Google: Chrome 72 verabschiedet sich von alten Protokollen

Mit der aktuellen Version 72 von Chrome beginnt Google den Abschied von TLS 1.0, 1.1 und FTP. HPKP wird komplett entfernt. Die Entwickler haben außerdem die Web-Authentication ausgebaut, WebRTC um eine Screen-Capture-Funktion erweitert und führen ein neues User-Activation-API ein.

30. Januar 2019 um 10:49 Uhr / Sebastian Grüner

Chrome verabschiedet sich langsam von veralteter Technik zur Verschlüsselung. Bild: darkday/Flickr.com / CC-BY 2.0

Google bringt in der aktuellen Version 72 seines Browsers Chrome vergleichsweise nur sehr wenige Neuerungen, die vielen Nutzern direkt auffallen dürften. Dafür ändert Google einige teils sehr wichtige Grundlagen der genutzten und in dem Browser angebotenen Webtechnik. Dazu werden in Version 72 die Protokolle TLS 1.0 und TLS 1.1 offiziell als veraltet (deprecated) bezeichnet.

TLS 1.0 wurde im Jahr 1999 veröffentlicht, TLS 1.1 darauf im Jahr 2006. Die aktuell weit verbreitete Version 1.2 ist bereits seit 2008 verfügbar, wurde aber mehrere Jahre von den Browserherstellern nicht angeboten. Ein Vorschlag bei der IETF sieht vor , das Ende von TLS 1.0 und 1.1 offiziell zu standardisieren. Die großen Browserhersteller wollen dies Anfang des Jahres 2020 umsetzen. Google plant das in Chrome-Version 81. Bis dahin zeigt der Browser nun eine Warnung in den Entwicklerwerkzeugen, falls die veralteten Protokolle genutzt werden.

Abschied von HPKP und FTP

Komplett entfernt hat Google darüber hinaus die Unterstützung für HTTP Public Key Pinning (HPKP). Damit konnten Webseiten eine Liste mit gültigen Schlüsseln festlegen, denen etwa Browsern vertrauen sollen. Das konnten zum Beispiel Schlüssel für Zertifikate oder Zertifizierungsstellen sein. Wie bereits im Herbst 2017 angekündigt , birgt das Protokoll aber einige Risiken und wird nur wenig eingesetzt, weshalb Chrome HPKP nun nicht mehr unterstützt.

Noch nicht völlig abgeschafft ist die Unterstützung für FTP in Chrome. Allerdings beginnen die Entwickler nun ebenfalls aus Sicherheitserwägungen heraus, langfristig FTP abzuschalten. Als ersten Schritt dazu verweigert Chrome nun das Rendering von Inhalten , die per FTP übertragen werden. Diese werden dann stattdessen automatisch zum Download angeboten. Dies betrifft zum Beispiel Textdateien. Das Anzeigen einer Ordnerstruktur beim Zugriff auf FTP-Server soll zunächst aber erhalten bleiben.

Neue Schnittstellen für Nutzer und Entwickler

Zur besseren Unterstützung der Sicherheit von Nutzern unterstützt das Web-Authentication-API in Chrome 72 nun auch den Zugriff auf die dazugehörigen Schnittstellen von Windows für die Zwei-Faktor-Authentifizierung (2FA). So kann auch Windows Hello zur 2FA in Chrome genutzt werden. Außerdem kann die Schnittstelle auch mit Bluetooth-Low-Energy-Geräten verwendet werden.

Eine der wenigen neuen Funktionen in Chrome 72, die wohl sehr vielen Nutzern zugutekommen, ist die Unterstützung der Schnittstelle Get-Display-Media als Teil von WebRTC . Damit lässt sich in Videokonferenzen ein Screensharing umsetzen, um etwa Präsentationsfolien zu teilen oder um Dienste wie einen entfernten Desktop-Zugriff bereitzustellen. Microsofts Edge unterstützt dies bereits nativ, Mozillas Firefox soll dies mit der kommenden Version 66 mitbringen.

Der Chrome-Browser kann zusätzlich dazu auch die Verwendung bestimmter Web-APIs unterbinden, sofern keine Nuzter-Interaktion stattgefunden hat, wie etwa Autoplay von Medien oder den Wechsel in den Vollbildmodus. In Chrome 72 führt Google ein neues Model samt Spezifikation für diese Funktion ein , was dabei helfen soll, die Funktion besser in anderen Browsern umsetzen zu können . Für eine einfachere Nutzung durch Entwickler führt Google in der aktuellen Chrome-Version eine Abfrage-API ein, mit der sich feststellen lässt, ob eine Interaktion der Nutzer festgestellt wurde.

Weitere Neuerungen für Entwickler zählt Google in einem Blogeintrag auf sowie auf der Webseite Chromestatus.com . Im Chrome-Release-Blog nennt Google einige wichtige Sicherheitslücken, die in Version 72 geschlossen wurden.