Ab Januar 2014 sperrt Google fast alle Browser-Plug-ins für Chrome
Googles Browser Chrome wird ab Januar 2014 standardmäßig alle Browser-Plug-ins sperren, die auf dem Netscape Plug-in Application Programming Interface (NPAPI) basieren. Für eine Übergangszeit will das Unternehmen allerdings noch einige Ausnahmen erlauben, darunter Microsofts Silverlight und das eigene Google-Earth-Plug-in. Die Ausnahmen von der generellen Sperre wird Google über eine Whitelist regeln.
“Das Netscape Plug-in API wurde in einer frühen Phase der Web-Innovationen eingeführt und bot den ersten Standardmechanismus für die Erweiterung von Browsern”, schreibt Justin Schuh, Security Engineer bei Google. Seitdem habe sich das Web aber weiterentwickelt. Aktuelle Browser seien schneller, sicherer und leistungsfähiger als ihre Vorgänger. Die NPAPI-Architektur habe sich zum Hauptgrund für Abstürze und Sicherheitsprobleme entwickelt. “Deswegen wird Chrome den NPAPI-Support im Lauf des kommenden Jahrs einstellen.”
Auf der Whitelist stehen derzeit sechs Plug-ins, von dem eins – nämlich Java – schon jetzt aus Sicherheitsgründen ab Werk blockiert wird. Erlaubt sind weiterhin Silverlight, Unity, Google Earth, Google Talk und Facebook Video. Silverlight ist dabei das am häufigsten von Chrome-Nutzern aufgerufene Plug-in. Darauf griffen laut Google im August 15 Prozent der Chrome-Nutzer zu.
Darüber hinaus will Google für Nutzer und Administratoren die Möglichkeit schaffen, eigene weiße Listen für spezielle Plug-ins anzulegen. “Trotzdem soll irgendwann der NPAPI-Support vollständig aus Chrome entfernt werden”, so Schuh weiter. “Wir erwarten, dass das vor Ende 2014 passieren wird.” Der genaue Zeitplan sei von der tatsächlichen Nutzung und den Rückmeldungen der Nutzer abhängig.
Ab sofort nimmt Google keine neuen Apps oder Erweiterungen in den Chrome Web Store auf, die auf NPAPI basierende Plug-ins enthalten. Entwickler können noch bis Mai 2014 vorhandene Plug-ins und Erweiterungen aktualisieren. Danach sollen sie nicht mehr in den Suchergebnissen, den Kategorien oder auf der Homepage des Marktplatzes erscheinen. Im September 2014 sollen alle NPAPI-Plug-ins und -Erweiterungen aus dem Chrome Web Store entfernt werden. Vorhandene Installationen sollen aber noch funktionieren, bis Chrome NPAPI endgültig nicht mehr unterstützt.
Schuh weist zudem darauf hin, dass das in Chrome eingebaute Flash-Plug-in sowie Googles PDF-Viewer nicht betroffen sind, weil sie nicht auf NPAPI basieren. Für beide nutzt Google das Pepper Plug-in Application Programming Interface (PPAPI). Auch Googles Native-Client-Plug-ins verwenden PPAPI.
[mit Material von Stefan Beiersmann, ZDNet.de]