Компания Mozilla за разширението по изплащане на парични награди за откритие на проблеми с безопасността в елементи на инфраструктурата, свързани с разработката на Firefox. Размерът на премиите за откритие на уязвимости на сайтовете и услугите на Mozilla е удвоен, а наградата за откритие на уязвимости, които могат да доведат до изпълнение на код на , е увеличена до 15 хиляди долара.
За определяне на метода за заобикаляне на автентикацията и внедряване на SQL код може да се получи награда от 6 хиляди долара, а за междусайтово скриптиране и CSRF — 5 хиляди долара. Към ключовите сайтове спадат firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
и още няколко десетки сайта, свързани с добавки, актуализации, изтегляне, синхронизация и статистика.
За размерът на наградата е приблизително наполовина. Към базовите сайтове спадат observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org и някои вътрешни услуги за разработчици.
В сравнение с предишните условия, в списъка на ключовите сайтове и услуги са добавени:
- (услуга за цифрови подписи),
- (услуга за автоматично разполагане на кода от
Phabricator в хранилищата), - (инструментариум за управление на кода, използван за преглед на промени),
- (рамка за изпълнение на задачи, поддържаща система за непрерывна интеграция и процеси на генериране на версии).
Сред новите базови сайтове се отбелязват:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Сервиз (обвивка над платежната система Stripe),
- (допълнение за за защита на трафика),
- (система за транслация на заявки за генериране на версии),
- (система за разпознаване на реч, лежаща в основата на Speech Recognition API).
Допълнително може намера да активирате в планирания за 7 януари релиз на Firefox 72 с настоятелни искания за предоставяне на допълнителни права на сайта. Много сайтове злоупотребяват с предоставената от браузерите възможност за искане на права, основно чрез периодично показване на искания за получаване на push известия. Анализ на телеметрията показа, че 97% от подобни искания се отхвърлят, включително в 19% от случаите потребителят веднага затваря страницата, без да натисне бутона за съгласие или отхвърляне. В Firefox 72 подобни искания ще бъдат блокирани, ако не е регистрирано взаимодействие на потребителя със страницата (клик с мишката или натискане на клавиши).
Между предстоящите промени в Firefox 72 също се откроява цвета на фона на текущата страница за лентата на превъртане и привързването на откритите ключове (PKP, Public Key Pinning), което позволява чрез HTTP заглавката Public-Key-Pins да се определи явно кои сертификати на удостоверяващи центрове могат да се използват за задан сайт. Като причина се посочва ниската търсеност на тази функция, рискът от проблеми с съвместимостта (поддръжка на PKP в Chrome) и възможността да блокирате собствения си сайт поради привързването на неверни ключове или загуба на ключове (например, случайно изтриване или компрометиране в резултат на хакерство).
Източник: opennet.ru
