Schrittweise Migration auf neue Richtlinien für Erweiterungen
Schrittweise Migration auf neue Richtlinien für Erweiterungen (Bild: Google)

Chrome Google will Browsererweiterungen sicherer machen

Google schränkt die Möglichkeiten für Entwickler von Chrome-Erweiterungen ein, um Nutzern mehr Sicherheit zu verschaffen. CSP wird standardmäßig aktiviert.

Anzeige

Mit der Aktivierung von Content-Security-Policy (CSP) schränkt Google die Möglichkeiten für Webentwickler ein. Bislang war die Nutzung von CSP optional. Durch die Umstellung sind Erweiterungen mit dem bisherigen Erweiterungssystem nicht mehr kompatibel.

Für Chrome-Erweiterungen gilt die CSP-Regel "script-src 'self'; object-src 'self'". Das bedeutet, Erweiterungen dürfen keine Inline-Scripts mehr verwenden, sie müssen diese aus einer Javascript-Datei laden, die mit der Erweiterung geliefert wird. Ähnliches gilt für SWF-Dateien und Daten anderer Plugins, hier können aber auch Dateien von HTTPS-Servern geladen werden, die auf einer Whitelist stehen. Zudem kann die Funktion eval() nicht länger verwendet werden. Wer JSON parsen will, soll dazu JSON.parse verwenden, rät Google.

Google geht davon aus, dass durch diese Änderungen rund 96 Prozent der bekannten Sicherheitslücken in Erweiterungen geschlossen werden. Die am häufigsten von Entwicklern gemachten, sicherheitsrelevanten Fehler werden also ausgeschlossen.

Google will die neuen, zum bestehenden Erweiterungssystem inkompatiblen Erweiterungen schrittweise einführen. Nutzer können weiterhin alle Erweiterungen installieren, so dass Nutzer keine Funktionen verlieren.

Entwickler können selbst entscheiden, wann sie auf das neue, mit Chrome 18 eingeführte Manifest umsteigen wollen. Denn ab diesem Zeitpunkt wendet Chrome CSP an. Es muss also niemand sofort umsteigen. Google macht aber deutlich, dass es nur eine Frage der Zeit ist, bis die alten Erweiterungen abgeschaltet werden. So werden ab einem nicht genannten Zeitpunkt neue Erweiterungen nur noch auf Basis des neuen Manifests akzeptiert.


AsgarSerran 01. Mär 2012

Immerhin basiert Chrome auf Chromium. Wenn du Chrome nicht traust, kannst du ja andere...

win.ini 01. Mär 2012

eval() .... führt das nicht zum autoban? :)

Kommentieren



Anzeige

  1. PreSales Storage Consultant Service Provider (m/w)
    NetApp Deutschland GmbH, München, Stuttgart oder Hamburg
  2. Informatiker (m/w)
    Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz
  3. Product Owner (m/w)
    TeamViewer GmbH, Göppingen
  4. Spezialistin / Spezialist E-Government und Online-Services
    VBL, Karlsruhe

 

Detailsuche


Top-Angebote
  1. NUR HEUTE: PlayStation 4 + The Order: 1886 Limited Steelbook Edition "Ausdauer des Ritters" + 2 Controller + Kamera
    399,00€ USK 18
  2. TIPP: Fast & Furious 1-6 [Blu-ray]
    26,99€
  3. BESTSELLER: Game of Thrones - Die komplette 4. Staffel [Blu-ray]
    32,99€

 

Weitere Angebote


Folgen Sie uns
       


  1. Freie Bürosoftware

    Libreoffice liegt im Rennen gegen Openoffice weit vorne

  2. Smartwatch

    Pebble sammelt über 20 Millionen US-Dollar

  3. Manfrotto

    Winziges LED-Dauerlicht für Filmer und Fotografen

  4. Test Woolfe

    Rotkäppchen schwingt die Axt

  5. Palinopsia Bug

    Das Gedächtnis der Grafikkarte auslesen

  6. Die Woche im Video

    Galaxy S6 gegen One (M9), selbstbremsende Autos und Bastelei

  7. Xbox One

    Firmware-Update bringt Sprachnachrichten auf die Konsole

  8. Elektromobilitätsgesetz

    Bundesrat gibt Elektroautos mehr Freiheiten

  9. 2160p60

    Youtube startet fordernde 60-fps-Videos in scharfem 4K

  10. Nuclide

    Facebook stellt quelloffene IDE vor



Haben wir etwas übersehen?

E-Mail an news@golem.de



Mini-Business-Rechner im Test: Erweiterbar, sparsam und trotzdem schön klein
Mini-Business-Rechner im Test
Erweiterbar, sparsam und trotzdem schön klein
  1. Shuttle DS57U Passiver Mini-PC mit Broadwell und zwei seriellen Com-Ports
  2. Broadwell-Mini-PC Gigabytes Brix ist noch kompakter als Intels NUC
  3. Mouse Box Ein Mini-PC in der Maus

Bloodborne im Test: Das Festival der tausend Tode
Bloodborne im Test
Das Festival der tausend Tode
  1. Bloodborne Patch und PC-Petition
  2. Bloodborne angespielt Angsthase oder Nichtsnutz

Jugendliche und soziale Netzwerke: Geh sterben, Facebook!
Jugendliche und soziale Netzwerke
Geh sterben, Facebook!
  1. 360-Grad-Videos und neuer Messenger Facebook zeigt seinen Nutzern Rundumvideos
  2. Urheberrecht Bild-Fotograf zieht Abmahnung zum Facebook-Button zurück
  3. Urheberrecht Abmahnung wegen Nutzung des Facebook-Buttons bei Bild.de

  1. Re: Zeit für eine neue CPU ;)

    plutoniumsulfat | 03:00

  2. Re: OLED minderwertig

    RedRose | 01:53

  3. Re: "begann man dann damit, den Code aufzuräumen"

    bremse | 01:44

  4. Re: Hack n Slay. Ähnliche Games pls

    tsukabaru | 01:38

  5. Re: Quantitaet anstelle von Qualitaet

    Nephtys | 01:37


  1. 17:19

  2. 15:57

  3. 15:45

  4. 15:03

  5. 10:55

  6. 09:02

  7. 17:09

  8. 15:52


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel