Schrittweise Migration auf neue Richtlinien für Erweiterungen
Schrittweise Migration auf neue Richtlinien für Erweiterungen (Bild: Google)

Chrome Google will Browsererweiterungen sicherer machen

Google schränkt die Möglichkeiten für Entwickler von Chrome-Erweiterungen ein, um Nutzern mehr Sicherheit zu verschaffen. CSP wird standardmäßig aktiviert.

Anzeige

Mit der Aktivierung von Content-Security-Policy (CSP) schränkt Google die Möglichkeiten für Webentwickler ein. Bislang war die Nutzung von CSP optional. Durch die Umstellung sind Erweiterungen mit dem bisherigen Erweiterungssystem nicht mehr kompatibel.

Für Chrome-Erweiterungen gilt die CSP-Regel "script-src 'self'; object-src 'self'". Das bedeutet, Erweiterungen dürfen keine Inline-Scripts mehr verwenden, sie müssen diese aus einer Javascript-Datei laden, die mit der Erweiterung geliefert wird. Ähnliches gilt für SWF-Dateien und Daten anderer Plugins, hier können aber auch Dateien von HTTPS-Servern geladen werden, die auf einer Whitelist stehen. Zudem kann die Funktion eval() nicht länger verwendet werden. Wer JSON parsen will, soll dazu JSON.parse verwenden, rät Google.

Google geht davon aus, dass durch diese Änderungen rund 96 Prozent der bekannten Sicherheitslücken in Erweiterungen geschlossen werden. Die am häufigsten von Entwicklern gemachten, sicherheitsrelevanten Fehler werden also ausgeschlossen.

Google will die neuen, zum bestehenden Erweiterungssystem inkompatiblen Erweiterungen schrittweise einführen. Nutzer können weiterhin alle Erweiterungen installieren, so dass Nutzer keine Funktionen verlieren.

Entwickler können selbst entscheiden, wann sie auf das neue, mit Chrome 18 eingeführte Manifest umsteigen wollen. Denn ab diesem Zeitpunkt wendet Chrome CSP an. Es muss also niemand sofort umsteigen. Google macht aber deutlich, dass es nur eine Frage der Zeit ist, bis die alten Erweiterungen abgeschaltet werden. So werden ab einem nicht genannten Zeitpunkt neue Erweiterungen nur noch auf Basis des neuen Manifests akzeptiert.


AsgarSerran 01. Mär 2012

Immerhin basiert Chrome auf Chromium. Wenn du Chrome nicht traust, kannst du ja andere...

win.ini 01. Mär 2012

eval() .... führt das nicht zum autoban? :)

Kommentieren



Anzeige

  1. Embedded Software Engineer (m/w)
    GIGATRONIK Technologies AG, Wil SG (Schweiz)
  2. Service Desk Mitarbeiter/in
    Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V., St. Augustin
  3. Datenbankentwickler (m/w)
    über Jobware Personalberatung, Braunschweig
  4. SAP Inhouse ABAP-Entwickler (m/w)
    Metabowerke GmbH, Nürtingen

 

Detailsuche


Spiele-Angebote
  1. TIPP: Batman Wochenend-Deal bei Steam
  2. VORBESTELLAKTION: Call of Duty - Black Ops III
    vorbestellen und Beta-Zugangscode erhalten
  3. VORBESTELLBAR: Guild Wars 2 Heart of Thorns Vorverkaufsbox
    44,99€ (Vorbesteller-Preisgarantie)

 

Weitere Angebote


Folgen Sie uns
       


  1. BND-Affäre

    Keine Frage der Ehre

  2. Sensor ausgetrickst

    So klaut man eine Apple Watch

  3. CD Projekt Red

    The Witcher 3 hat Speicherproblem auf Xbox One

  4. Microsoft

    OneClip soll eine Cloud-Zwischenablage werden

  5. VR-Headset

    Klage gegen Oculus-Rift-Erfinder Palmer Luckey

  6. Salesforce

    55 Milliarden US-Dollar von Microsoft waren zu wenig

  7. Freedom Act

    US-Senat lehnt Gesetz zur NSA-Reform ab

  8. Die Woche im Video

    Pappe von Google, Fragen zur Überwachung und SSD im Test

  9. One Earth Message

    Bilder und Töne für Außerirdische

  10. Tropico 5

    Espionage mit El Presidente



Haben wir etwas übersehen?

E-Mail an news@golem.de



Surface 3 im Test: Tolles teures Teil
Surface 3 im Test
Tolles teures Teil
  1. Surface Pro 3 Microsoft erhöht Preise um bis zu 250 Euro
  2. Surface 3 im Hands on Das Surface ohne RT

BSI: Akte E, die ungelösten Fälle der elektronischen Aktenführung
BSI
Akte E, die ungelösten Fälle der elektronischen Aktenführung
  1. Kritik an Gesetzentwurf Eco hält Vorratsdatenspeicherung für nicht umsetzbar
  2. Geheimdienst-Affäre BND plante Operation ohne Wissen des Kanzleramtes
  3. IT-Sicherheitsgesetz CCC lehnt BSI als Meldestelle ab

Skype-Translator-Vorschau ausprobiert: Hasta la vista, baby!
Skype-Translator-Vorschau ausprobiert
Hasta la vista, baby!
  1. EU-Gericht Sky und Skype sind zum Verwechseln ähnlich
  2. Videochat Skype bekommt ein Web-SDK
  3. Apps und Dienste Cyanogen geht Partnerschaft mit Microsoft ein

  1. Re: das geht bei einer Uhr doch viel simpler

    serra.avatar | 08:50

  2. Re: Position 1 in Google News-Themen

    nixidee | 08:13

  3. Re: Versteh ich nicht

    nixidee | 08:02

  4. Re: Es sollte noch einfacher gehen

    nixidee | 07:52

  5. Re: doofe Sache

    nixidee | 07:51


  1. 09:00

  2. 15:05

  3. 14:35

  4. 14:14

  5. 13:52

  6. 12:42

  7. 11:46

  8. 09:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel