🥇Издание на Firefox 145 с разширена защита от скрита идентификация

Издаден е браузърът Firefox 145 и са извършени актуализации на предишни версии с дългосрочна поддръжка — 140.5.0 и 115.30.0. Версията Firefox 146 е преминала в бета тестване, с планирано издание на 9 декември.

Основни нововъведения в Firefox 145 (1, 2, 3):

Поддръжката на 32-битови Linux системи е спряна. Отбелязва се, че поддръжката на Firefox за 32-битови платформи става все по-сложна и ненадеждна, особено след като поддръжката на 32-битови версии вече е спряна в повечето Linux дистрибуции. Потребителите на 32-битови Linux дистрибуции се препоръчва да преминат към 64-битови операционни системи. За тези, които не могат бързо да актуализират дистрибуцията, може да се използва ESR версията на Firefox 140, за която актуализации за уязвимости ще бъдат предоставяни поне до септември следващата година.
Усилено е заоблянето на бутоните, табовете, адресната лента и полетата за въвеждане.
Вграденият PDF четец вече предлага възможности за добавяне, редактиране и изтриване на коментари/бележки. За навигация и преглед на наличните коментари е добавена отделна странична лента. При добавяне на коментар може да се избере цвят за подчертаване на фона.
При задържане на курсора върху иконата на свитата група табове се показва списък с табовете в групата, с който бързо може да се отвори нужният таб без предварително разширяване на цялата група.
Добавена е възможност за работа със запазени пароли директно от страничната лента, без необходимост от отваряне на мениджъра на паролите в отделен прозорец или раздел.
Предложен е нов набор от фонови изображения за страницата на новата вкладка, налични в версии за светъл и тъмен режим.
В настройките на табовете е добавена опция за позициониране на таба, създаден при отваряне на връзки от външни приложения, до текущия активен таб, а не в края на списъка с табове.
В контекстното меню е добавен елемент „Копирай връзка към маркирания текст“, позволяващ създаването на връзка, посочваща на фрагмент от текста, маркиран на страницата. За преминаване към избрания текст се използват връзки от вида „https://www.example.com #:~:text=маска“.
Разширени са възможностите на режима за защита от скрита идентификация на потребителя (Fingerprinting Protection), прилагани при активиране на засилената защита от проследяване на движението (ETP, Enhanced Tracking Protection => Strict) или при отваряне на страници в режим на частно сърфиране. Забелязва се, че направените промени позволяват почти двойно намаляване на ефективността на методите за скрита идентификация в сравнение с предишната защита.
За засилване на защитата е осигурен връщането на постоянни стойности за параметрите, които могат да се използват като допълнителен признак за идентификация, а също така е ограничен достъпа до информация за оборудването, като например броя на поддържаните от тъчпада едновременни докосвания и броя на ядрото на процесора. Реализирано е подмяна на случайни шумове при опит за четене от изображения, генерирани чрез елемента canvas. Изключена е рисуването на страницата на текст с помощта на локално инсталирани нестандартни шрифтове.
В режима на засилена защита (strict) от проследяване на движението (ETP, Enhanced Tracking Protection) е включена по подразбиране защитата от проследяване с помощта на редиректи (Bounce Tracking Protection). Механизмът за Bounce Tracking Protection позволява да се улавя активността, специфична за проследяване чрез редиректи, и периодично да се изчистват бисквитките и локално запазените данни, използвани за проследяване. В отличие от режима „Удаляне на бисквитки“ (Cookie Purging), изчистването се извършва не въз основа на списък с познати проследяващи, а на база хевристика, позволяваща да се установяват нови сайтове на проследяващи, анализирайки поведението след редирект.
Същността на метода на проследяване на базата на редиректи е, че кодът на проследяващия пренасочва потребителя първо към своя сайт, а след това от него към целевата страница, което позволява на проследяващия да запази бисквитките и данните в локалното хранилище, свързани с неговия сайт. Запазването на данните след преминаване на друг сайт позволява да се заобиколят предходните методи, реализирани в браузъра, за блокиране на крос-сайтови операции — тъй като междинната страница се отваря извън контекста на друг сайт, на такава страница могат безпрепятствено да се установяват проследяващи бисквитки.
Добавена е поддръжка за контейнери Matroska (за кодеците AVC, HEVC, VP8, VP9, AV1, AAC, Opus и Vorbis).
Вградена система за машинен превод повишава удобството за превод между езици с различна посока на движение на символите. За компресиране на локално инсталираните модели е използван алгоритъм Zstandard, който позволява да се намали размерът на сваляните данни и да се спести място на локалното хранилище.
В конфигурации без инсталирани добавки, натискането на панелното бутона за достъп до добавките сега води до показване на пояснение за ползите от добавките с връзка към каталога на добавките.
В JavaScript е реализиран методът Atomics.waitAsync(), който предлага асинхронна версия на метода Atomics.wait(), позволяваща изчакване за определяне на местоположението на SharedArrayBuffer по аналогия с Atomics.wait(), но с връщане на Promise.
Добавена е поддръжка на HTTP заглавията Integrity-Policy и Integrity-Policy-Report-Only, чрез които може да се осъществява проверка на целостта на зарежданите скриптове.
Реализирано е CSS свойството text-autospace, което извършва автоматична корекция на разстоянието между символите от различни писмени системи (например между латиница и йероглифи).
В CSS свойството font-family е реализирана поддръжка на семейство шрифтове 'math' за коректно визуализиране на математически изрази.
В API ToggleEvent е добавено свойство source, съдържащо обект Element, представляващ елемента за управление, инициирал промяната на състоянието, в отговор на което е генерирано събитието Toggle. Например, когато потребителят кликне на елемента '
В сборките за платформата Windows, ярлыкът за стартиране на Firefox е заменен с отделно мини-приложение (launcher), което стартира Firefox, ако той вече е инсталиран, или стартира инсталатора, ако той все още не е в системата.
На компютри Apple с чипове Apple Silicon и операционна система macOS 26 е реализирана поддръжка на API WebGPU.
В Firefox за Android:
- Включена е задължителна проверка TLS-сертификати web-сървъри в публични регистри на Certificate Transparency, предназначени за откриване на сертификати, създадени в обход на стандартните работни процеси на удостоверяващия център (например, скрито създаване на сертификат в резултат на злоупотреба от служител или компрометиране на удостоверяващия център).
- За да се ускори проверката на отзивите за TLS сертификати, е активиран механизъм CRLite, работещ на потребителската система. Създадената на страна на потребителя БД с информация за сертификатите периодично се синхронизира с външната БД на Mozilla.
- За TLS 1.3 и HTTP/3 е добавена поддръжка на хибриден алгоритъм за обмен на ключове „mlkem768x25519“, устойчив на атаки от квантови компютри и представляващ комбинация от X25519 ECDH и алгоритъма ML-KEM (CRYSTALS-Kyber).
- Компонентите на мрежовия стек за протоколите QUIC и HTTP/3 са заменени с имплементация, написана на езика Rust, отличаваща се с по-висока производителност. по-висока производителност..

Освен нововъведенията и корекциите на грешки, в Firefox 145 са отстранени 19 уязвимости. 10 от уязвимостите са предизвикани от проблеми с паметта, като преливане на буфери и достъп до вече освободени области на паметта. Потенциално тези проблеми могат да доведат до изпълнение на код от злонамеренец при отваряне на специално оформени страници.

Източник: opennet.ru

Издание на Firefox 145 с разширена защита срещу скрита идентификация