Firefox 72 väljaanne

Ilmus veebibrauser Firefox 72, samuti mobiiliversioon Firefox 68.4 Androidi platvormile. Lisaks on välja antud värskendus haru pikendatud toe kestusega 68.4.0. Peagi jõuab etappi bèta-testimise kolib Firefox 73 haru, mille väljaandmine on planeeritud 11. veebruariks (projekt on läinud 4-nädalase arendusprotsess).

Peamised uuendused:

• Vaikimisi rakendatud standardne soovimatute sisu blokeerimise režiim on aktiveeritud kasutajate jälgimise kaitse peidetud identifitseerimise meetodite abil ("browser fingerprinting"), mida viiakse ellu täiendavad kategooriad Disconnect.me loetelu kaudu, mis sisaldab hoste, kes on süüdistatud skriptide kasutamises peidetud identifitseerimise jaoks. Peidetud identifitseerimise all mõistetakse identifikaatorite salvestamist aladel, mis ei ole mõeldud teabe püsivaks salvestamiseks ("supercookies"), samuti identifikaatorite genereerimist kaudsete andmete, nagu ekraani lahutusvõime, toetatud MIME-tüüpide loetelu, spetsiifilised parameetrid päisetes (HTTP/2 ja HTTPS), installitud pluginate ja fontide analüüs, teatud Web API-de kättesaadavuse analüüs, mis on spetsiifilised graafikakaartidele omadused WebGL ja Canvas abil renderdamiseks, manipuleerimised CSS-iga, töötlemise omaduste analüüsiga hiire ja klaviatuuriga.
  
• On aktiveeritud meetodid võitlus pealetükkivate päringute vastu, et anda saidile täiendavaid volitusi (Notification.requestPermission(), PushManager.subscribe() ja MediaDevices.getDisplayMedia()). Volituste kinnitamise päringud ei katkestata enam brauseriga töötamist, vaid toovad kaasa indikaatori kuvamise aadressiribale pärast seda, kui on fikseeritud kasutaja suhtlemine lehega (hiireklikk või klahvivajutus). Paljud veebisaidid kuritarvitavad brauserites pakutavat volituste pärimise võimalust, enamasti perioodilise push-teate nõudmise kuvamise kaudu. Telemeetria analüüs näitas, et 97% taolistest päringutest lükatakse tagasi, sealhulgas 19% juhtudel sulgeb kasutaja lehe kohe, ilma nõusoleku või tagasilükkamise nupule vajutamata.
• Lisatud katse- toetamine HTTP/3 protokolli (aktiveerimiseks tuleb setida valik "network.http.http3.enabled" lehes about:config). HTTP/3 toetus Firefoxis põhineb neqo, Rustis kirjutatud QUIC (HTTP/3) protokolli kliendi ja serveri rakendusel QUIC-protokolli kasutamise transpordina HTTP/2 jaoks. QUIC (Quick UDP Internet Connections) on alates 2013. aastast välja arendatud Google'i poolt TCP+TLS alternatiiviks veebis, lahendades TCP pikkade ühenduse loomise ja kokkuleppe ajaga seotud probleemid ning kõrvaldades pakettide kaotamise korral viivitused andmeedastuse ajal. QUIC on UDP protokolli peal, toetades paljusid ühendusi ja pakkudes krüpteerimismeetodeid, mis on võrdsed TLS/SSL-iga. IETF-i standardimisprotsessi käigus tehti protokollis muudatusi, mis viis kahe paralleelselt eksisteeriva haru tekkimiseni: üks HTTP/3 jaoks ja teine Google'i poolt toetatud. QUIC protokolli kasutamine HTTP/2 transpordiks).
• Vastavalt jõustunud seaduse nõuetele CCPA (California Consumer Privacy Act) lisatud on võimalus kustutada telemeetria andmed Mozilla serveritest. Andmete kustutamine toimub, kui loobuda telemeetria kogumisest lehe "about:preferences#privacy" all ("Firefoxi andmete kogumine ja kasutamine"). Kui tühistada valik "Luba Firefoxil edastada tehnilisi ja suhtlemisandmeid Mozilla", mis haldab telemeetria saatmist, siis Mozilla lubab 30 päeva jooksul kustutada kõik andmed, mis on kogutud enne telemeetriateenuse edastamise sulgemist. Mozilla serverites kogutud andmed sisaldavad teavet Firefoxi jõudluse, turvalisuse ning üldiste parameetrite kohta, nagu avatud vahekaartide arv ja sessiooni kestus (külastatavate veebisaitide ja otsingupäringute teavet ei edastata). Täielikku teavet kogutud andmete kohta saab vaadata lehelt «about:telemetry».
  
• Linuxi ja macOS-i jaoks on lisatud võimalus vaadata videoid pildis-pildis režiimis (Picture-in-Picture), mis võimaldab eraldada video hõljuvaks aknaks, mis jääb nähtavale brauseris navigeerimise ajal. Selle režiimi vaatamiseks tuleb klõpsata hüpikaknal või kontekstimenüüs, mis avaneb paremklõpsuga videol, ja valida «Picture in picture» (YouTube'is, mis tutvustab oma kontekstimenüü töötlejat, tuleb teha paremklõps kahel korral või klõpsata hoides all klahvi Shift).
  
• kerimisriba kuvamisel aktiveeritud aktiivse lehe taustavärvid.
• Eemaldatud võimaluse avatud võtmete sidumise (PKP, Public Key Pinning) võimalus, mis võimaldab HTTP-päistiku Public-Key-Pins abil selgelt määrata, milliste sertifikaatide kasutada lubatud on antud saidi jaoks. Selle funktsiooni vähese kasutuselevõtu tõttu, ühilduvusprobleemide riski (PKP tugi lõpetatud Chromis) ja oma veebisaidi blokeerimise võimaluse tõttu vale võtmete sidumise või võtmete kaotamise tõttu (näiteks juhuslik kustutamine või kompromiteerimine ründe korral) nimetatakse seda põhjuseks.
• kuuluvad on võetud patšid, mis võimaldavad OpenBSD-s kasutada süsteemi kõnesid unveil() ja pledge() failisüsteemi ja protsesside täiendavaks isoleerimiseks.
• Eemaldatud on teatud domeenide piltide blokeerimise tugi. Eemaldamise põhjuseks on selle funktsiooni vähene nõudlus ja kasutajate jaoks ebamugav blokeerimise liides.
• Windowsi kogustes on rakendatud eksperimentaalne võimalus kasutada kliendisertifikaate operatsioonisüsteemi ühises sertifikaatide hoidlas (aktiveerimiseks tuleb lehtedel about:config lubada valik security.osclientcerts.autoload).
• CSS Shadow Parts tugi on vaikimisi aktiveeritud, sealhulgas atribuut «partja pseudoelement «::part», mis võimaldavad selektiivselt kuvada määratud elemente Shadow DOM.

  <custom-element>
  <p part="»example»">Lõik</p>
  </custom-element>

  … CSS-is elementide valimiseks part-attribuudi põhjal:

  custom-element::part(example) {
  border: solid 1px black;
  border-radius: 5px;
  padding: 5px;
  }

• Toetuse lisamine spetsifikatsioonile CSS Motion Path, mis võimaldab määrata animatsioonielementide liikumisteed CSS-i abil ilma JavaScripti koodita ning ilma renderdamise ja sisendi blokeerimiseta animatsiooni ajal. Animatsiooni juhtimiseks on esitatud CSS omadused
  offset,
  offset-path,
  offset-anchor,
  offset-distance ja
  offset-rotate.
• Eraldi CSS transformatsiooni omadused on vaikimisi sisse lülitatud scale, rotate ja translate, mis ei ole seotud omadusega transform (st CSS-is saab nüüd määrata «scale: 2;» asemel «transform: scale(2);»).
• JavaScriptis on rakendatud loogiline liitmisoperaator «??», mis tagastab parema operandi, kui vasak operant on NULL või undefined, ja vastupidi. Näiteks «const foo = bar ?? 'default string'», kui bar on null, tagastab stringi või bar'i väärtuse vastupidisel juhul, sealhulgas kui bar on 0 ja ' ', erinevalt operaatorist «||».
• tf.distribute.Strategy FormDataEvent ja sündmus FormData, mis võimaldavad JavaScriptis andmete lisamist vormi saatmise etapis ilma vajaduseta andmed salvestada varjatud input-elementidesse.
• API Geolocation on värskendatud vastavalt uuele spetsifikatsioonile, näiteks on Coordinates ümber nimetatud GeolocationCoordinates'iks, Position GeolocationPosition'iks ja
  PositionError GeolocationPositionError'iks.
• JavaScripti tõrkeotsijasse lisatud on lisatud tingimuslikud peatumispunktid (watchpoint), mis aktiveeruvad, kui muutuvad või loetakse kindlaid objekti omadusi.
  
• JavaScripti tõrkeotsija käivitamine on kiirendatud, kui avatakse väga suur hulk vahelehti (prioriteet antakse nähtavatele vahelehtedele).
• Responsive Design Mode'is on ellu viidud erinevate meta viewport väärtuste simuleerimine. Lehe uurimismoodulisse on lisatud «prefers-color-scheme» väärtuste simulaator.
• Uues veebi konsoolides paljurealises JavaScripti tõlgendamismoodis on lisatud faili salvestamise ja avamise tugi klahvikombinatsioonide Ctrl + O ja Ctrl + S abil.
• Lisatud javascript.options.asyncstack seade on visuaalse eristamise jaoks asünkroonsete sõnumite web-konsoolis. Kui seade on aktiivne, kuvab console.trace() ja console.error() asünkroonsete operatsioonide täieliku kutse jaotuse, mis aitab välja selgitada ajastuste planeerimist, taimerite, sündmuste, promise'ide, generaatorite jne.
  
• WebSocketi inspektsioonirežiimis on rakendatud SignalR formaadi metaandmete analüüs ja selge kuvamine, mida kasutatakse ASP.NET Core'i sõnumites. Samuti on lisatud loendurid, mis näitavad edastatud ja üles laaditud andmete kogusummat.
• Verifitseerimise tööriista näitab eraldi andmeid järjekorda panemise aja, allalaadimise alguse ja allalaadimise lõpetamise kohta iga ressursi puhul.
• Veebiarenduse tööriistadest on välistatud keskkond Scratchpad, mis on mõeldud JavaScripti koodi eksperimenteerimiseks (Scratchpadi asemel on eelmine väljaanne toonud sisse mitmerealise web-konsooli režiimi).

Lisaks uuendustele ja vigade parandamisele on Firefox 72-s kõrvaldatud 20 haavatavust, millest 11 (koondatud alla CVE-2019-17025 ja CVE-2019-17024) on märgitud kui potentsiaalselt vältimatuks koodi täitmiseks, kui avatakse spetsiaalselt üles ehitatud lehti. Tuletame meelde, et mäluprobleemid, näiteks puhverülekanded ja juurdepääs juba vabastatud mälupiirkondadele, on hiljuti märgistatud kui ohtlikud, kuid mitte kriitilised. Erilist tähelepanu väärib ka probleem CVE-2019-17017 failis XPCVariant.cpp, mis võib samuti viia koodi täitmiseni.

Allikas: opennet.ru