Mozilla veröffentlicht Firefox 87
Mozilla hat Firefox 87 für Windows, Apple macOS und Linux veröffentlicht. Dieser Artikel fasst die wichtigsten Neuerungen zusammen – wie immer auf diesem Blog weit ausführlicher als auf anderen Websites.
Download Mozilla Firefox für Microsoft Windows, Apple macOS und Linux
SmartBlock verbindet Privatsphäre mit Web-Kompatibilität
Mit dem Schutz vor Aktivitätenverfolgung besitzt Firefox ein Feature, welches Scripts von bekannten Trackern blockiert, um so die Privatsphäre der Nutzer zu schützen. Positiver Nebeneffekt: Häufig führt dies auch zu einer besseren Geschwindigkeit. Was in der Theorie simpel klingt, kann in der Praxis allerdings Kompatibilitätsprobleme verursachen, wenn der Website-Code das korrekte Laden blockierter Scripts voraussetzt.
Mit Firefox 87 führt Mozilla seinen neuen SmartBlock-Mechanismus ein, zunächst für Nutzer, welche den strengen Schutz aktiviert haben, sowie in privaten Fenstern. Dabei ersetzt Firefox die Scripts bekannter Tracking-Dienste durch eine Art Ersatz-Script, welches sicherstellt, dass die Website-Kompatibilität nicht beeinträchtigt wird, während die eigentliche Funktionalität außer Kraft gesetzt wird. So können beispielsweise seitens Website Funktionen aufgerufen werden, welche Google Analytics voraussetzen, ohne dass diese tatsächlich ausgeführt werden und ohne dass es, anders als ohne SmartBlock, Script-Fehler gibt, weil Google Analytics von Firefox blockiert wird.
Verkürzter Referrer verbessert Privatsphäre
Eine weitere Privatsphäre-Verbesserung in Firefox 87 ist das standardmäßige Kürzen des sogenannten Referrers. Dabei handelt es sich um die Information, welche Seite der Benutzer besuchte, bevor er auf der aktuellen Seite landete. Wurde hier vorher die komplette URL inklusive möglicher Parameter übermittelt, welche sensible Informationen beinhalten könnten, besteht der Referrer in Zukunft standardmäßig nur noch aus der Domain. Im Detail wurde über diese Neuerung in einem gesonderten Artikel berichtet.
Hervorhebung aller Suchtreffer in Scroll-Leiste
Mit einem neuen Feature erfüllt Mozilla den Wunsch einiger Nutzer: Die Hervorhebung aller Treffer der Suchfunktion in der Scroll-Leiste. Voraussetzung dafür ist, dass die Schaltfläche zur Hervorhebung aller Suchtreffer aktiv ist.
Die Farbe der Highlights ist dabei die gleiche Farbe wie bei der Hervorhebung der Suchbegriffe selbst. Diese kann angepasst werden, indem über about:config ein neuer String-Schalter mit dem Namen ui.textHighlightBackground angelegt wird und als Inhalt den gewünschten CSS-Farbcode erhält
Mittels Zurück-Taste eine Seite zurück navigieren
Wer innerhalb eines Tabs einen oder mehrere Links anklickte und anschließend zurück navigieren wollte, brauchte dafür nicht zwingend die Maus, sondern konnte stattdessen auch die Zurück-Taste der Tastatur nutzen. Da es sich bei dieser Taste aber auch um eben jene Taste handelt, welche in Textfeldern benutzt wird, um Text zu löschen, was eine relativ häufige Nutzer-Interaktion ist, konnte es so schnell zu einem versehentlichen Zurück-Navigieren kommen, was im schlimmsten Fall auch zu einem Verlust von Eingaben führte.
Damit dies nicht länger passiert, passt sich Mozilla mit Firefox 87 anderen Browsern an, welche diesen Shortcut ebenfalls nicht unterstützen. Standardmäßig wird die Zurück-Taste damit nicht länger eine Seite zurück navigieren.
Das bedeutet keineswegs, dass die Tastatur nicht länger dazu genutzt werden könnte. Stattdessen kann wie gehabt auch Alt + Pfeil links (Mac: Cmd + Pfeil links) zum Zurück-Navigieren genutzt werden. Wer sich das nicht merken kann: Firefox zeigt das Tastatur-Kommando jetzt auch bei Herüberfahren mit der Maus über den Zurück-Button an.
Und, anders als beispielsweise Chrome, wo es dazu eine Erweiterung benötigt, bietet Firefox eine Konfiguration an, um das Verhalten zu steuern. Wird über about:config der Schalter browser.backspace_action von 2 auf 0 gestellt, funktioniert die Zurück-Taste wie bisher auch zum Navigieren zurück.
Wird der Schalter stattdessen auf 1 gestellt, ist sogar ein ganz anderes Verhalten möglich: Dann verhält sich Firefox bei Druck der Zurück-Taste wie bei Druck auf die Bild Auf-Taste und scrollt ein Stück nach oben.
Nur geänderte Einstellungen in about:config anzeigen
Auf der Seite about:config findet man in Firefox eine erweiterte Konfigurationsoberfläche, über welche zahlreiche Einstellungen vorgenommen werden können. Auch viele, für die es keine sichtbare Einstellung gibt. Ab Firefox 87 können auf Wunsch auch nur die Einstellungen angezeigt werden, welche von ihrem Vorgabewert abweichen.
VoiceOver-Unterstützung für macOS
Mozilla legt traditionell viel Wert auf die möglichst barrierefreie Nutzung seiner Produkte. Verbesserungen der Barrierefreiheit sind daher ein ständiges Thema und Verbesserungen immer wieder Bestandteil neuer Firefox-Versionen. So gab es auch in Firefox 87 wieder diverse Verbesserungen der Barrierefreiheit an unterschiedlichen Stellen von Firefox, aber auch ein großes Highlight, welches einen eigenen Abschnitt in diesem Artikel verdient:
Während Firefox bereits gut mit den gängigen Screenreadern für Windows, Linux, Android sowie iOS zusammenarbeitete, hatte Mozilla auf macOS noch etwas aufzuholen. Mit Firefox 87 hat Mozilla nun auch die Unterstützung von VoiceOver auf macOS fertiggestellt, woran mehr als ein Jahr lang gearbeitet worden ist.
Betriebssystem-Version in User-Agent eingefroren
Der User-Agent ist eine Zeichenkette, welche der Browser bei jeder Anfrage an eine Website mitsendet. Dieser beinhaltet primär Informationen zum verwendeten Betriebssystem sowie Browser. Zum Beispiel:
Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:87.0) Gecko/20100101 Firefox/87.0
Sogenanntes User-Agent-Sniffing auf Websites führt immer wieder zu Problemen, wenn dabei seitens Website fehlerhafte Annahmen getroffen werden. Wenig überraschend führte auch der Anstieg der macOS-Version von 10.x auf 11.x zu Problemen, so dass Mozilla zur Vermeidung von Kompatibilitätsproblemen die macOS-Version für alle neuen macOS-Versionen auf Version 10.15 eingefroren hat. Ein positiver Nebeneffekt neben einer verbesserten Web-Kompatibilität ist auch hier eine verbesserte Privatsphäre, da damit wieder ein Detail weniger bekannt gegeben und so der digitale Fingerabdruck reduziert wird.
Übrigens wird Mozilla eine entsprechende Änderung in Firefox 88 auch für Windows einführen. Zwar gibt es seitens Microsoft derzeit keine Pläne für ein „Windows 11“, aber sollte Microsoft irgendwann die Major-Version erhöhen, wird Firefox das Betriebssystem im User-Agent weiterhin Windows 10 nennen.
Verbesserungen der Entwicklerwerkzeuge und Webplattform
Mittels prefers-color-scheme Media-Query können Websites darauf reagieren, ob der Nutzer ein helles oder ein dunkles System-Design hat, um dies im Website-Design entsprechend zu berücksichtigen. Mozilla hat die Möglichkeit im Inspektor-Werkzeug implementiert, das Farbschema zu simulieren, ohne dass tatsächlich das Betriebssystem-Design verändert werden muss.
Im Inspektor-Werkzeug konnten für Elemente bereits die Pseudo-Klassen :hover, :active, :focus, :focus-within, :focus-visible sowie :visited aktiviert werden. Ab sofort steht auch :target zur Verfügung.
Außerdem markiert der Inspektor bereits seit längerer Zeit CSS-Regeln, welche nicht wirksam sind, und erklärt, wieso diese nicht wirksam sind. Hierfür wurden weitere Definitionen hinterlegt.
Das Screenshot-Werkzeug zeigt im Problemfall nun eine entsprechende Warnung an, zum Beispiel, wenn der Screenshot abgeschnitten werden musste, weil die Website zu lang ist, um alles auf dem Screenshot abzubilden.
Eine Übersicht über Verbesserungen der Webplattform wie neue unterstützte Webstandards gibt es wie immer in den MDN web docs.
Geschlossene Sicherheitslücken
Natürlich hat Mozilla auch in Firefox 87 wieder mehrere Sicherheitslücken geschlossen. Alleine aus Gründen der Sicherheit ist ein Update auf Firefox 87 daher für alle Nutzer dringend empfohlen.
Sonstige Neuerungen in Firefox 87
Waren Unternehmensrichtlinien auf Windows sowohl via GPO als auch via policies.json definiert, wurde die Datei policies.json bisher ignoriert. Ab sofort werden beide Quellen kombiniert. Sollte eine bestimmte Richtlinie über beide Quellen definiert sein, erhält die über GPO definierte Richtlinie den Vorzug.
Spezielle Website-Berechtigungen wurden bislang gemeinsam mit der Verbindungs-Information bei Klick auf das Schloss-Symbol in der Adressleiste angezeigt. Diese zwei Dinge wurden nun entkoppelt, so dass die Verbindungs-Informationen und Website-Berechtigungen nun in jeweils eigenen Fenstern angezeigt werden.
Das Bibliotheks-, das Hilfe- sowie das Entwickler-Menü wurden vereinfacht.
Nimmt der Nutzer an Firefox-Studien teil, werden diese nun auf about:support aufgelistet.
Die Einführungstour für neue Nutzer (about:welcome) bietet jetzt an, Firefox zum Standard-Browser zu setzen und, im Falle von Windows, Firefox an die Taskleiste anzupinnen.
Das Suchfeld von about:logins kann jetzt auch bei Verwendung des Hauptpassworts nicht nur nach Benutzernamen, sondern auch nach Passwörtern suchen. Der CSV-Import von Passwörtern führte außerdem bisher nicht zum Erfolg bei doppelten Einträgen. Firefox 87 kann mit Duplikaten beim CSV-Import umgehen.
Für den beidseitigen Druck (Duplex) gibt es eine neue Option im Drucken-Dialog, ob an der langen oder an der kurzen Kante gespiegelt werden soll.
Für die Aktivierung von WebRender auf Linux ist ein Mesa-Treiber in Version 17 oder höher nun ausreichend (vorher mindestens Version 18).
Die nativeMessaging-Berechtigung kann von WebExtensions jetzt zur Laufzeit angefragt werden und muss nicht mehr bei der Installation erlaubt werden, falls von der Erweiterung benötigt.
Natürlich kamen auch in Firefox 87 wieder Fehlerbehebungen und sonstige Verbesserungen unter der Haube dazu.
Sören Hentzschel ist Webentwickler aus Salzburg. Auf soeren-hentzschel.at informiert er umfassend über Neuigkeiten zu Mozilla. Außerdem ist er Betreiber von camp-firefox.de, der ersten Anlaufstelle im deutschsprachigen Raum für Firefox-Probleme aller Art. Weitere Projekte sind firefox.agenedia.com, firefoxosdevices.org sowie sozone.de.
Also funktioniert SmartBlock praktisch wie die Erweiterung "Decentraleyes"?
Nein. Decentraleyes macht etwas völlig anderes als der SmartBlock-Mechanismus von Firefox. Bei Decentraleyes geht es darum, Bibliotheken, welche über ein CDN eingebunden sind, lokal einzubinden. Abgesehen davon, dass Bibliotheken nicht gleich Tracking-Scripts sind (das betrifft beispielsweise auch jQuery, was weder mit Tracking zu tun hat noch überhaupt einfach blockiert werden kann, weil viele Website dann komplett hinüber wären), verändert das funktional gar nichts. Der Privatsphäre-Gewinn liegt hier lediglich darin, keinen externen Server kontaktieren zu müssen. SmartBlock hingegen unterbindet tatsächlich die Funktionalität, als würde die Datei blockiert werden. Darum auch nur bei Tracking-Scripts. Bloß statt die Datei einfach nur zu blockieren, wird ein Ersatz-Script eingebunden, welches eben nicht das macht, was das Original-Script macht, sondern lediglich dafür sorgt, dass andere Scripts, welche die Existenz des zu blockierenden Scripts voraussetzen, keine Fehler werfen, die zu Problemen auf der Website führen. Wenn schon, dann wäre SmartBlock mit den Surrogates vergleichbar, die es in NoScript früher gab.
Gibt es eigentlich eine Möglichkeit, das Hauptpasswort nach einer bestimmten Zeit oder wenigstens nach dem Standby automatisch zu sperren? In den Einstellungen kann ich dazu nichts finden.
Ist mir zumindest nicht bekannt.
Das ist schade. Vielleicht wäre ein solches Feature echt geeignet. Bei meinem Passwort-Manager kann man solche Sachen einstellen. Wenn man das bei Firefox auch einstellen könnte, würde ich dort auch mehr Passwörter speichern.
Ein Browser ist allerdings kein Passwort-Manager und dementsprechend sind die Anforderungen nicht die gleichen. 😉 Einen Browser nutzt man gerne mal zig Stunden am Stück. Einen Passwort-Manager nur bei Bedarf. Und jemand, der seine Daten beispielsweise synchronisiert, wäre dann ja auch gezwungen, alle x Minuten sein Passwort neu einzugeben.
Wie sieht es denn eigentlich aus, wenn man den Datenschutz auf Benutzerdefiniert gestellt hat?
Wird Smartblock auch dann aktiv und wann?
Das habe ich mich ebenfalls bei der mit 86 eingeführten Cookie Isolierung gefragt.
Habe zum Beispiel auf "Cookies von nicht besuchten Seiten" eingestellt und die restlichen Einstellungen aktiv.
Zum anderen Frage ich mich, ob nun auch "eTag" durch den neuen Mechanismus bereinigt wird, dieser wird ja bisher nicht isoliert.
Ich sage ja gar nicht, dass es Standard sein sollte. Aber nach einem Standby wäre es schon sinnvoll. Oder nach einer "Untätigkeit" im Browser. Mir ist in letzter Zeit nur aufgefallen, dass ich das Passwort immer nur nach einem Browser-Update eingeben muss. Dabei ist mir dann aufgefallen, dass ich den Rechner eigentlich schon wieder ewig nicht richtig runtergefahren habe.
Ich für mich habe dann immer nur ein schlechtes Gefühl, mit dem Wissen, dass wenn jemand meinen Laptop im Standby klaut und es irgendwie schafft den RAM auszulesen, dann hätte er auch die Firefox-Passwörter. Ich würde da doch lieber einen (versteckten) Schalter umlegen und ab und zu mal mein Hauptpasswort eingeben. Aber wenn es das nicht gibt, dann sichere ich auch weiterhin die wichtigsten Passwörter nur im Passwort-Manager.
Da fällt es mir aber auch gerade wieder ein: Durch die Import-Funktionen dachte ich, dass sich Firefox vielleicht als Passwort-Manager-Ersatz etablieren will.
Aber unabhängig davon: Danke für deine ausführlichen Berichte!
Ich habe mir die Implementierung nicht angesehen, aber denke, dass das eher unwahrscheinlich ist.
Nach dem Standby des Systems muss doch sowieso das System-Passwort eingegeben werden.
@Sören
Vielen Dank für diesen tollen Artikel. Es bereitet wie immer viel Spass und beim lesen. 😉
@Alfred
Wie Sören bereits angedeutet hat, wirst du doch wohl nach dem Aufwachen aus dem Standby sicherlich ein Passwort für dein System eingeben. Falls das tatsächlich nicht der Fall ist, dann wäre dies sehr fatal. Genau genommen würdest du dann zwar Firefox schützen (mal angenommen, deine Anfrage würde funktionieren), aber der Rest deines Systems ist dann nicht geschützt. Das wäre beispielsweise dann so, als würdest du alle Türen deines Autos offen lassen, aber dein Radio oder Navi mit einem Schloss sichern. Der Täter käme also problemlos in dein Auto, nur könnte dieser nicht gleich Radio&Navi entwenden, aber könnte sich ansonsten bequem in deinem Auto umsehen. -> IMMER DAS KOMPLETTE SYSTEM SCHÜTZEN!!!
Entsprechen diese Ersatzscripte für Smart-block den Originalcode von beispielsweise Google-Analytics nur eben nicht ausführbar gemacht?
Das widerpricht sich ja gegenseitig: Wenn der Code "nicht ausführbar" ist, kann es nicht der Originalcode sein. Viel mehr geht es darum, gängige Funktionen zu erstellen, so dass deren Aufruf keine Fehler erzeugt. Diese Funktionen machen aber nichts.
Hab hier was im Mozilla-block dazu gefunden:
https://blog.mozilla.org/security/2021/03/23/introducing-smartblock/
jetzt ist mir das klarer, das nur Scripte verwendet werden die sich ähnlich dem Original verhalten.
Smartblock ersetzt dann die jetzigen trackingschutz-mechanismen, richtig?
Kommen sich dann Smartblock und Script-blocker-Add-ons nicht in die Quere? Noscript z.b. blockiert doch dann trotzdem diese ersatz-Scripte was das laden der Website wieder verlangsamen kann.
Smartblock ersetzt keine vorhandenen Trackingschutz-Mechanismen, es ist eine Weiterentwicklung. Bestimmte Scripts, welche vorher blockiert worden wären, sind damit genauso unwirksam wie vorher auch, aber bei gleichzeitig verbesserter Web-Kompatibilität. Einen Konflikt mit einem Scriptblocker sehe ich da keinen. Ob ein Scriptblocker nun das originale oder das Ersatz-Script blockiert, führt in der Konsequenz zum exakt gleichen Ergebnis: Das Script wird nicht geladen so wie es Firefox vor dem Smartblock-Mechanismus auch blockiert hätte. Das Resultat ist also in keinem Fall schlechter als vorher. Natürlich entgeht einem der Vorteil von Smartblock, wenn man das Script blockiert, aber das ist dann ja ein hausgemachtes Problem – wer NoScript einsetzt, blockiert eben Scripts.
Ist diese liste irgendwo öffentlich einsehbar? Auf disconnect hab ich nichts gefunden. Wäre dann leichter den BLocker einzustellen da er ja nur aktive scripte blocken soll bis ich die erlaube.
Funktioniert Google Analytics in Zukunft dann nicht mehr, oder war das nur als Beispiel ind deinem Artikel gedacht?
Es wird mit Smartblock nichts blockiert, was nicht auch ohne Smartblock blockiert werden würde.
Hier findest du alle aktiven Regeln:
https://github.com/mozilla-extensions/webcompat-addon/blob/main/src/data/shims.js
So sieht das Ersatz-Script am Beispiel von Google Analytics aus:
https://github.com/mozilla-extensions/webcompat-addon/blob/main/src/shims/google-analytics.js
Noch mal kurz als Nachtrag, auch wenn das Thema eigentlich abgeschlossen ist: Ja, natürlich muss ich ein Passwort eingeben, wenn ich aus dem Standby komme. Allerdings bin ich mir nicht sicher, wie leicht man den RAM eines laufenden Systems auslesen kann. Ich würde mich zumindestens noch sicherer fühlen, wenn es diese doppelte Sicherheit geben würde. Bei einem Passwortmanager passiert das und da man mittlerweile die Passwörter in Firefox sogar importieren kann, hätte das ja auch dort sein können. Aber ich werde die unwichtigen weiterhin im Firefox speicher und die wichtigeren weiterhin im KDB-File.
Und bei beiden fühle ich mich relativ sicher, weil ich noch ein Systempasswort und Festplattenverschlüsselung davor habe und ich auch selten mein Laptop im Zug vergessen 😉
Eine Frage zum Punkt "Hervorhebung aller Suchtreffer in Scroll-Leiste": Das funktioniert ja mittlerweile in Webseiten ganz schön. In MS Edge funktioniert es aber auch in PDFs, eine Möglichkeit, die ich bei Firefox derzeit sehr vermisse.
Weißt du, ob in der Hinsicht bei Firefox was geplant ist?
Vielen Dank 🙂
Geplant im Sinne von "das steht auf einer Roadmap und wird in jedem Fall in absehbarer Zeit kommen" nicht, aber das hier ist das entsprechende Bugzilla-Ticket, welches du verfolgen kannst, wenn du mitbekommen möchtest, sobald sich da was tut:
https://bugzilla.mozilla.org/show_bug.cgi?id=1693784