Apple Safari versteckt Flash und Java

Apples Browser Safari 10 wird unter macOS Websites gegenüber so tun, als seien Plug-ins wie Adobe Flash, Microsoft Silverlight, Oracle Java und auch das eigene Quicktime nicht installiert. Dadurch soll immer HTML5 zum Einsatz kommen, wenn eine Funktion sowohl via Plug-in als auch via HTML5 angeboten wird.

In der Praxis können Webserver den Browser-Properties navigator.plugins und navigator.mimeTypes nicht mehr entnehmen, ob solche Plug-ins installiert sind. „Auf Websites, die sowohl Flash als auch HTML5-Implementierungen von Inhalten anbieten, erleben Safari-Nutzer nun immer die moderne HTML5-Implementierung, was zu mehr Geschwindigkeit und Akkulaufzeit führt“, schreibt Apple-Entwickler Ricky Mondello in einem Blogbeitrag. „Diese Richtlinie und ihre Vorteile gelten für alle Websites gleichermaßen. Safari hat keine Liste mit Ausnahmen eingebaut. Sollte eine Website tatsächlich ein traditionelles Plug-in erfordern, können es die Nutzer für sie explizit aktivieren.“

Das heißt, dass auf Sites ohne HTML5-Alternative ein Nachfragedialog erscheint. Der Anwender kann dann einwilligen, etwa Flash zu nutzen. Für eingebettete Flash-Objekte erscheint bis dahin ein Platzhalter, sie lassen sich aber durch Anklicken aktivieren.

Ist die Genehmigung erst einmal erteilt, merkt Safari sich das und lässt das Plug-in für diese Site auch künftig zu – außer der Anwender hat ein bestimmtes Plug-in „für etwas mehr als einen Monat“ nicht mehr benutzt. In Firmen kann es Richtlinien geben, die einzelnen Sites Ausnahmen bewilligen.

Apple schlägt damit einen Pfad ein, den andere Browseranbieter vor ihm gegangen sind. Firefox etwa deaktiviert standardmäßig seit 2013 die Nutzung aller Plug-ins außer Flash. Und Google Chrome sowie Microsoft Edge deaktivieren periphere (und wahrscheinlich überflüssige) Flash-Objekte automatisch.

Gerade kursiert wieder eine kritische Flash-Sicherheitslücke, vor der Kaspersky und auch Adobe selbst warnen. Angreifer können sich damit Vollzugriff auf ein System verschaffen. Dies wurde etwa schon in den Ländern China, Indien, Kuwait, Nepal, Rumänien, Russland und Südkorea in der Praxis beobachtet. Adobe will die Lücke morgen an seinem regulären Patchday schließen.

[mit Material von Chris Duckett, ZDNet.com]

Tipp: Wie gut kennen Sie Apple? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.