Firefox 135 veröffentlicht

Die Version 135 des Webbrowsers Firefox wurde veröffentlicht und es wurden Updates für die alten Support-Versionen 115.20.0 und 128.7.0 bereitgestellt. Die Beta-Testphase für die Version Firefox 136 hat begonnen, deren Veröffentlichung für den 4. März geplant ist.

Die wichtigsten Neuerungen in Firefox 135:

• Der integrierte Übersetzer unterstützt nun auch Übersetzungen ins Russische (zuvor war nur die Übersetzung vom Russischen in andere Sprachen verfügbar). Außerdem wurden Übersetzungen für Koreanisch, Japanisch und vereinfachtes Chinesisch hinzugefügt. Die Qualität der Übersetzungen wurde verbessert, indem Situationen vermieden wurden, in denen die KI-Modelle erfundene Wörter einfügten. Das in Firefox integrierte Übersetzungssystem arbeitet lokal auf dem System des Benutzers, ohne auf externe Cloud-Dienste zuzugreifen. Das System basiert auf der Open-Source-Engine Bergamot, die eine Schnittstelle zum maschinellen Übersetzungsframework Marian bereitstellt und rekursive neuronale Netzwerke (RNN) sowie Transformer-basierte Sprachmodelle verwendet.
• Ein integrierter KI-Chatbot steht allen Nutzern zur Verfügung, der große Sprachmodelle für die Interaktion in natürlicher Sprache nutzt. Der Chatbot wird in der Seitenleiste angezeigt und kann über die Dienste Anthropic Claude, ChatGPT, Google Gemini, HuggingChat (Hugging Face) und Le Chat Mistral betrieben werden. Der Nutzer kann nach Belieben zwischen den Diensten wechseln. Für die Nutzung ist eine Registrierung bei jedem der unterstützten Dienste erforderlich (in der Seitenleiste wird die Webanwendung jedes Dienstes geöffnet). Neben dem Chat wurde im Kontextmenü die Schaltfläche „Fragen …“ hinzugefügt, über die ein markierter Textabschnitt auf der Seite an den Chatbot übergeben werden kann, beispielsweise um eine Zusammenfassung des Inhalts zu erstellen oder die Hauptsache einfach zu erklären. Um eigene Sprachmodelle zu integrieren, die auf dem lokalen System laufen, kann das Werkzeug llamafile verwendet werden.
• Für Nutzer aus allen Ländern, in denen der Empfehlungsservice von Mozilla Stories verfügbar ist, wurde eine neue Seite für den neuen Tab eingeführt. In der vorherigen Version war diese neue Gestaltung nur für Nutzer aus den USA und Kanada verfügbar. Die neue Variante zeichnet sich durch eine Suchleiste und eine Liste empfohlener Seiten aus, sowie durch eine Änderung des Designs des Abschnitts mit häufig besuchten und angehefteten Websites, der jetzt nicht mehr in einem Raster, sondern in einer einzigen Reihe angezeigt wird. Die Anzahl der Spalten mit Inhalten wird je nach Fensterbreite gewählt, was eine effektive Nutzung des gesamten verfügbaren Bildschirmraums ermöglicht.
• Für alle Nutzer wurde die automatische Speicherung und das Ausfüllen von Kreditkartennummern in Web-Formularen aktiviert. Der CVV-Code wird nicht gespeichert, und die Kartennummern werden in einem sicheren Speicher abgelegt, für den ein separates Passwort festgelegt werden kann.
• Eine obligatorische Überprüfung wurde aktiviert. TLS-Zertifikaten Webserver in öffentlichen Certificate Transparency-Protokollen, die zur Identifizierung von Zertifikaten erstellt wurden, die durch die regulären Verfahren der Zertifizierungsstelle umgangen wurden (zum Beispiel die heimliche Erstellung eines Zertifikats aufgrund von Missbrauch durch einen Mitarbeiter oder der Kompromittierung der Zertifizierungsstelle). Die Zertifizierungsstelle übermittelt Informationen über alle neuen Zertifikate an mehrere unabhängige Certificate Transparency-Logs, die eine Überprüfung aller Änderungen ermöglichen. Wenn beim Zugriff auf die Website ein Zertifikat verwendet wird, das nicht im Protokoll aufgeführt ist, wird dieses Zertifikat vom Browser als unsicher gekennzeichnet.

  Die Protokolle von verschiedenen, nicht miteinander verbundenen Organisationen werden begleitet. Um eine nachträgliche Verzerrung der Daten bei der Speicherung zu verhindern, wird eine baumartige Struktur namens "Merkle-Baum" (Merkle Tree) verwendet, bei der jeder Zweig alle darunter liegenden Zweige und Knoten verifiziert, dank der baumartigen Hashing-Technologie. Mit einem endgültigen Hash kann der Benutzer die Korrektheit der gesamten Historie der Vorgänge sowie die Korrektheit der früheren Zustände der Datenbank sicherstellen.
• Zur Beschleunigung der Überprüfung von TLS-Zertifikaten wird der CRLite-Mechanismus eingesetzt, der auf dem Benutzergerät arbeitet. Die im Benutzer gespeichert Datenbank mit Informationen über Zertifikate wird regelmäßig mit der externen Datenbank von Mozilla synchronisiert. Um die Datenbankgröße zu reduzieren, kommen kaskadierte Bloom-Filter zum Einsatz — eine probabilistische Struktur, die eine falsche Bestimmung eines fehlenden Elements erlaubt, aber das Übersehen eines bestehenden Elements ausschließt. Zum Beispiel werden Daten über 100 Millionen Zertifikate in einer Struktur mit einer Größe von etwa 1 MB gepackt.

  Im Vergleich zur Anfrage an die Zertifizierungsstelle mit dem OCSP-Protokoll (Online Certificate Status Protocol) beseitigt die Verwendung von CRLite nicht nur die Verzögerungen durch das Senden einer Netzwerkabfrage, sondern erhöht auch die Vertraulichkeit (bei der Verwendung von OCSP sendet der Browser eine Anfrage bei jedem Aufruf von Websites, d.h. er überträgt tatsächlich Daten an die Zertifizierungsstelle darüber, welche Websites er besucht) und schließt die Abhängigkeit von der Verfügbarkeit von OCSP-Servern aus (ein Angreifer könnte einen DDoS-Angriff auf den OCSP-Server durchführen, um die Verarbeitung von Anfragen zu blockieren).

• Es wurde ein Schutz gegen Manipulationen hinzugefügt, der die Navigation mit den Schaltflächen „Zurück“ und „Vorwärts“ erschwert, da die Besuchshistorie durch gefälschte Einträge, die über die API-History erstellt werden, überflutet wird. Der Schutz besteht darin, dass Einträge, die nicht mit den Aktionen des Benutzers verbunden sind, beim Verarbeiten der Klicks auf die Schaltflächen „Zurück“ und „Vorwärts“ ignoriert werden.
• In den Builds für Linux und macOS wurde die Option hinzugefügt, nur die aktuelle Registerkarte zu schließen und nicht alle Registerkarten, nachdem die Tastenkombination zum Beenden der Anwendung (Alt + F4) gedrückt wurde.
• Die Option zum Senden des HTTP-Headers „Do Not Track“ („DNT“) wurde von der Seite mit den Datenschutzeinstellungen (about:preferences#privacy) entfernt. Der DNT-Header informiert Websites über den Wunsch des Nutzers, keine Informationen zu übertragen, die zur Verfolgung von Bewegungen und Präferenzen verwendet werden können. Der DNT-Header ist nicht verpflichtend und wird von vielen Websites ignoriert. Statt DNT wird empfohlen, den Mechanismus GPC (Global Privacy Control) zu verwenden, der Websites darüber informiert, dass der Verkauf personenbezogener Daten und die Verwendung von Daten zur Verfolgung des Verhaltens oder der Bewegungen des Nutzers untersagt sind. Im Gegensatz zu DNT ist die Einhaltung der Anforderungen von GPC gesetzlich nach dem CCPA (California Consumer Privacy Act) vorgeschrieben.
• Die Kontextmenüaktion „Copy Without Site Tracking“ wurde in „Copy Clean Link“ umbenannt und um die Möglichkeit erweitert, sie für reine URLs im Text (ohne Hyperlinks) zu verwenden. Diese Aktion ermöglicht es, die URL des ausgewählten Links in die Zwischenablage zu kopieren, nachdem die zur Verfolgung von Übergängen zwischen Websites verwendeten Parameter entfernt wurden.
• In der Adresszeile wurde die Möglichkeit implementiert, nach Gruppennamen von Tabs zu suchen und zu den gefundenen Gruppen zu wechseln. Die Suche umfasst unter anderem geschlossene und gespeicherte Gruppen.
• Für die Komprimierung von Firefox-Builds für die Linux-Plattform wird das XZ-Format verwendet, das im Vergleich zum bz2-Format die Größe der herunterzuladenden Daten im Durchschnitt um 25 % reduzieren konnte und die Entpackzeit mehr als verdoppelte.
• Für HTTP/3 wurde die Unterstützung des hybriden Schlüsselaustauschalgorithmus 'mlkem768x25519' hinzugefügt, der quantencomputersicher ist und eine Kombination aus X25519 ECDH und dem ML-KEM-Algorithmus (CRYSTALS-Kyber) darstellt, der im vergangenen Jahr von dem National Institute of Standards and Technology (NIST) standardisiert wurde. ML-KEM verwendet kryptografische Methoden, die auf der Lösung von Gitterproblemen basieren, deren Lösungszeit sich auf klassischen und Quantencomputern nicht unterscheidet.
• In den Attributen des PointerEvent-Interfaces, die die Koordinaten des Zeigers definieren, wurde die Übertragung nicht-ganzzahliger Werte implementiert. Diese Änderung ermöglicht eine genauere Verarbeitung von Ereignissen, insbesondere in Situationen, in denen das Ziel-Element durch CSS transformiert oder der Abstand des sichtbaren Bereichs (Viewport) vergrößert wurde.
• Das Verhalten der Ereignisse mouseenter, mouseleave, pointerenter und pointerleave wurde geändert, um der Spezifikation zu entsprechen.
• Im WebAuthn-API wurde die Methode getClientCapabilities() hinzugefügt.
• In den Entwicklertools wird eine Warnung ausgegeben, wenn die Eigenschaft 'content-visibility' mit Elementen verwendet wird, für die keine Größenbeschränkung gilt.
• In die Web-Konsole wurde der Befehl '$$$' eingefügt, der zum Suchen auf Seiten unter Berücksichtigung des Inhalts des Shadow DOM dient.
• Die Debugging-Möglichkeiten für WebExtension-Add-Ons wurden erweitert: Breakpoints in den Content-Skripten funktionieren jetzt korrekt, und Worker werden angezeigt, wenn der Kontext im Console-Bereich ausgewählt wird.
• In der Android-Version wurde eine Option hinzugefügt, die die automatische Übermittlung von Absturzberichten an Mozilla ermöglicht, ohne dass der Benutzer zustimmen muss.

Neben neuen Funktionen und Bugfixes wurden in Firefox 135 insgesamt 19 Sicherheitsanfälligkeiten behoben. 13 dieser Schwachstellen, die als kritisch eingestuft sind, hängen mit Speicherproblemen zusammen, wie etwa Pufferüberläufen und dem Zugriff auf bereits freigegebene Speicherbereiche. Diese Probleme könnten potenziell dazu führen, dass Angreifer beim Öffnen speziell gestalteter Webseiten Code ausführen können.

In der Beta-Version von Firefox 136 für die Linux-Plattform wurde die Unterstützung für die hardwarebeschleunigte Video-Dekodierung auf Systemen mit AMD-GPU integriert. Der HTTPS-First-Modus ist standardmäßig aktiviert, wodurch HTTP-Anfragen durch HTTPS-Anfragen ersetzt werden, sowohl bei der Verfolgung von Links als auch beim Eingeben von URLs sowie beim Laden von Subressourcen wie Bildern, Skripten und Stylesheets. Außerdem wurde die Unterstützung für das Senden und Empfangen von Videos im AV1-Format über WebRTC hinzugefügt.

Quelle: opennet.ru