Версия на Firefox 74

Пуснат уеб браузър Firefox 74И мобилна версия Firefox 68.6 за платформата Android. Освен това е генерирана актуализация клонове дългосрочна поддръжка 68.6.0. Очаквайте скоро на сцената бета тестване клонът на Firefox 75 ще се премести, чието пускане е планирано за 7 април (проект преместен за 4-5 седмици цикъл на развитие). За Firefox 75 бета клон започна образуване възли за Linux във формат Flatpak.

Основната иновации:

• Компилациите на Linux използват изолационен механизъм RLBox, насочен към блокиране на използването на уязвимости в библиотеки с функции на трети страни. На този етап изолацията е активирана само за библиотеката графит, отговарящ за изобразяването на шрифтове. RLBox компилира C/C++ кода на изолираната библиотека в междинен код на WebAssembly от ниско ниво, който след това се проектира като модул WebAssembly, чиито разрешения се задават само по отношение на този модул. Сглобеният модул работи в отделна област на паметта и няма достъп до останалата част от адресното пространство. Ако се използва уязвимост в библиотеката, нападателят ще бъде ограничен и няма да може да получи достъп до областите на паметта на основния процес или да прехвърли контрола извън изолираната среда.
• DNS през HTTPS режим (DoH, DNS през HTTPS) активиран по подразбиране за потребители в САЩ. DNS доставчикът по подразбиране е CloudFlare (mozilla.cloudflare-dns.com изброени в блокови списъци Roskomnadzor), а NextDNS се предлага като опция. Сменете доставчика или активирайте DoH в страни, различни от САЩ, може да в настройките на мрежовата връзка. Можете да прочетете повече за DoH във Firefox на отделно съобщение.
  

• хора с увреждания поддръжка на протоколи TLS 1.0 и TLS 1.1. За достъп до сайтове по защитен комуникационен канал, сървърът трябва да поддържа поне TLS 1.2. Според Google в момента около 0.5% от изтеглянията на уеб страници продължават да се извършват с помощта на остарели версии на TLS. Спирането е извършено в съответствие с препоръки IETF (Специална група за интернет инженерство). Причината за отказа да се поддържа TLS 1.0/1.1 е липсата на поддръжка за съвременни шифри (например ECDHE и AEAD) и изискването да се поддържат стари шифри, чиято надеждност е поставена под въпрос на настоящия етап от развитието на компютърните технологии ( например, необходима е поддръжка за TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, MD5 се използва за проверка на целостта и удостоверяване и SHA-1). Когато се опитвате да използвате TLS 1.0 и TLS 1.1, започвайки с Firefox 74, ще се покаже грешка. Можете да възстановите възможността за работа с остарели TLS версии, като зададете security.tls.version.enable-deprecated = true или като използвате бутона на страницата за грешка, показвана при посещение на сайт със стария протокол.
  

• Бележката към изданието препоръчва добавка Facebook контейнер, който автоматично блокира уиджети на Facebook на трети страни, използвани за удостоверяване, коментиране и харесване. Идентификационните параметри на Facebook са изолирани в отделен контейнер, което затруднява идентифицирането на потребителя със сайтовете, които посещава. Възможността за работа с основния сайт на Facebook остава, но той е изолиран от други сайтове.

  За по-гъвкаво изолиране на произволни сайтове се предлага добавка Контейнери с няколко акаунта с прилагането на концепцията за контекстни контейнери. Контейнерите предоставят възможност за изолиране на различни видове съдържание, без да създавате отделни профили, което ви позволява да разделите информацията на отделни групи от страници. Например, можете да създадете отделни изолирани зони за лична комуникация, работа, пазаруване и банкови транзакции или да организирате едновременното използване на различни потребителски акаунти на един сайт. Всеки контейнер използва отделни хранилища за бисквитки, API за локално съхранение, индексирана база данни, кеш и съдържание на OriginAttributes.

• Добавена е настройка „browser.tabs.allowTabDetach“ към about:config, за да се предотврати отделянето на раздели в нови прозорци. Случайното отделяне на таб е един от най-досадните бъгове на Firefox, който се нуждае от коригиране. търсен 9 години. Браузърът позволява на мишката да плъзне раздел в нов прозорец, но при определени обстоятелства разделът се отделя в отделен прозорец по време на работа, когато мишката се движи небрежно, докато щрака върху раздела.
• Прекратено поддръжка за добавки, инсталирани по заобиколен начин и необвързани с потребителски профили. Промяната засяга само инсталирането на добавки в споделени директории (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ или ~/.mozilla/extensions/), обработвани от всички екземпляри на Firefox в системата ( не е свързано с потребител). Този метод обикновено се използва за предварително инсталиране на добавки в дистрибуции, за непоискано заместване с приложения на трети страни, за интегриране на злонамерени добавки или за отделно доставяне на добавка със собствен инсталатор. Във Firefox 73 принудително инсталираните по-рано добавки бяха автоматично преместени от споделената директория в отделни потребителски профили и вече могат да бъдат премахнати чрез обикновения мениджър на добавки.
• В системната добавка Lockwise, включена в браузъра, която предлага интерфейса „about:logins“ за управление на запазени пароли, подкрепа сортирайте в обратен ред (Я до А).
• WebRTC има повишена защита срещу изтичане на информация за вътрешния IP адрес по време на гласови и видео разговори с помощта на "mDNS ICE“, скривайки локалния адрес зад динамично генериран произволен идентификатор, определен чрез Multicast DNS.
• Променено е местоположението на превключвателя за изглед картина в картина, който припокрива бутона за следващо изображение в интерфейса за групово качване на снимки в Instagram.
• В JavaScript добавено оператор „?.“, предназначен да проверява едновременно цялата верига от свойства или повиквания. Например, като посочите "db?.user?.name?.length", сега можете да получите достъп до стойността на "db.user.name.length" без никакви предварителни проверки. Ако някой елемент се обработва като нулев или недефиниран, изходът ще бъде „недефиниран“.
• Прекратено поддръжка на уебсайтове и в добавки за метода Object.toSource() и глобалната функция uneval().
• Добавено е ново събитие languagechange_even и свързаната собственост onlanguagechange, които ви позволяват да извикате манипулатор, когато потребителят промени езика на интерфейса.
• Обработката на HTTP заглавката е активирана Политика за различни източници на ресурси (КОРП), позволявайки на сайтовете да предотвратят вмъкването на ресурси (например изображения и скриптове), заредени от други домейни (от различни източници и между сайтове). Заглавката може да приеме две стойности: „same-origin“ (позволява само заявки за ресурси със същата схема, име на хост и номер на порт) и „same-site“ (позволява само заявки от същия сайт).

  Политика за различни източници на ресурси: същият сайт

• HTTP заглавката е активирана по подразбиране Политика за характеристиките, което ви позволява да контролирате поведението на API и да активирате определени функции (например можете да деактивирате достъпа до API за геолокация, камера, микрофон, цял екран, автоматично пускане, криптирана медия, анимация, API за плащане, синхронен режим XMLHttpRequest, и т.н.). За iframe блокове, атрибутът „позволи“, който може да се използва в кода на страницата за присвояване на права на определени iframe блокове.

  Правила за функции: микрофон 'няма'; геолокация 'няма'

  Ако даден сайт позволява чрез атрибута „разреши“ да работи с ресурс за конкретен iframe и се получи заявка от iframe за получаване на разрешения за работа с този ресурс, браузърът вече показва диалогов прозорец за предоставяне на разрешения в контекст на главната страница и делегира потвърдените от потребителя права върху iframe (вместо отделни потвърждения за iframe и главната страница). Но ако главната страница няма разрешение за ресурса, поискан чрез атрибута за разрешаване, iframe има незабавен достъп до ресурса блокиран, без да се показва диалогов прозорец на потребителя.

• Поддръжката на CSS свойства е активирана по подразбиране 'текст-подчертаване-позиция', който определя позицията на подчертаването на текста (например, когато показвате текст вертикално, можете да организирате подчертаване отляво или отдясно, а когато показвате хоризонтално, не само отдолу, но и отгоре). Освен това в свойствата на CSS, които контролират стила на подчертаване текст-подчертаване-офсет и текст-декорация-дебелина Добавена е поддръжка за използване на процентни стойности.
• В свойство на CSS контурен стил, който дефинира стила на линията около елементите, по подразбиране е "auto" (преди хора с увреждания поради проблеми в GNOME).
• В програмата за отстраняване на грешки в JavaScript добави способността за отстраняване на грешки във вложени уеб работници, чието изпълнение може да бъде спряно и отстраняване на грешки стъпка по стъпка с помощта на точки на прекъсване.
  

• Интерфейсът за инспекция на уеб страници вече предоставя предупреждения за CSS свойства, които зависят от z-индекса, елементите отгоре, отляво, отдолу и отдясно.
  

• За Windows и macOS е въведена възможността за импортиране на профили от браузъра Microsoft Edge, базиран на двигателя Chromium.

В допълнение към иновациите и корекциите на грешки, Firefox 74 е коригиран 20 уязвимости, от които 10 (събрани под CVE-2020 6814- и CVE-2020 6815-) са маркирани като потенциално способни да доведат до изпълнение на код на атакуващ при отваряне на специално проектирани страници. Нека ви напомним, че проблеми с паметта, като препълване на буфера и достъп до вече освободени области на паметта, наскоро бяха маркирани като опасни, но не и критични.

Източник: opennet.ru