Archive for the Category »Browser «

Firefox Quantum ist ein Hit

Viele Entwickler sind  irgendwann in den letzten Jahren von Mozillas Firefox auf Googles Chrome umgestiegen – und es sieht so aus, dass mit Firefox Quantum so mancher davon den Weg zurück gefunden hat.

Hersteller Mozilla ist voll des Lobes, weil die neue Generation seines Firefox-Browsers bei den Nutzern so gut ankommt. Die Grenze von 100 Millionen Installationen erreichte Firefox Quantum schneller als jedes andere frühere Release. Das „größte Update aller Zeiten“ läuft inzwischen auf 170 Millionen Endgeräten, und auch die Firefox-Apps werden von der Aufmerksamkeit befördert.

Dabei kommen noch täglich Millionen neuer User hinzu, und die Anzahl von Chrome-Usern, die zu Firefox gewechselt sind, stieg um 44 Prozent.

Auch die Mobilnutzerzahl wächst

Auch die Mobilversion verzeichnet mit um 24 Prozent gestiegenen Downloads deutliche Zuwächse. Selbst Firefox Klar mit seinem Schwerpunkt auf dem Datenschutz hat sogar 48 Prozent mehr Downloads.

Viele Add-Ons für Firefox Quantum verfügbar

Wo Licht ist, ist meist auch Schatten: Weniger begeistert sind zahlreiche Nutzer, bei denen viele Add-ons seit dem Quantum-Update nicht mehr funktionieren.

Add-Ons für Quantum dürfen nämlich nur noch Webextension-APIs verwenden – die bisherigen Schnittstellen wurden abgeschaltet.

Dafür sind aber inzwischen über 1000 Erweiterungen für Quantum verfügbar. Mozilla sagt dazu: “Das Add-On-Ökosystem bleibt stark“.

Das hervorragende Feedback der Benutzer hat die Entwickler “unglaublich ermutigt”. Im nächsten Monat soll es schon das nächste Update geben, Firefox 58 wird am 23. Januar 2018 erwartet.

Chrome blockiert Code von Drittanbietern

Zwei von drei Chrome-Nutzern verwenden unter Windows Software, die mit dem Browser interagiert und sich dabei in dessen Prozesse einklinkt, hat Google festgestellt.

Als bestes Beispiel dafür nennt der Chrome-Hersteller Virenschutzprogramme, die ihren Code direkt in den Chrome-Browser „injizieren“, um die Nutzer dadurch besser vor Malware zu schützen.

Allerdings verschärfen genau solche Verfahren ein Problem verschärft: Durch den injizierten Fremdcode steigt nämlich die Absturzrate des „Wirts-Browsers“ Chrome um satte 15 Prozent, schreibt Chris Hamilton vom Chrome-Stabilitätsteam. In Zukunft sieht er Chrome-Erweiterungen und das Native-Messaging-API als modernere und absturzsicherere Alternativen zur Code-Injektion.

Dreistufige Absturzvermeidung

Um die hohe Absturzrate des aktuellen Platzhirschen unter den Browsern auf dem Markt merklich zu senken, will Chrome ab Juli 2018 Drittanbieter daran hindern, ihren Code in den Chrome-Browser unter Windows zu einzufügen.

Der Plan ist dreistufig: Ab April zeigt Chrome 66 nach einem solchen Absturz nur einen Warnhinweis an, der dem Nutzer erläutert, dass der Code eines Drittanbieters Ursaches des Crashs war. Außerdem empfiehlt der Browser dann, die betroffene Software upüzudaten– oder aber zu deinstallieren.

Ab Juli wird es dann wirklich ernst, denn ab dann hindert Chrome 68 die Programme Dritter daran, Code in einen Chrome-Prozess zu injizieren. Falls diese Blockierung dann aber den Start des Browsers verhindern sollte, wird Chrome das Einschleusen des Codes dann doch noch erlauben.

Auch in diesem Fall bekommt der Nutzer wieder einen Warnhinweis. In der dritten Stufe wird Chrome 72 ab Januar 2019 dann solchen externen Code komplett blockieren. Es soll dabei jedoch einige Ausnahmen geben. Dazu gehören beispielsweise von Microsoft-signierter Code, Software für barrierefreies Arbeiten und Eingabeprogramme (IME), die davon nicht betroffen sind.

Chat-Widget mit Nebentätigkeit

Viele Unternehmen setzen zum Online-Kundensupport Chat-Widgets ein, über die sie den Kontakt mit ihren Kunden auf der Webseite pflegen können. Das bekannte Tool Live Help Now ist nun bei einer ungenehmigten Nebentätigkeit erwischt worden:

In das Programm war das Krypto-Mining-Script Coinhive integriert, das im Betrieb die Leistung der beteiligten Rechner missbrauchte um darauf Kryptogeld zu schürfen. Dieses Chat-Tool wird von etwa 1.500 Websites benutzt. Sollten Sie als Webworker das Widget ebenfalls benutzt haben, wäre eine Prüfung der entsprechenden Internetpräsenzen dringend anzuraten.

Es ist noch nicht ganz klar, ob die Entwickler des Dienstes das Skript vielleicht vorsätzlich eingebaut haben oder ob sie selbst Opfer eines Angriffes von Dritten geworden sind. Sie waren wegen Thanksgiving (Feiertag) und Black Friday in den USA nicht auf Anhieb zu erreichen.

Nach vorliegenden Screenshots steigt die CPU-Auslastung nach Einbau des Skriptes mit  dem Mining-Code stark an. Die ca. 1.500 Webseiten, die das Widget aktuell nutzen, trugen damit unwissentlich zu einer deutlich höheren Leistungsaufnahme der PCs ihrer Kunden bei.

Bei einem aktuellen Test vor 2 Tagen konnte Golem den Coinhive-Code in dem Widget nicht mehr feststellen.

Vivaldi 1.13 mit neuer Tab-Verwaltung

Wer häufig mit vielen geöffneten Tabs seines Browsers im Internet verliert dabei schnell den Überblick, was unter welchem Tab steckt.Denn statt der URLs sind dann nur noch bunte Favicons zu sehen, was es deutlich erschwert, dort eine bestimmte Seite zu lokalisieren. Hier will die neueste Version des Vivaldi-Browser Abhilfe schaffen: Der aktuelle Vivaldi 1.13 bietet mit seinem “Window Panel” eine praktische Möglichkeit zur Verwaltung von mehreren Tabs.

Das neue Panel in Vivaldi 1.13 zeigt in der Seitenleiste alle geöffneten Tabs in einer Baumansicht an. In diesem Bereich kann der Benutzer jetztr die Tabs mit Drag and Drop umsortieren und sie anheften, aktualisieren, duplizieren oder auch schließen. Sogar eine Tabsuche ist mit an Bord. Zum Platzsparen kann man mehrere Tabs auch in einer Gruppe zusammenführen.

Über das neue Panel kann man auch mit unerwünschtem Sound nervende Tabs gezielt zur Ruhe bringen (“Audio aus”).

Genau wie Opera und Chrome basiert auch Vivaldi auf Chromium. Vivaldi 1.13 steht ab sofort für die Betriebssysteme Windows, macOS und Linux zum kostenlosen Download zur Verfügung. Das Update wird nach und nach verteilt, und ein schon installierter älterer Vivaldi-Browser lädt das Update in aller Regel auch automatisch herunter.

Browser-Updates für Firefox, Firefox ESR und Tor

In Firefox, Firefox ESR (Extended Support Release) sowie dem auf ESR basierenden Tor Browser finden sich mehrere Sicherheitslücken, die Angreifern unter bestimmten Umständen das Ausspähen von Informationen, Cross-Site-Scripting-Angriffe und sogar das Ausführen beliebigen Codes mit den Rechten des Browsers möglich machen.

Nach aktuellen Sicherheitshinweisen von Mozilla sind alle Vorgänger-Versionen des Browsers Firefox 57 aka Quantum und Firefox ESR vor dem aktuellen Release 52.5 betroffen. Die Versionen vor 7.0.10 des anonymisierenden Tor Browsers sind such verwundbar, weil der Tor-Browser auf Firefox ESR aufsetzt.

Unter den insgesamt 15 in Firefox geschlossenen Sicherheitslücken bewerten die Entwickler drei als “kritisch” und eine als “hoch”. Weitere elf Lücken ordnen sie als “niedrig” bis “mittel” ein. Das Notfallteam des BSI CERT Bund sieht das aber durchaus etwas anders: Es stufte das von den Sicherheitslücken ausgehende Risiko durchgängig als “sehr hoch” ein.

Benutzer sollten in jedem Fall zügig updaten: Die abgesicherten Versionen des im Zuge des Projekts Quantum rundum überarbeiteten und nun deutlich schnelleren und ressourcenschonenderen Firefox 57 und von ESR 52.5 stehen zum Download bereit. Das gilt auch für den auf ESR 52.5 basierenden Tor Browser 7.0.10.

Google will unerwünschte Weiterleitungen verhindern

Hersteller Google hat gerade neue Sicherheitsfunktionen für seinen Browser Chrome angekündigt. die Nutzer besser vor unerwünschten Inhalten schützen sollen.

Dabei zielt Google besonders auf die sogenannten Page Redirects, welche die Nutzer meist zu Werbezwecken und ohne jede Vorankündigung auf eine neue Seite umleiten.

Solche unerwünschten Weiterleitungen werden nach Google aber häufig nicht von der besuchten Seite, sondern durch eingebettete Inhalte von Drittanbietern veranlasst.

„Der Autor der Seite hatte eine solche Weiterleitung nie beabsichtigt“, schreibt Google-Produktmanager Ryan Schoen dazu im Chromium-Blog. Deshalb ignoriere Chrome 64 in Zukunft alle Weiterleitungen aus Iframes von Drittanbietern heraus und zeige stattdessen nur eine Infoleiste an. „Das hält die Nutzer auf der Seite, die sie gerade lesen.“

Redirects aus solchen Iframes heraus wird Chrome künftig nur noch nach einer Interaktion mit dem Benutzer durchführen. Schoen weist aber darauf hin, dass auch solche Interaktionen missbraucht werden können.

Als Beispiel beschreibt er den Klick auf einen Link, bei dem sich ein neuer Tab öffnet, während der Ausgangstab im Hintergrund auf eine ganz andere Seite umgeleitet wird. Mit dieser Technik umgeht man letztlich Chromes Popup-Blocker. „Ab Chrome 65 erkennen wir auch dieses Verhalten, zeigen eine Infoleiste an und verhindern, dass der Haupt-Tab umgeleitet wird“, erläutert Produktmanager Schoen im Blogbeitrag.

Tor-Browser verrät die IP-Adresse

Ende Oktober fiel Filippo Cavallarin vom Sicherheitsunternehmen We Are Segment eine Sicherheitslücke im Tor-Browser unter Linux und MacOS auf.

Diese TorMoil genannte Schwachstelle öffnet Links, die mit „file://“ beginnen, am Tor-Browser vorbei. Dummerweise kann bei diesem Versuch die echte IP-Adresse des Nutzers mit übertragen werden – damit wird die vom Tor-Browser versprochene Anonymität dann ausgehebelt.

Es betrifft nur die Betriebssysteme MacOS und Linux

Nach den Erläuterungen der Sicherheitsexperten von We Are Segment steckt die Schwachstelle im Umgang des Browsers Firefox, der die Basis für den Tor-Browser bildet, mit Links. Windows-, Tail- und Sandbox-Nutzer sind von dem Problem nicht betroffen.

Noch vor dem letzten Wochenende haben die Tor-Entwickler einen Hotfix für den Tor-Browser erarbeitet. Der aktuelle Tor-Browser für Mac und Linux steht auf torproject.org in der Version 7.0.9 zum Download bereit.

Wer den Tor-Browser für Linux oder MacOS oder Tor-Software aus dem Alpha-Zweig der Entwicklung nutzt, sollte die neue Version so schnell wie möglich installieren. Heute soll noch eine überarbeitete Alpha-Version für Linux und MacOS online gestellt werden.

File-Links können dann nicht mehr angeklickt werden

Achtung: Der Hotfix in der neuen Browser-Version schließt zwar die Sicherheitslücke, bringt jedoch eine Einschränkung mit. Das Klicken auf „file://“-Links funktioniert damit nicht mehr. Nutzer können solche Links aber einfach in die Adressleiste ziehen, um dieses Problem zu umgehen.

Verbesserter Malware-Schutz in Googles Chrome

Die Windows-Version seines Browsers Chrome 62 hat Google jetzt um drei neue Funktionen erweitert. Alle drei sollen die Erkennung und Entfernung von Schadsoftware verbessern.

Insbesondere will der Browserhersteller verhindern, dass Malware und gefährliche Erweiterungen Suchergebnisse verändern oder Nutzer unfreiwillig in die Arme schädlicher Websites weiterleiten. Dabei erhält Google Unterstützung von dem slowakischen Sicherheitsanbieter Eset.

Google nicht verhindern, dass gefährliche Erweiterungen installiert werden, Deshalb kann Chrome jetzt aktiv werden, wenn eine Erweiterung Einstellungen des Browsers wie zum Beispiel die voreingestellte Suchmaschine ändert. In solchen Fällen weist Chrome auf die Änderung hin und bietet dann an, die ursprüngliche Einstellung wiederherzustellen.

Außerdem wurde die Funktion zum Zurücksetzen des Browsers auf die Werkseinstellungen (z.B. nach einer Malware-Infektion) neu gestaltet. Sie zeigt jetzt eine Warnung an, wenn Chrome eine unerwünschte Software entdeckt, und bietet auch Unterstützung bei deren Entfernung an. Bis jetzt gab es für diesen Zweck nur das separate Chrome Cleanup Tool. Auch die Warnmeldungen wurden neu gestaltet, um besser erkennen zu können, welche Software da entfernt wird.

Die dritte Neuerung bei Chrome 62 ist eine Malware Detection Engine, die nun als fester Bestandteil zu Chrome Cleanup gehört. Die stammt von Eset und arbeitet mit der Sandbox von Chrome zusammen. Damit ist Chrome jetzt in der Lage, deutlich mehr unerwünschte Software vom den Rechnern der Benutzer fernzuhalten als bisher.