Das Unternehmen Google hat die Veröffentlichung des Webbrowsers Chrome 137 bekannt gegeben. Gleichzeitig ist eine stabile Version des Open-Source-Projekts Chromium verfügbar, auf dem Chrome basiert. Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein Benachrichtigungssystem bei Abstürzen, Module zum Abspielen von kopiergeschütztem Videoinhalt (DRM), ein System zur automatischen Aktualisierung, stets aktivierte Sandbox-Isolation, Bereitstellung von Schlüsseln für Google API und die Übertragung von RLZ-Parametern bei Suchanfragen. Für jene, die mehr Zeit für Updates benötigen, wird zusätzlich der Extended Stable-Zweig unterstützt, der eine Begleitzeit von 8 Wochen hat. Die nächste Version Chrome 138 ist für den 24. Juni geplant.
Wesentliche Änderungen in Chrome 137:
- In die Versionen für Windows und macOS wurde der Chatbot Gemini integriert, der die Inhalte der aktuellen Seite erklären und auf verwandte Fragen ohne Wechseln des Tabs antworten kann. Es sind sowohl textuelle als auch sprachliche Interaktionen mit Gemini möglich. Die Nutzung des Chatbots steht derzeit nur einer Teilgruppe von Nutzern in den USA zur Verfügung, die über ein Google AI Pro- oder Ultra-Abonnement verfügen.
- Ähnlich wie beim zuvor durchgeführten Segmentieren des Speichers wurde eine Isolierung der Verarbeitung des URL-Schemas „blob:“ gewährleistet, das für den Zugriff auf lokal generierte Daten über das Blob- oder Datei-API vorgesehen ist. Bei der Segmentierung wird ein separates Kennzeichen an den Schlüssel angehängt, der zur Extraktion von Objekten verwendet wird, um die Bindung an die ursprüngliche Quelle zu definieren, von der die Hauptseite geöffnet wird. DomainDies ermöglicht es, Methoden zur Nachverfolgung der Benutzerbewegungen zwischen Websites durch Manipulation der „blob:“ URLs zu blockieren.
- Im Modus für erweiterten Browserschutz (Safe Browsing > Erweiterter Schutz) wurde die Möglichkeit aktiviert, ein großes Sprachmodell zur Identifizierung von betrügerischen Seiten basierend auf ihrem Inhalt zu verwenden. Das KI-Modell wird auf der Clientseite ausgeführt, aber im Falle von Verdachtsmomenten bei fragwürdigem Inhalt erfolgt eine zusätzliche Überprüfung auf Servern Google. In der aktuellen Version wird zunächst nur Informationen über problematische Seiten gesammelt. In der nächsten Version ist geplant, Warnungen an den Benutzer auszugeben.
- Der Schutz vor der heimlichen Identifikation von Nutzern durch HSTS-Cache (HTTP Strict Transport Security) ist aktiviert. HSTS ermöglicht es Websites, Nutzer bei Zugriff über HTTP auf HTTPS umzuleiten. Während des Betriebs wird der Hostname, der über HSTS festgelegt wurde, im internen Cache gespeichert, was es erlaubt, das Vorhandensein oder Fehlen eines Hosts im Cache zur Speicherung eines einzigen Informationsbits zu nutzen. Um einen 32-Bit-Nutzer-Identifikator heimlich zu speichern, kann ein Array von 32 Bildern verwendet werden, die von verschiedenen Hosts über HTTP ausgeliefert werden (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg usw.). Die Bestimmung des Identifikators erfolgt durch die Überprüfung, von welchen Hosts die Bilder über HTTPS geladen wurden und von welchen über HTTP (wenn die Bilder zuvor über HTTP ausgeliefert und dann durch HSTS auf HTTPS umgeleitet wurden, werden sie bei nachfolgenden Anfragen sofort über HTTPS geladen, ohne eine Anfrage über HTTP zu stellen). Der Schutz besteht darin, dass die Aktualisierung von HSTS nur für Top-Level-Ressourcen erlaubt und die Aktualisierung von HSTS bei Subressourcensanfragen blockiert wird.
- Für WebRTC-Verbindungen wurde das Protokoll DTLS 1.3 (Datagram Transport Layer Security, das Pendant zu TLS für UDP) implementiert. Die Unterstützung von DTLS 1.3 ist erforderlich, um post-quanten Verschlüsselungsalgorithmen in WebRTC zu verwenden.
- Die Option der Befehlszeile „—load-extension“, die das Laden von Erweiterungen ermöglichte, wurde entfernt. Diese Maßnahme erfolgt zur Verringerung des Risikos, dass schädliche Erweiterungen geladen werden. Um entpackte Erweiterungen zwangsweise zu laden, wird empfohlen, auf der Seite für Erweiterungsverwaltung (chrome://extensions/) die Schaltfläche „Load Unpacked“ zu verwenden, nachdem der Entwicklermodus aktiviert wurde. In Chromium und Testversionen von Chrome For Testing bleibt die Unterstützung der Option „—load-extension“ erhalten.
- Es wurde beschlossen, die automatische Rückkehr zur Nutzung des SwiftShader-Software-Rendering-Systems für WebGL zu beenden, das die Vulkan-API implementiert. Wenn ein geeigneter GPU-Backend fehlt, wird die Erstellung eines WebGL-Kontexts jetzt einen Fehler zurückgeben, anstatt auf SwiftShader zu wechseln. Die Einstellung zur Nichtbenutzung von SwiftShader wird die Sicherheit erhöhen, da die Ausführung von vom JIT-Compiler generiertem Code im Prozess, der für die Interaktion mit der GPU verantwortlich ist, ausgeschlossen wird. Um die Nutzung von SwiftShader erneut zu aktivieren, gibt es eine separate Befehlszeilenoption "—enable-unsafe-swiftshader". In Chrome-Version 137 werden für Benutzer der Plattformen Linux und macOS Warnmeldungen in der Webkonsole angezeigt, wenn SwiftShader verwendet wird, und in Chrome 138 wird der Rollback auf SwiftShader deaktiviert. Für Windows-Benutzer wurde das System SwiftShader durch das in Windows integrierte WARP-Software-Rendering-System (Windows Advanced Rasterization Platform) ersetzt.
- In die Einstellungen wurde die Möglichkeit zur Aktivierung der Funktion „Autofill with AI“ eingefügt, die das Ausfüllen von Webformularen erleichtert. Bei aktivierter Funktion nutzt der Browser ein KI-Modell, um das Webformular zu verstehen und die Felder basierend auf der vorherigen Eingabe des Benutzers automatisch auszufüllen.
- Die Web-Kryptografie-API unterstützt nun kryptografische Algorithmen basierend auf der elliptischen Kurve Curve25519, einschließlich des Algorithmen zur Erstellung digitaler Signaturen Ed25519.
- Das CSS-Attribut „reading-flow“ wurde implementiert, um die Reihenfolge der Verarbeitung von Elementen in Flex-, Grid- und Blockcontainern bei der Verwendung von Bildschirmlesern und bei sequentieller Navigation zu steuern. Ebenfalls wurde die Eigenschaft „reading-order“ hinzugefügt, die ermöglicht, die Reihenfolge der Elemente manuell zu überschreiben.
- In CSS wurde die Funktion „if()“ vorgeschlagen, die dazu dient, Werte je nach Ergebnis von Bedingungsausdrücken auszuwählen. Als Argument wird eine durch Semikolons getrennte Liste von Paaren „Bedingung: Wert“ übergeben. Die Funktion durchläuft diese Paare und stoppt beim ersten erfüllten Bedingung. Zum Beispiel: „background-color: if(style(—color: white): black; else: white);“.
- Im CSS-Attribut offset-path wurde die Funktion shape() implementiert, die es ermöglicht, Formen mithilfe von Befehlen zu erstellen, die der Funktion path() entsprechen, jedoch den Standard-CSS-Syntax verwenden.
- Die JSPI (JavaScript Promise Integration) API wurde hinzugefügt, um die Integration von WebAssembly-Anwendungen mit Objekten der JavaScript-Promise zu ermöglichen und es WebAssembly-Programmen zu gestatten, als Promise-Generatoren zu fungieren und mit Promise-basierten APIs zu interagieren.
- In den APIs CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D und ImageData wurde die Unterstützung für Pixel-Formate hinzugefügt, die Fließkommawerte zur Darstellung von Farbkomponenten verwenden.
- Im Rahmen der Origin Trials wurden experimentelle APIs wie Rewriter und Writer angeboten, die es ermöglichen, Texte umzuschreiben (beispielsweise die Essenz prägnanter darzustellen oder den Erzählstil zu ändern) oder Texte mithilfe von großen Sprachmodellen zu generieren.
- In den Werkzeugen für Webentwickler wurde die Möglichkeit zur Anbindung an Arbeitsbereiche hinzugefügt, die es ermöglicht, Änderungen in lokalen Dateien zu speichern, die in JavaScript, HTML und CSS vorgenommen wurden, während man mit den im Browser integrierten Werkzeugen arbeitet. Die Funktionen des AI-Assistenten wurden erweitert, der jetzt CSS ändern und die Leistung analysieren kann.
Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 1 Schwachstelle behoben. Viele der Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung von Schwachstellenerkennungen hat Google für diese Version 8 Prämien in Höhe von insgesamt 7500 US-Dollar ausgezahlt (eine Prämie von 4000 $, 2000 $, 1000 $ und 500 $). Die Höhe der vier Prämien ist derzeit noch nicht festgelegt.
Quelle: opennet.ru
