Veröffentlichung des Web-Browsers Chrome 140 mit Unterstützung für IP-Verschleierung und Skriptblockierung

Die Firma Google hat die Version 140 des Webbrowsers Chrome veröffentlicht. Gleichzeitig ist eine stabile Version des freien Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Der Chrome-Browser unterscheidet sich von Chromium durch die Verwendung von Google-Logos, die Implementierung eines Systems zur Benachrichtigung im Falle eines Absturzes, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, die ständige Aktivierung der Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google APIs und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für das Update benötigen, wird eine gesonderte Extended Stable-Version mit einer Begleitzeit von 8 Wochen unterstützt. Die nächste Version von Chrome 141 ist für den 30. September geplant.

Die wichtigsten Änderungen in Chrome 140:

• Um den Schutz vor dem Tracking der Bewegungen zwischen Websites im Inkognito-Modus zu verstärken, wurde die Möglichkeit implementiert, Informationen über die IP-Adresse des Nutzers in externen Kontexten (z. B. für Seiten, die über ein iframe geladen werden) zu verbergen. Die Verbergung erfolgt nur für Domains, die in der MDL (Masked Domain List) aufgeführt sind, und wird durch die direkte Anfrage über einen Proxy-Server von Google realisiert. Daher sieht die Website die eingehende IP-Adressen Proxy-Adresse und nicht die des Nutzers.
• Um selektive Informationen über die IP-Adressen der Nutzer zu erhalten, wenn im Browser der Modus zum Schutz der IP-Adressen aktiviert ist, der Anfragen über einen Transit-Proxy sendet, wurde der PRT (Probabilistic Reveal Token)-Mechanismus implementiert. PRT umfasst das Senden eines Headers mit einem verschlüsselten Token, das es ermöglicht, eine zufällige, verkleinerte Auswahl echter IP-Adressen von Kunden zu erhalten, die auf die angegebene Domain, aber nicht an spezifische Anfragen gebunden. Ein Teil der PRT-Token enthält Informationen über die echte IP-Adresse, während ein anderer Teil dies nicht tut, und der Inhalt des Tokens kann erst nach Ablauf einer bestimmten Zeit entschlüsselt werden, wobei der Schlüssel verwendet wird, der von Google nach einer separaten Anfrage ausgegeben wurde. Solche Informationen über IP-Adressen können in Betrugsabwehrsystemen und zur Analyse der Qualität des Webverkehrs genutzt werden.
• Im Inkognito-Modus gibt es einen Mechanismus zur «Script Blocking», der selektiv den Zugriff auf bestimmte JavaScript-APIs blockiert, die zur versteckten Identifizierung des Benutzers verwendet werden können. Zum Beispiel können Unterschiede in der Darstellung von Bildern durch verschiedene Browser über die Canvas-API als zusätzliches Kriterium für die Identifizierung herangezogen werden. Die Blockierung erfolgt nur für Inhalte von Drittanbietern (z. B. die über iframe- oder script-Tags in die Seite eingebettete Inhalte) bei Erkennung von Aktivitäten, die typisch für versteckte Identifizierung sind, und für Domains in der schwarzen Liste MDL (Masked Domain List), die bei versteckter Identifizierung ertappt wurden.
• Der OverrideDefaultOzonePlatformHintToAuto-Modus ist aktiviert, um den Backend in der Ozone-Schicht, die die Interaktion mit dem Grafiksystem abstrahiert, automatisch auszuwählen. Diese Änderung ermöglicht eine adaptive Aktivierung des Wayland-Backends auf Systemen, die Wayland unterstützen, ohne standardmäßig an das X11-Backend gebunden zu sein.
• Die Funktion zur automatischen Passwortänderung, die auf der Verwendung von KI basiert, ist aktiviert. Wenn das Passwort in bekannten Datenbanken mit kompromittierten Konten vorhanden ist, zeigt Chrome bei einem Login-Versuch mit diesem Passwort eine Warnmeldung an und schlägt vor, das Passwort zu ändern. Bei Zustimmung generiert der Browser ein sicheres Passwort, ändert das Passwort auf der Website (füllt die benötigten Webformulare automatisch aus und sendet sie) und speichert das neue Passwort im Passwort-Manager.
• Die DSE Prewarming-Optimierung (Default Search Engine Prewarming) wurde hinzugefügt, um das Öffnen der Suchergebnisseite nach einer Abfrage über die Adressleiste zu beschleunigen. Bei aktivierter DSE Prewarming wird sofort nach dem Wechsel des Fokus auf die Adressleiste das Layout der Suchergebnisseite vorgerendert und die erforderlichen Ressourcen geladen. Die geladenen Ressourcen werden auch verwendet, um nachfolgende Anfragen zu beschleunigen. Diese Möglichkeit ist derzeit standardmäßig nur für einen Teil der Nutzer aktiviert.
• Die Autofill-Funktionen wurden erweitert, die ein KI-Modell nutzen, um Web-Formulare zu verstehen und die Felder basierend auf den vorherigen Eingaben des Nutzers in ähnlichen Formularen automatisch auszufüllen. Die Einstellung „Autofill with AI“ wurde in „Verbessertes Autofill“ umbenannt. In der neuen Version wurde die Anzahl der Länder und Sprachen, für die die Funktion verfügbar ist, erweitert, und es wurden zusätzliche Informationsarten unterstützt.
• Für Benutzer aus den USA wurde der integrierte Chatbot Gemini im Browser aktiviert, der den Inhalt der aktuellen Seite erklären und auf damit verbundene Fragen antworten kann, ohne den Tab zu wechseln. Text- und Sprachinteraktionen mit Gemini werden unterstützt. In Zukunft ist geplant, den Chatbot auch für Benutzer aus anderen Ländern zu integrieren.
• Alle Benutzer haben die Möglichkeit, bestehenden Gruppen von gemeinsamen Tabs beizutreten, an denen mehrere Benutzer gleichzeitig arbeiten können. Die Unterstützung für die Erstellung von Gruppen steht derzeit nur Benutzern von Testversionen (Beta/Dev/Canary) zur Verfügung. Es wird erwartet, dass sie eine Reihe von Tabs erstellen und diese mit anderen Benutzern teilen, die dieselben Tabs auf ihren Geräten sehen. Wenn einer der Teilnehmer einen Tab in der Gruppe ändert, wird die Änderung sofort auf den Geräten der anderen Benutzer reflektiert.
• Das Design der Warnmeldungen wurde geändert, die angezeigt werden, wenn versucht wird, eine Website ohne HTTPS zu öffnen, wenn in den Einstellungen (chrome://settings/security) der Modus für nur sichere Verbindungen aktiviert ist. Anstelle einer Warnseite wird ein Dialog unter der Adresszeile angezeigt, der den Datenabruf ohne Verschlüsselung blockiert, bis der Benutzer eine Entscheidung trifft.
• Bei Anfragen, die mit vorzeitiger Ressourcenladung oder Rendering zu tun haben (<link rel=prefetch> oder <link rel=prerender>), wird der HTTP-Header „Sec-Purpose“ gesendet. Der zuvor verwendete HTTP-Header „Purpose: prefetch“ ist veraltet, aber vorerst nicht standardmäßig deaktiviert, um die Kompatibilität zu gewährleisten.
• Im API ToggleEvent wurde die Eigenschaft source hinzugefügt, die ein Element-Objekt enthält, das das Steuerungselement darstellt, das die Zustandsänderung initiiert hat, auf die das Toggle-Ereignis reagierte. Beispielsweise wird beim Klicken auf ein „<button>“-Element mit dem Attribut „popovertarget“ beim Öffnen eines Popup-Fensters ein ToggleEvent generiert, dessen „source“-Eigenschaft es ermöglicht zu erkennen, welches „<button>“-Element gedrückt wurde.
• Die Möglichkeit zur Verwendung der Funktionen counter() und counters() innerhalb des alternativen Textes im Attribut „content“ wurde hinzugefügt (z. B. ‘content: „Kapitel“ counter(chapter);’).
• Die CSS-Eigenschaft „caret-animation“ wurde hinzugefügt, um die Animation des Cursors in Eingabefeldern zu steuern (z. B. kann das Blinken des Cursors durch eine eigene Animation ersetzt werden). Außerdem wurden die Eigenschaften animation-timing-function, animation-iteration-count, animation-direction und animation-play-state hinzugefügt, um Übergangsanimationseffekte zu steuern.
• Im CSS-Regel „@font-face“ wurde die Unterstützung der Eigenschaft font-variation-settings implementiert, um Glyphen in variablen Schriftarten anzupassen (Linienstärken, Zeichenbreiten, Zeichenneigungen usw.).
• CSS unterstützt jetzt typisierte Arithmetik, die die Verwendung von Ausdrücken wie „calc(10em / 1px)“ und „calc(20% / 0.5em * 1px)“ ermöglicht.
• Es wurden Methoden Uint8Array.prototype.toBase64, Uint8Array.prototype.toHex, Uint8Array.fromBase64 und Uint8Array.fromHex hinzugefügt, um zwischen Uint8Array und Daten im Base64- oder hexadezimalen Format zu konvertieren.
• Die Entwicklertools für Webentwickler bieten erweiterte Funktionen zur Anwendung von KI zur Fehlersuche bei Leistungsproblemen. Die Unterstützung für die Emulation von Verhalten mithilfe des HTTP-Headers „Save-Data“ wurde hinzugefügt.

Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 6 Sicherheitsanfälligkeiten behoben. Viele der Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Kritische Probleme, die alle Schutzebenen des Browsers umgangen und Code außerhalb der Sandbox-Umgebung ausgeführt hätten, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung für die Entdeckung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 4 Prämien in Höhe von 10.000 US-Dollar ausgeschüttet (darunter eine Prämie von 5000 $, 4000 $ und 1000 $). Der Betrag einer Prämie ist derzeit noch nicht festgelegt.

Quelle: opennet.ru