügt, ein großes Sprachmodell zur Identifizierung betrügerischer Seiten anhand ihres Inhalts zu verwenden. Das AI-Modell wird clientseitig ausgeführt, aber im Falle des Verdachts auf zweifelhaften Inhalt wird eine zusätzliche Überprüfung durchgeführt auf Servern Google. Wenn die zusätzliche Überprüfung bestätigt wird, erhält der Benutzer eine Warnung. Die Überprüfung wird derzeit nur für Seiten durchgeführt, die die API Keyboard Lock verwenden.
• Für Nutzer, die Chrome mit ihrem Google-Konto verbunden haben, gibt es nun die Möglichkeit, installierte Erweiterungen in ihrem Google-Konto zu speichern, um diese Erweiterungen automatisch auf allen verwendeten Geräten zu nutzen.
• Nutzer, die sich kürzlich bei ihrem Google-Konto angemeldet haben oder Chrome Sync verwenden, können synchronisierte Einstellungen, Webseiten-Shortcuts und Designs separat von lokalen Einstellungen speichern. Dadurch bleiben die ursprünglichen Einstellungen nach der Deaktivierung von Chrome Sync auf dem Gerät erhalten, während bei der Verbindung mit Google keine lokalen Einstellungen geladen werden.
• In der Android-Version wurde die Unterstützung des integrierten Passwortmanagers eingestellt. An seine Stelle tritt der vereinheitlichte Google Passwortmanager, der über den Google Play Store bereitgestellt wird. Nutzer können den Inhalt des alten Passwortmanagers im CSV-Format speichern, um ihn in andere Passwortmanager zu übertragen.
• Im Inkognito-Modus gibt es eine nicht deaktivierbare, browserseitige Blockierung von Drittanbieter-Cookies, die beim Zugriff auf Websites gesetzt werden, die sich von Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden. der aktuellen Seite (ähnliche Cookies werden verwendet, um die Bewegungen des Nutzers zwischen Webseiten in der Werbung, sozialen Medien und Web-Analysesystemen zu verfolgen). Die Möglichkeit, die Blockierung von Drittanbieter-Cookies auf den Webseiten zu steuern, bleibt unverändert, jedoch kann im Browser die Einstellung BlockThirdPartyCookies im Inkognito-Modus nun nicht mehr auf false gesetzt werden.
• In CSS wurden die Pseudo-Elemente „::column“, „::scroll-button“, „::scroll-marker“ und „::scroll-marker-group“ hinzugefügt, mit denen das Scrollen in Form eines Karussells realisiert werden kann.
• Die HTML-Attribute „command“ und „commandfor“ wurden implementiert, die in Schaltflächen anstelle der Attribute „popovertargetaction“ und „popovertarget“ verwendet werden können, um die Interaktion mit dem durch das Klicken auf die Schaltfläche aufgerufenen Menü deklarativ einzustellen. Bei Verwendung der neuen Attribute übernimmt der Browser die gesamte Logik der Menüinteraktion, ohne dass eigene JavaScript-Handler erforderlich sind. Um beispielsweise ein Dropdown-Menü zu erstellen, genügt es, Folgendes anzugeben: <button commandfor="»my-menu»" command="»show-popover»">Menü öffnen</button> <div popover id="»my-menu»"> … </div>
• In CSS wurde die Funktion shape() hinzugefügt, die es ermöglicht, Formen mithilfe der CSS-Eigenschaften clip-path und offset-path zu erstellen. Die Funktion shape() unterstützt Formbefehle, die der Funktion path() entsprechen, erlaubt jedoch die Verwendung der Standard-CSS-Syntax.
• Im Web Speech API, das Funktionen für Sprachsynthese und -erkennung bereitstellt, wurde die Unterstützung für das MediaStreamTrack-Interface hinzugefügt, um Geräusche aus verschiedenen Quellen zu verarbeiten, einschließlich externer Audiospuren. Zuvor konnte das Web Speech API nur Geräusche verarbeiten, die über das standardmäßig ausgewählte Mikrofon eingingen.
• In JavaScript wurde die Unterstützung für typisierte Arrays Float16Array hinzugefügt, die zur Speicherung von Werten des Typs Float16 vorgesehen sind.
• Eine API Observable wurde hinzugefügt, um Ereignisströme im asynchronen Modus zu verarbeiten. Diese API ermöglicht es, sich auf ein Objekt zu abonnieren, um Ereignisse bei ihrem Eintreffen zu erhalten, und den Transformationsfluss, der auf eingehende Ereignisse angewendet werden soll, deklarativ zu beschreiben.
• Die Methode navigator.xr.supportsSession, die zuvor als veraltet gekennzeichnet war, wurde entfernt. Stattdessen sollte die Methode navigator.xr.isSessionSupported verwendet werden, die in der WebXR-Spezifikation deklariert ist.
• Die Einstellungen InsecurePrivateNetworkRequestsAllowedForUrls und InsecurePrivateNetworkRequestsAllowed, die zur Aktivierung des PNA 1.0-Mechanismus (Private Network Access) verwendet wurden, wurden entfernt. Diese Mechanismen schränkten den Zugriff auf Ressourcen von öffentlich zugänglichen Websites ein, die auf Hosts im internen Netzwerk (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 usw.) verweisen. Solche Aktivitäten werden von Angreifern genutzt, um CSRF-Angriffe auf Router, Zugangspunkte, Drucker, Unternehmens-Webschnittstellen sowie andere Geräte und Dienste durchzuführen, die Anfragen nur aus dem lokalen Netzwerk akzeptieren.

  Aufgrund von Inkompatibilitäten mit einigen Geräten konnte PNA 1.0 nur optional aktiviert werden. Für PNA 1.0 wurde die Spezifikation PNA 2.0 entwickelt, für die keine Änderungen an den Geräten erforderlich sind; es genügen Anpassungen auf den Seiten, die Zugang zu Intranet-Ressourcen benötigen. PNA 1.0 und PNA 2.0 sind nicht miteinander kompatibel, daher beabsichtigt Google, die Unterstützung für PNA 1.0 vor der Einführung von PNA 2.0 zunächst abzubauen.

• Die Option zur Wiederherstellung der Unterstützung für die veraltete Schnittstelle MutationEvent und die damit verbundenen synchron behandelten DOMSubtreeModified-, DOMNodeInserted-, DOMNodeRemoved-, DOMNodeRemovedFromDocument-, DOMNodeInsertedIntoDocument- und DOMCharacterDataModified-Ereignisse wurde entfernt. Die Schnittstelle wurde verwendet, um Änderungen im DOM-Baum zu verfolgen, hatte jedoch negative Auswirkungen auf die Seitenleistung und behinderte die Implementierung einiger neuer Funktionen. Diese API wurde im vergangenen Sommer standardmäßig deaktiviert, aber in Chrome blieb die Option MutationEventsEnabled zur Wiederherstellung der Unterstützung bestehen. Es wird empfohlen, die API Mutation Observer als Alternative zu verwenden.
• Die Entwicklerwerkzeuge für das Web bieten erweiterte Funktionen zur Leistungsanalyse.

In der neuen Version wurden neben neuen Funktionen und Bugfixes 14 Schwachstellen beseitigt. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht gefunden. Im Rahmen des Programms zur Belohnung von Schwachstellenerkennungen hat Google für das aktuelle Release 8 Auszeichnungen in Höhe von insgesamt 17.000 US-Dollar ausgezahlt, darunter eine Prämie von 10.000 US-Dollar und zwei Prämien von 2.000 US-Dollar, 1.000 US-Dollar und 500 US-Dollar.

Quelle: opennet.ru