Aktualisierungen als RSS-Feed oder im Changelog.

Privacy-Handbuch

Informationen über installierte Schrift­arten (Fonts) können mit Javascript, Flash oder Java aus­gelesen und zur Berechnung eines individuellen Fingerprint des Browsers genutzt werden. Der Fonts Test von Browserleaks demonstriert es:
Schriftarten schlecht
Viele Tracking­dienste nutzen inzwischen diese Technik. Die Studie Dusting the web for fingerprinters der KU Leuven (2013) kommt zu den Schluss, dass mindestens 0,5 - 1,0% der Webseiten die installierten Schriftarten für Trackingzwecke auslesen.

Das Laden von Schriftarten aus dem Internet ist auch ein Sicherheitsrisiko, weil damit Angriffe direkt auf das Betriebs­system möglich werden. Bugs in den Font Rendering Bibliotheken, die Remote Code Execution durch Laden von bösartigen Schriften erlaubten, gab es für Windows (ms11-087 oder ms15-078), Linux (CVE-2010-3855) oder OpenBSD (CVE-2013-6462).

ms15-078 wurde von der Firma Hacking Team zur Installation eines Überwachungstrojaners genutzt. Das Google Security Team hat zwischen 2015 und 2017 mit der Code Fuzzing Software BrokenType weitere 40 Bugs im Windows Kernel und Font Rendering gefunden, die ein Angreifer nutzen konnte, um mit bösartigen Fonts den Rechner anzugreifen und eigenen Code mit Systemrechten auszuführen.

Der Downloads von (exotischen) Schriftarten wird auch von Google zum Tracking genutzt. Viele Webdesigner binden Schriften vom Google Font Service ein.
  1. Für den Designer ist die Einbindung der Fonts einfach. Man muss nur ein kleines CSS-Stylesheet importieren. Um die Schriftart OpenSans zu nutzen, reicht eine Zeile: <link href='https://fonts.googleapis.com/css?family=Open+Sans' rel='stylesheet' type='text/css'>
  2. Beim Aufruf der Webseite lädt der Browser ein kleines Stylesheet vom Server fonts.googleapis.com, das die Links zum Download der Font Dateien enthält. @font-face {
    font-family: 'Open Sans';
    font-style: normal;
    font-weight: 400;
    src: local('Open Sans'), local('OpenSans'),
    url(https://fonts.gstatic.com/s/opensans/v13/... cJZKeOu4kERxqtaUH.....Zu7kw.woff) format('woff');
    }
  3. Der Browser holt sich dann die Dateien mit Schriftarten vom Server fonts.gstatic.com und zeigt die Webseite an. Die Fonts werden für einen Tag im Cache gespeichert.
Für das Laden von Schriftarten vom Google Font Service gelten die Datenschutz­bestimmung von Google. Viele Webseiten weisen in Ihren Privacy Statements aber nicht darauf hin, dass beim Aufruf der Webseite Daten bei Google gespeichert und verarbeitet werden. Wenn man ein Smartphone nutzt, werden bei Google z.B. die Telefonnummer und andere eindeutige Geräte-IDs mit dem Aufruf der Webseite verknüpft.

Blockieren externer Schriftarten mit Add-ons?

Einige Firefox Add-ons wie NoScript oder uBlock Origin können mit einer Option den Download von zusätzlichen Schriftarten blockieren. Dabei gibt es folgende Nachteile:
  1. Es wird beim Google Fonts Service nur der zweite Schritt blockiert. Das Stylesheet wird trotzdem von Google geladen. Wenn man keine Fonts von Google verwenden möchte, dann sollte man den Server "fonts.googleapis.com" mit einer Filterregel blockieren.
  2. Die Add-ons können nicht zwischen Fonts für eine hübsche Schrift (entbehrlich) und notwendigen Fonts für die Darstellung von Icons für die Navigation unterscheiden. Viele Webseiten werden dadurch unbrauchbar.
  3. Das Blockieren des Downloads externer Schriftarten schützt nicht gegen das Auslesen lokal installierter Fonts für das Fingerprinting des Browsers.
Deshalb empfehlen wir die Nutzung des Features bei NoScript / uBlock Origin nicht.

Konfiguration der Schriftarten in Firefox

Um das Tracking anhand der installierten Schriftarten zu vermeiden, deaktiviert man die Optionen "Webseiten das verwenden von eigenen Schriften erlauben" und die CSS Font Loading API. Damit sehen einige Webseiten nicht mehr ganz so hübsch aus. browser.display.use_document_fonts = 0
layout.css.font-loading-api.enabled = false
Das Underline Handling von Fonts sollte man deaktivieren, da es zum Fingerprinting der installierten Schriftarten und zur Erkennung des Betriebssystems verwendet werden kann: font.blacklist.underline_offset = "" (leerer String)
Immer mehr Websites verwenden Webicon Fonts für die Darstellung von Symbolen. Häufig sieht man statt der Symbole seltsame Zeichen, weil der passende Font mit den Symbolen nicht mehr aus dem Internet geladen wird. Das Web wird damit nahezu unbenutzbar.
Schriftarten schlecht
Um diese Probleme zu vermeiden, empfehlen wir die Freigabe von downloadbaren Schriften für die Darstellung von Symbolen. Damit werden Icons wieder korrekt dargestellt: gfx.downloadable_fonts.enabled = true
Schriftarten gut

Für hohe Sicherheitsanforderungen kann man das Rendering von OpenType SVG Fonts und die Graphite Engine deaktivieren, um die Angriffsfläche zu reduzieren. Die Graphite Engine wird nur für die verbesserte Darstellung komplexer asiatischer Schriftarten benötigt: gfx.font_rendering.opentype_svg.enabled = false
gfx.font_rendering.graphite.enabled = false

Um die Lesbarkeit von Webseiten zu verbessern, sollten man gut lesbare Standard­schriften verwenden. Unter Windows eignet sich "Arial", unter Linux eignet sich "Liberation Sans". Man findet die Option in den Firefox "Einstellungen" im Bereich "Allgemein".
Schriftarten konfigurieren

Klicken Sie auf den Button "Erweitert", um die gewünschten Standardschriftarten zu wählen:
Schriftarten konfigurieren
Lizenz: Public Domain