Firefox 135 Veröffentlichung

Die Veröffentlichung des Web-Browsers Firefox 135 ist erfolgt, und es wurden Updates für frühere Versionen mit langer Unterstützung veröffentlicht — 115.20.0 und 128.7.0. Die Version Firefox 136 hat den Status der Beta-Tests erreicht, deren Veröffentlichung für den 4. März geplant ist.

Die wichtigsten Neuerungen in Firefox 135:

• Im integrierten Übersetzer gibt es nun Unterstützung für Übersetzungen ins Russische (vorher war die Übersetzung aus dem Russischen in andere Sprachen verfügbar, aber nicht ins Russische) sowie Unterstützung für Übersetzungen aus dem Koreanischen, Japanischen und vereinfachten Chinesisch. Die Übersetzungsqualität wurde verbessert, beispielsweise wurden Situationen ausgeschlossen, in denen die KI-Modelle erfundene Wörter einfügen. Das in Firefox integrierte Übersetzungssystem führt die Übersetzung lokal auf dem System des Benutzers durch, ohne externe Cloud-Dienste zu nutzen. Das System basiert auf der offenen Bergamot-Engine. Die Engine ist eine Wrapper über das maschinelle Übersetzungs-Framework Marian, in dem wiederkehrende neuronale Netze (RNN) und transformerbasierte Sprachmodelle verwendet werden.
• Ein integrierter KI-Chatbot steht allen Nutzern zur Verfügung, der große Sprachmodelle nutzt, um in natürlicher Sprache zu interagieren. Der Chatbot wird in der Seitenleiste angezeigt und kann über die Dienste Anthropic Claude, ChatGPT, Google Gemini, HuggingChat (Hugging Face) und Le Chat Mistral betrieben werden. Der Benutzer kann nach Belieben zwischen den Diensten wechseln. Für die Nutzung ist eine Registrierung bei jedem der unterstützten Dienste erforderlich (in der Leiste wird die Webanwendung jedes Dienstes geöffnet). Neben dem Chatmenü wurde eine Schaltfläche „Fragen …“ hinzugefügt, über die ein markierter Abschnitt auf der Seite an den Chatbot übergeben werden kann, beispielsweise um eine kurze Zusammenfassung des Inhalts zu erstellen oder den Inhalt in einfachen Worten zu erklären. Zur Integration eigener Sprachmodelle, die auf dem lokalen System arbeiten, kann das Werkzeug llamafile verwendet werden.
• Für Nutzer aus allen Ländern, in denen der Empfehlungsdienst Mozilla Stories verfügbar ist, gibt es ein neues Layout für die Seite, die beim Öffnen eines neuen Tabs angezeigt wird. In der letzten Ausgabe wurde das neue Layout nur für Nutzer aus den USA und Kanada angeboten. Die neue Version unterscheidet sich durch das Hinzufügen einer Suchleiste und einer Liste empfohlener Seiten sowie durch Änderungen im Design des Blocks mit häufig besuchten und festgelegten Seiten, die jetzt nicht mehr in einer Gitteransicht, sondern in einer einzigen Zeile angezeigt werden. Die Anzahl der Spalten mit Inhalten wird je nach Breite des Fensters gewählt, was eine effiziente Nutzung des verfügbaren Bildschirmraums ermöglicht.
• Für alle Nutzer wurde die Unterstützung für das automatische Speichern und Ausfüllen von Kreditkartennummern in Webformularen aktiviert. Der CVV-Code wird nicht gespeichert, während die Kartennummern in einem sicheren Speicher abgelegt werden, auf den mit einem separaten Passwort zugegriffen werden kann.
• Die obligatorische Überprüfung wurde aktiviert TLS-Zertifikate von Web-Servern in öffentlichen Zertifikatstransparenzprotokollen, die darauf abzielen, Zertifikate zu identifizieren, die außerhalb der regulären Arbeitsabläufe der Zertifizierungsstelle erstellt wurden (z.B. die heimliche Erstellung eines Zertifikats aufgrund von Mitarbeitermissbrauch oder Kompromittierung der Zertifizierungsstelle). Die Zertifizierungsstelle übermittelt Informationen über alle neuen Zertifikate an mehrere unabhängige Zertifikatstransparenzprotokolle, die eine Überprüfung aller Änderungen ermöglichen. Wenn beim Zugriff auf die Website ein Zertifikat verwendet wird, das nicht im Protokoll aufgeführt ist, wird dieses Zertifikat vom Browser als unsicher markiert.

  Die Protokolle werden von verschiedenen, nicht miteinander verbundenen Organisationen begleitet. Zum Schutz vor nachträglicher Datenverfälschung beim Speichern von Daten wird eine baumartige Struktur, das "Merkle-Baum" (Merkle Tree), verwendet, in der jeder Ast alle darunter liegenden Äste und Knoten verifiziert, dank der baumartigen Hashing. Mit einem endlichen Hash kann der Nutzer die Richtigkeit der gesamten Betriebsgeschichte sowie die Richtigkeit früherer Datenbankzustände überprüfen.
• Um die Überprüfung von TLS-Zertifikaten zu beschleunigen, kommt der CRLite-Mechanismus zum Einsatz, der auf dem System des Nutzers arbeitet. Die auf der Benutzerseite gespeicherte Datenbank mit Informationen über Zertifikate wird regelmäßig mit der externen Datenbank von Mozilla synchronisiert. Um die Größe der Datenbank zu reduzieren, werden kaskadierende Bloom-Filter eingesetzt — eine probabilistische Struktur, die falsche Bestimmungen von fehlenden Elementen zulässt, jedoch das Übersehen von existierenden Elementen ausschließt. Beispielsweise werden Daten zu 100 Millionen Zertifikaten in einer Struktur verpackt, die etwa 1 MB groß ist.

  Im Vergleich zur Anfrage an die Zertifizierungsstelle mittels des OCSP-Protokolls (Online Certificate Status Protocol) beseitigt die Verwendung von CRLite nicht nur Verzögerungen durch das Senden einer Netzwerkanfrage, sondern erhöht zudem die Datenschutz (bei Verwendung von OCSP sendet der Browser eine Anfrage bei jeglichem Zugriff auf Websites, d.h. er übermittelt praktisch der Zertifizierungsstelle Daten darüber, welche Websites er öffnet) und schließt die Abhängigkeit von der Verfügbarkeit von OCSP-Servern aus (ein Angreifer könnte einen DDoS-Angriff auf den OCSP-Server durchführen, um die Verarbeitung von Anfragen zu blockieren).

• Ein Schutzmechanismus gegen Manipulationen wurde hinzugefügt, der die Navigation mit den Tasten "Zurück" und "Vor" erschwert, da die Besuchshistorie durch gefälschte Einträge, die über die History-API erstellt wurden, verunreinigt wird. Der Schutz besteht darin, Einträge, die nicht mit den Aktionen des Nutzers verbunden sind, bei der Verarbeitung von Tasteneingaben für die Tasten "Zurück" und "Vor" zu ignorieren.
• In den Builds für Linux und macOS wurde die Option hinzugefügt, nur den aktuellen Tab zu schließen und nicht alle Tabs, wenn die Tastenkombination zum Beenden der Anwendung (Alt + F4) gedrückt wird.
• Die Option zum Senden des HTTP-Headers „Do Not Track“ („DNT“) wurde von der Seite mit den Datenschutzeinstellungen (about:preferences#privacy) entfernt. Der DNT-Header informiert Websites über den Wunsch des Nutzers, keine Daten zu übermitteln, die zur Verfolgung von Bewegungen und Vorlieben verwendet werden können. Der DNT-Header ist nicht verpflichtend und wird von vielen Websites ignoriert. Statt DNT wird empfohlen, den GPC-Mechanismus (Global Privacy Control) zu verwenden, der Websites über das Verbot des Verkaufs personenbezogener Daten und der Nutzung von Daten zur Verfolgung des Verhaltens oder der Bewegungen des Nutzers informiert. Im Gegensatz zu DNT ist die Umsetzung der Anforderungen von GPC gesetzlich im CCPA (California Consumer Privacy Act) bindend.
• Die Kontextmenüaktion „Copy Without Site Tracking“ wurde in „Copy Clean Link“ umbenannt und die Möglichkeit hinzugefügt, sie für einfache URLs im Text (ohne Hyperlinks) zu verwenden. Diese Aktion ermöglicht das Kopieren der URL des ausgewählten Links in die Zwischenablage, indem zuvor die verwendeten Tracking-Parameter entfernt werden.
• In der Adressleiste wurde die Möglichkeit implementiert, nach den Namen von Tabgruppen zu suchen und zu den gefundenen Gruppen zu wechseln. Die Suche umfasst unter anderem geschlossene und gespeicherte Gruppen.
• Zum Komprimieren von Firefox-Bau für die Linux-Plattform wird das XZ-Format verwendet, das im Vergleich zum bz2-Format die Größe der heruntergeladenen Daten im Durchschnitt um 25 % verringert und die Entpackungszeit um mehr als das Doppelte reduziert.
• Für HTTP/3 wurde die Unterstützung für den hybriden Schlüsselaustausch-Algorithmus „mlkem768x25519“ hinzugefügt, der gegen Brute-Force-Angriffe mit Quantencomputern resistent ist und eine Kombination aus X25519 ECDH und dem ML-KEM-Algorithmus (CRYSTALS-Kyber) darstellt, der im vergangenen Jahr vom National Institute of Standards and Technology (NIST) standardisiert wurde. ML-KEM verwendet kryptografische Methoden, die auf der Lösung von Gitterproblemstellungen basieren, deren Lösungszeit sich auf klassischen und quantenbasierten Computern nicht unterscheidet.
• In den Attributen des PointerEvent-Interfaces, die die Zeigekoodinaten definieren, wird die Übertragung von nicht ganzzahligen Werten ermöglicht. Diese Änderung erlaubt eine präzisere Verarbeitung von Ereignissen in Situationen, in denen das Ziel-Element über CSS transformiert wurde oder wenn der Maßstab des sichtbaren Bereichs (Viewport) erhöht wurde.
• Das Verhalten der Ereignisse mouseenter, mouseleave, pointerenter und pointerleave wurde angepasst, um der Spezifikation zu entsprechen.
• Die API WebAuthn hat die Methode getClientCapabilities() hinzugefügt.
• In den Entwicklertools für das Web wurde eine Warnung ausgegeben, wenn die Eigenschaft „content-visibility“ mit Elementen verwendet wird, auf die keine Größenbeschränkung angewendet wird.
• In der Webkonsole wurde der Befehl „$$$“ hinzugefügt, der für die Suche auf Seiten unter Berücksichtigung des Inhalts des Schatten-DOM gedacht ist.
• Die Möglichkeiten zur Fehlersuche bei WebExtension-Erweiterungen wurden erweitert: Haltepunkte in den Content-Scripts funktionieren jetzt und Worker werden beim Auswählen des Kontexts im Konsolenbereich angezeigt.
• In der Android-Version wurde eine Option hinzugefügt, die es ermöglicht, automatisch Absturzberichte des Browsers an Mozilla zu senden, ohne die Bestätigung des Benutzers.

Neben Neuerungen und Fehlerbehebungen wurden in Firefox 135 19 Sicherheitsanfälligkeiten behoben. 13 Schwachstellen, die als gefährlich eingestuft sind, wurden durch Probleme beim Arbeiten mit dem Speicher verursacht, wie z.B. Pufferüberläufe und Zugriffe auf bereits freigegebene Speicherbereiche. Diese Probleme könnten potenziell dazu führen, dass beim Öffnen speziell gestalteter Seiten schadhafter Code ausgeführt wird.

In der Beta-Version von Firefox 136 für die Linux-Plattform wurde die Nutzung der Hardwarebeschleunigung beim Video-Decoder auf Systemen mit AMD-GPUs aktiviert. Der HTTPS-First-Modus, bei dem HTTP-Anfragen durch HTTPS-Anfragen ersetzt werden, wurde standardmäßig aktiviert, sowohl beim Folgen von Links oder Eingeben von URLs als auch beim Laden von Subressourcen wie Bildern, Skripten und Stylesheets. Die Unterstützung für das Senden und Empfangen von AV1-Videos über WebRTC wurde hinzugefügt.

Quelle: opennet.ru