Mozilla разширява програмата за изплащане на награди за открития на уязвимости

Компания Mozilla обяви за разширяване инициативата по изплащане на парични награди за идентифициране на проблеми с безопасността в инфраструктурни елементи, свързани с разработката на Firefox. Размерът на наградите за открития на уязвимости на сайтове и услуги на Mozilla е удвоен, а наградата за открития на уязвимости, които могат да доведат до изпълнение на код на ключовите сайтове, е увеличена до 15 хиляди долара.

За определяне на метод за заобикаляне на автентикация и инжектиране на SQL код могат да бъдат получени награди от 6 хиляди долара, а за междусайтов скриптинг и CSRF — 5 хиляди долара. Ключовите сайтове включват firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
и още няколко десетки сайта, свързани с добавки, актуализации, изтегляне, синхронизация и статистика.

За основните сайтове размерът на наградите е приблизително наполовина. Основните сайтове включват observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org и някои вътрешни услуги за разработчици.

В сравнение с предишните условия, към ключовите сайтове и услуги са добавени:

• Autograph (услуга за цифрови подписи),
• Lando (услуга за автоматично разполагане на код от
  Phabricator в хранилищата),
• Phabricator (инструментариум за управление на кода, използван за рецензиране на промени),
• Taskcluster (рамка за изпълнение на задачи, поддържаща система за непрекъсната интеграция и процеси за изграждане на версии).

Сред новите основни сайтове са:

• Firefox Monitor (monitor.firefox.com),
• Платформа за локализация (l10n.mozilla.org),
• Услуга Payment Subscription (обвързване с платежната система Stripe),
• Firefox Private Network (добавка с прокси за защита на трафика),
• Ship It (система за превод на заявки за изграждане на версии),
• Speak To Me (система за разпознаване на реч, лежаща в основата на Speech Recognition API).

Допълнително може да отбележим намера за активиране в предстоящия релиз на Firefox 72 на 7 януари методи за борба с настойчивыми запитваниями за предоставяне на допълнителни права на сайта. Много сайтове злоупотребяват с възможността, предоставена от браузърите, да запитват за права,главно чрез периодично извеждане на запитвания за получаване на push уведомления. Анализът на телеметрията показа, че 97% от подобни запитвания се отказват, включително в 19% от случаите потребителят веднага затваря страницата без да натиска бутона за съгласие или отказ. В Firefox 72 подобни запитвания ще бъдат блокирани, ако не е зафиксирано взаимодействие на потребителя със страницата (клик на мишката или натискане на клавиши).

От предстоящите промени в Firefox 72 също се откроява начин на използване цветът на фона на текущата страница за лентата за превъртане и изтриване възможности прикачването на публични ключове (PKP, Public Key Pinning), което позволява чрез HTTP заглавие Public-Key-Pins явно да се определи кои сертификати на удостоверяващи центрове са допустими за даден сайт. Като причина се посочва ниското търсене на тази функция, рискът от проблеми с съвместимостта (поддръжка на PKP поправена е , позволяващо в OpenBSD

Източник: opennet.ru