Релиз Firefox 135

Издаден е уеб браузърът Firefox 135 и актуализираните версии на по-старите клонове с дългосрочна поддръжка — 115.20.0 и 128.7.0. Клонът Firefox 136 е преместен в етапа на бета тестване, като изданието му е планирано за 4 март.

Основни новини в Firefox 135:

• Вграденият преводач вече поддържа превод на руски език (предишно превеждане от руски на други езици беше налично, но превод на руски не е имало), както и превод от корейски, японски и опростен китайски. Качеството на превода е подобрено, например, изключени са ситуации с подмяна на измислени думи от AI модела. Вградената в Firefox система за превод извършва превод на локалната система на потребителя без свързване с външни облачни услуги. Системата се основава на отворения двигател Bergamot. Двигателят представлява обвивка над рамката за машинен превод Marian, в която се използват рекурсивна невропредавка (RNN) и язици базирани на трансформатори.
• На разположение за всички потребители е вграден AI чатбот, който използва големи езикови модели за взаимодействие на естествен език. Чатботът се показва в страничната лента и може да работи през услугите Anthropic Claude, ChatGPT, Google Gemini, HuggingChat (Hugging Face) и Le Chat Mistral. Потребителят може да превключва между услугите по желание. Регистрация в всяка от поддържаните услуги е необходима (в панела се отваря уеб приложение на всяка услуга). Освен чата, в контекстното меню е добавен бутон „Ask …“, чрез който може да се предаде на чатбота избран фрагмент от страницата, например за съставяне на кратко резюме на съдържанието или поясняване на съществото с прости думи. За добавяне на собствени езикови модели, работещи на локалната система, може да се използва инструментарият llamafile.
• За потребителите от всички страни, за които е налична услугата за препоръки Mozilla Stories, е включен нов дизайн на страницата, показвана при отваряне на нов таб. В предишното издание новият дизайн беше предложен само на потребителите от САЩ и Канада. Новият вариант се отличава с появата на търсачка и списък с препоръчани страници, както и промяна в оформлението на блока с често посещавани и запазени сайтове, които сега се показват не в мрежа, а в един ред. Броят на колоните с съдържание се избира в зависимост от ширината на екрана, което позволява ефективно използване на всичкото налично пространство на екрана.
• За всички потребители е включена поддръжка за автоматично запаметяване и попълване на номера на кредитни карти в уеб формуляри. Кодът CVV не се запаметява, а номерата на картите се съхраняват в защитено хранилище, за достъп до което може да се зададе отделна парола.
• Включена е задължителна проверка TLS-сертификати web-сервери в публични регистри Certificate Transparency, предназначени за откриване на сертификати, създадени в обход на стандартните работни процеси на сертификационния орган (например, скрито създаване на сертификат в резултат на злоупотреба от служител или компрометиране на сертификационния орган). Сертификационният орган предава данни за всички нови сертификати в няколко независими регистри Certificate Transparency, които дават възможност за проверка на всички промени. Ако при достъп до сайта се използва сертификат, който не е отразен в регистъра, то такъв сертификат ще бъде маркиран от браузъра като небезопасен.

  Регистрите съпътстват различни несвързани организации. За защита от изопачаване на данни задним числом при съхранение на данни се прилага дървовидна структура „Дърво Меркла“ (Merkle Tree), в която всеки клон верифицира всичките си подлежащи клони и възли, благодарение на дървовидно хеширане. Имаме крайно хеш, с което потребителят може да се увери в коректността на цялата история на операциите, както и в коректността на предишните състояния на БД.
• За ускоряване на проверката на отзивите на TLS сертификатите е включен механизъм CRLite, работещ на системата на потребителя. Съхраняваната на страната на потребителя БД с информация за сертификатите периодично се синхронизира с външната БД на Mozilla. За намаляване на размера на БД се прилагат каскадни филтри на Блум — вероятностна структура, допускаща фалшиво определяне на отсъстващ елемент, но изключваща пропускането на съществуващ елемент. Например, данните за 100 млн. сертификати се опаковат в структура с размер около 1 МБ.

  В сравнение с обръщението към удостоверяващия център чрез протокола OCSP (Online Certificate Status Protocol), използването на CRLite не само премахва забавянията при изпращането на мрежова заявка, но и повишава конфиденциалността (при използване на OCSP браузерът изпраща заявка при всяко посещение на сайтове, т.е. фактически предава на удостоверяващия център данни за това, кои сайтове отваря) и изключва зависимостта от наличността на OCSP сървъри (нападателят може да направи DDoS атака на OCSP сървъра, за да блокира обработката на заявките).

• Добавена е защита срещу манипулации, затрудняващи навигацията с използване на бутоните „назад“ и „напред“, поради замърсяването на историята на посещенията с фалшиви записи, създадени чрез API History. Същността на защитата се състои в игнориране на записи, несвързани с действията на потребителя, при обработката на натисканията на бутоните „назад“ и „напред“.
• В сборките за Linux и macOS е добавена опция за затваряне само на текущата таб, а не на всички табове, след натискане на клавишната комбинация за излизане от приложението (Alt + F4).
• Опцията за изпращане на HTTP заглавието „Do Not Track“ („DNT“) е премахната от страницата с настройките за конфиденциалност (about:preferences#privacy). Заглавието DNT информира сайтовете за нежеланието на потребителя да предава информация за съхранение, която може да се използва за проследяване на движения и предпочитания. Заглавието DNT не е задължително и много сайтове го игнорират. Вместо DNT се препоръчва да се използва механизма GPC (Global Privacy Control), който информира сайтовете за забраната на продажбата на лични данни и използването на данни за проследяване на поведението или местоположението на потребителя. За разлика от DNT, изпълнението на изискванията на GPC е задължително според действащия закон CCPA (California Consumer Privacy Act).
• Операцията в контекстното меню „Copy Without Site Tracking“ е преименувана на „Copy Clean Link“ и е разширена с възможността да се използва за чисти URL адреси в текста (без хипервръзки). Операцията позволява да се копира URL на избраната връзка в буфера на клипборда, като предварително се изрязват параметрите, използвани за проследяване на преминавания между сайтовете.
• В адресния ред е реализирана възможността за търсене на имена на групи с раздели и преминаване към намерените групи. Търсенето включва и затворени и запазени групи.
• За компресиране на сборките на Firefox за платформата Linux е използван формат XZ, който в сравнение с формата bz2 е успял да намали размерите на изтеглените данни средно с 25% и да намали времето за разпаковане с повече от два пъти.
• Добавена е поддръжка за хибридния алгоритъм за обмен на ключове „mlkem768x25519“ за HTTP/3, устойчив на подбиране на квантов компютър и представляващ комбинация от X25519 ECDH и алгоритъм ML-KEM (CRYSTALS-Kyber), стандартизиран миналата година от Националния институт по стандарти и технологии на САЩ (NIST). ML-KEM използва методи на криптографията, базирани на решаването на задачи от теорията на решетките, времето за решаване на които не се различава между обикновените и квантовите компютри.
• В атрибутите на интерфейса PointerEvent, които определят координатите на указателя, е реализирана предаване на нецелочислени стойности. Промяната позволява обработка на събития с по-голяма прецизност в ситуации, в които целевият елемент е преобразуван чрез CSS или когато е увеличен мащабът на видимата област (viewport).
• Поведението на събитията mouseenter, mouseleave, pointerenter и pointerleave е променено, за да съответства на спецификацията.
• В API WebAuthn е добавен метод getClientCapabilities().
• В инструментите за уеб разработка е осигурено извеждане на предупреждение при използване на свойството «content-visibility» с елементи, към които не се прилага ограничение за размер.
• В уеб консолата е добавена команда «$$$», предназначена за търсене на страници с оглед на съдържанието на shadow DOM.
• Разширени са възможностите за отстраняване на грешки в WebExtension добавки: подобрена е работата на точките на спиране в скриптове за обработка на съдържание и е осигурено показване на Worker-и при избор на контекст в панела Console.
• В версията за Android е добавена опция, която включва автоматично изпращане на отчети за аварийно завършване на браузъра в Mozilla, без потвърждение от потребителя.

Освен нововъведенията и поправките на грешки в Firefox 135 са отстранени 19 уязвимости. 13 уязвимости, обозначени като опасни, са причинени от проблеми с паметта, като препълване на буфери и достъп до вече освободени области на паметта. Потенциално тези проблеми могат да доведат до изпълнение на код от злоумышленик при отваряне на специално оформени страници.

В бета версията на Firefox 136 за платформата Linux е включено използването на апаратура за ускорение на декодирането на видео на системи с GPU AMD. Включен по подразбиране е режим HTTPS-First, при който запитванията по «http://» се заменят с «https://», както при преминаване по връзка или набиране на URL, така и при зареждане на подресурси, като изображения, скриптове и таблици със стилове. Добавена е поддръжка за изпращане и получаване на видео в AV1 формат чрез WebRTC.

Източник: opennet.ru