Das Unternehmen Mozilla über die Erweiterung von Geldprämien für die Identifizierung von Sicherheitsproblemen in Infrastrukturkomponenten, die mit der Entwicklung von Firefox verbunden sind. Die Prämien für die Entdeckung von Sicherheitsanfälligkeiten auf Websites und in den Diensten von Mozilla wurden verdoppelt, während die Prämie für die Entdeckung von Schwachstellen, die zur Ausführung von Code auf , auf 15.000 Dollar erhöht wurde.
Für die Identifizierung einer Methode zum Umgehen der Authentifizierung und das Einfügen von SQL-Code kann eine Belohnung von 6.000 Dollar erhalten werden, während für Cross-Site-Scripting und CSRF – 5.000 Dollar gezahlt werden. Zu den Schlüssel-Websites gehören firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
und noch mehrere Dutzend weitere Websites, die mit Erweiterungen, Updates, Downloads, Synchronisation und Statistiken verbunden sind.
Für haben einen Prämienbetrag, der etwa halb so hoch ist. Zu den Basis-Websites gehören observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org und einige interne Dienste für Entwickler.
Im Vergleich zu den früheren Bedingungen wurden die folgenden Schlüssel-Websites und -Dienste hinzugefügt:
- (eine digitale Signaturdienstleistung),
- (ein Dienst zur automatischen Bereitstellung von Code aus
Phabricator in Repositories), - (ein Werkzeug zur Codeverwaltung, das zur Überprüfung von Änderungen verwendet wird),
- (ein Framework zur Ausführung von Aufgaben, das das kontinuierliche Integrationssystem und die Release-Erstellungsprozesse unterstützt).
Von den neuen Basis-Websites sind bemerkenswert:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Dienst (eineSchicht über dem Zahlungssystem Stripe),
- (eine Erweiterung mit zum Schutz des Datenverkehrs),
- (ein System zur Übertragung von Anfrage zur Erstellung von Releases),
- (ein Spracherkennungssystem, das der Speech Recognition API zugrunde liegt).
Zusätzlich kann man die Absicht, in dem für den 7. Januar geplanten Release von Firefox 72 mit lästigen Anfragen zur Bereitstellung zusätzlicher Berechtigungen für die Website. Viele Websites missbrauchen die Möglichkeit, die Berechtigungen in Browsern anzufordern, hauptsächlich durch wiederholte Anfragen zur Erteilung von Push-Benachrichtigungen. Eine Analyse der Telemetriedaten hat gezeigt, dass 97 % solcher Anfragen abgelehnt werden, dabei schließt der Nutzer in 19 % der Fälle die Seite sofort, ohne auf die Schaltfläche für Zustimmung oder Ablehnung zu klicken. In Firefox 72 werden solche Anfragen blockiert, wenn keine Interaktion des Nutzers mit der Seite (Mausklick oder Tastendruck) registriert wurde.
Unter den bevorstehenden Änderungen in Firefox 72 sticht auch hervor der Hintergrundfarbe der aktuellen Seite für die Scrollleiste und der Bindung von öffentlichen Schlüsseln (PKP, Public Key Pinning), die es ermöglicht, durch den HTTP-Header Public-Key-Pins eindeutig zu bestimmen, welche Zertifikate von welchen Zertifizierungsstellen für eine bestimmte Website verwendet werden dürfen. Als Grund wird die geringe Nachfrage nach dieser Funktion sowie das Risiko von Kompatibilitätsproblemen (Unterstützung von PKP in Chrome) und die Möglichkeit angeführt, die eigene Website aufgrund der Bindung an falsche Schlüssel oder den Verlust von Schlüsseln (z. B. versehentliches Löschen oder Kompromittierung durch einen Hackerangriff) zu sperren.
Quelle: opennet.ru
