فایرفاکس 74 منتشر شد

مرورگر وب منتشر شد فایرفاکس 74و نسخه موبایل فایرفاکس 68.6 برای پلتفرم اندروید. علاوه بر این، یک به روز رسانی ایجاد شده است شاخه ها با پشتیبانی طولانی مدت 68.6.0. به زودی روی صحنه می آید تست بتا شعبه فایرفاکس 75 جابجا خواهد شد که انتشار آن برای 7 آوریل برنامه ریزی شده است (پروژه نقل مکان کرد به مدت 4-5 هفته چرخه توسعه). برای شعبه بتا فایرفاکس 75 آغاز شد شکل دادن مجامع برای لینوکس با فرمت Flatpak.

اصلی نوآوری ها:

• بیلدهای لینوکس از مکانیزم جداسازی استفاده می کنند RLBox، با هدف جلوگیری از بهره برداری از آسیب پذیری ها در کتابخانه های تابع شخص ثالث. در این مرحله، ایزوله فقط برای کتابخانه فعال است گرافیت، مسئول رندر فونت ها است. RLBox کد C/C++ کتابخانه ایزوله را در کد میانی WebAssembly سطح پایین کامپایل می کند که سپس به عنوان یک ماژول WebAssembly طراحی می شود که مجوزهای آن فقط در رابطه با این ماژول تنظیم شده است. ماژول مونتاژ شده در یک قسمت حافظه جداگانه کار می کند و به بقیه فضای آدرس دسترسی ندارد. اگر یک آسیب پذیری در کتابخانه مورد سوء استفاده قرار گیرد، مهاجم محدود خواهد شد و نمی تواند به مناطق حافظه فرآیند اصلی دسترسی داشته باشد یا کنترل را به خارج از محیط ایزوله منتقل کند.
• DNS از طریق حالت HTTPS (DoH، DNS از طریق HTTPS) به طور پیش فرض فعال شده است برای کاربران آمریکایی ارائه دهنده پیش فرض DNS CloudFlare است (mozilla.cloudflare-dns.com ذکر شده в لیست های بلوک Roskomnadzor)، و NextDNS به عنوان یک گزینه در دسترس است. تغییر ارائه دهنده یا فعال کردن DoH در کشورهایی غیر از ایالات متحده، می توان در تنظیمات اتصال شبکه می توانید اطلاعات بیشتری در مورد DoH در فایرفاکس در اینجا بخوانید اطلاعیه جداگانه.
  

• معلول پشتیبانی از پروتکل های TLS 1.0 و TLS 1.1. برای دسترسی به سایت ها از طریق یک کانال ارتباطی امن، سرور باید حداقل از TLS 1.2 پشتیبانی کند. طبق گفته گوگل، در حال حاضر حدود 0.5 درصد از دانلود صفحات وب با استفاده از نسخه های قدیمی TLS انجام می شود. خاموشی مطابق با انجام شد توصیه ها IETF (گروه ویژه مهندسی اینترنت). دلیل امتناع از پشتیبانی TLS 1.0/1.1 عدم پشتیبانی از رمزهای مدرن (به عنوان مثال ECDHE و AEAD) و الزام به پشتیبانی از رمزهای قدیمی است که قابلیت اطمینان آن در مرحله فعلی توسعه فناوری محاسبات زیر سوال رفته است. برای مثال، پشتیبانی از TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA مورد نیاز است، MD5 برای بررسی یکپارچگی و احراز هویت و SHA-1 استفاده می شود. هنگام تلاش برای استفاده از TLS 1.0 و TLS 1.1 با شروع فایرفاکس 74، یک خطا نمایش داده می شود. می‌توانید توانایی کار با نسخه‌های قدیمی TLS را با تنظیم security.tls.version.enable-deprecated = true یا با استفاده از دکمه روی صفحه خطا که هنگام بازدید از سایتی با پروتکل قدیمی نمایش داده می‌شود، بازیابی کنید.
  

• یادداشت انتشار یک افزونه را توصیه می کند کانتینر فیس بوک، که به طور خودکار ویجت های شخص ثالث فیس بوک را که برای احراز هویت، نظر دادن و لایک کردن استفاده می شوند، مسدود می کند. پارامترهای شناسایی فیس بوک در یک محفظه جداگانه ایزوله شده اند و شناسایی کاربر را با سایت هایی که بازدید می کنند دشوار می کند. توانایی کار با سایت اصلی فیس بوک باقی مانده است، اما از سایت های دیگر جدا شده است.

  برای جداسازی انعطاف پذیرتر از سایت های دلخواه، یک افزونه پیشنهاد شده است کانتینرهای چند حساب با اجرای مفهوم کانتینرهای زمینه. کانتینرها امکان جداسازی انواع مختلف محتوا را بدون ایجاد نمایه های جداگانه فراهم می کنند که به شما امکان می دهد اطلاعات گروه های جداگانه صفحات را جدا کنید. به عنوان مثال، می توانید مناطق مجزا و مجزا برای ارتباطات شخصی، کار، خرید و تراکنش های بانکی ایجاد کنید یا استفاده همزمان از حساب های کاربری مختلف را در یک سایت سازماندهی کنید. هر کانتینر از فروشگاه‌های جداگانه برای کوکی‌ها، Local Storage API، indexedDB، cache و محتوای OriginAttributes استفاده می‌کند.

• تنظیم "browser.tabs.allowTabDetach" را به about:config اضافه کرد تا از جدا شدن برگه ها به پنجره های جدید جلوگیری کند. جدا شدن تصادفی تب یکی از آزاردهنده ترین باگ های فایرفاکس است که نیاز به رفع دارد. جستجو کرد 9 سال. مرورگر به ماوس اجازه می دهد تا یک برگه را به یک پنجره جدید بکشد، اما در شرایط خاص، زمانی که ماوس هنگام کلیک کردن روی برگه بی دقت حرکت می کند، برگه در هنگام کار به یک پنجره جداگانه جدا می شود.
• متوقف شد پشتیبانی از افزونه‌هایی که به‌صورت دوربرگردان نصب شده‌اند و به نمایه‌های کاربر مرتبط نیستند. این تغییر فقط بر نصب افزونه‌ها در دایرکتوری‌های مشترک (/usr/lib/mozilla/extensions/، /usr/share/mozilla/extensions/ یا ~/.mozilla/extensions/) که توسط تمام نمونه‌های فایرفاکس در سیستم پردازش می‌شوند، تأثیر می‌گذارد. با کاربر مرتبط نیست). این روش معمولاً برای از پیش نصب افزونه‌ها در توزیع‌ها، برای جایگزینی ناخواسته با برنامه‌های شخص ثالث، برای یکپارچه‌سازی افزونه‌های مخرب، یا برای ارائه جداگانه یک افزونه با نصب‌کننده خودش استفاده می‌شود. در فایرفاکس 73، افزونه‌هایی که قبلا اجباری نصب شده بودند، به‌طور خودکار از فهرست مشترک به نمایه‌های کاربر منتقل شده‌اند و اکنون می‌توانند حذف شده از طریق مدیر افزونه های معمولی.
• در افزونه سیستم Lockwise موجود در مرورگر، که رابط "about:logins" را برای مدیریت رمزهای عبور ذخیره شده ارائه می دهد، پشتیبانی مرتب سازی به ترتیب معکوس (Z تا A).
• WebRTC محافظت در برابر نشت اطلاعات مربوط به آدرس IP داخلی را در حین تماس های صوتی و تصویری با استفاده از " افزایش داده است.mDNS ICE"، پنهان کردن آدرس محلی در پشت یک شناسه تصادفی ایجاد شده به صورت پویا که از طریق Multicast DNS تعیین می شود.
• مکان سوئیچ نمای تصویر در تصویر را تغییر داد که روی دکمه تصویر بعدی در رابط آپلود دسته ای عکس در اینستاگرام همپوشانی داشت.
• در جاوا اسکریپت اضافه اپراتور "?."، طراحی شده برای بررسی همزمان کل زنجیره خواص یا تماس ها. به عنوان مثال، با تعیین "db?.user?.name?.length" اکنون می توانید بدون هیچ بررسی اولیه به مقدار "db.user.name.length" دسترسی پیدا کنید. اگر هر عنصری به صورت تهی یا تعریف نشده پردازش شود، خروجی «تعریف نشده» خواهد بود.
• متوقف شد پشتیبانی از روش Object.toSource() و تابع جهانی uneval() در وب سایت ها و افزونه ها.
• رویداد جدید اضافه شد languagechange_even و اموال مرتبط تغییر زبان، که به شما امکان می دهد زمانی که کاربر زبان رابط را تغییر می دهد، با یک کنترلر تماس بگیرید.
• پردازش هدر HTTP فعال شد خط مشی-منشا-منبع (CORP.، به سایت ها اجازه می دهد از درج منابع (به عنوان مثال، تصاویر و اسکریپت ها) بارگیری شده از دامنه های دیگر (مبدأ متقابل و متقابل سایت) جلوگیری کنند. هدر می‌تواند دو مقدار داشته باشد: "same-origin" (فقط به درخواست منابع با طرح، نام میزبان و شماره پورت یکسان اجازه می‌دهد) و "same-site" (فقط به درخواست‌های یک سایت اجازه می‌دهد).

  Cross-Origin-Resource-Policy: همان سایت

• هدر HTTP به طور پیش فرض فعال است ویژگی - سیاست، که به شما امکان می دهد رفتار API را کنترل کنید و ویژگی های خاصی را فعال کنید (به عنوان مثال، می توانید دسترسی به API مکان جغرافیایی، دوربین، میکروفون، تمام صفحه، پخش خودکار، رسانه رمزگذاری شده، انیمیشن، API پرداخت، حالت همزمان XMLHttpRequest را غیرفعال کنید، و غیره.). برای بلوک های iframe، ویژگی "اجازه دادن"، که می تواند در کد صفحه برای اختصاص حقوق به بلوک های خاص iframe استفاده شود.

  ویژگی سیاست: میکروفون 'هیچ'. موقعیت جغرافیایی "هیچ"

  اگر سایتی از طریق ویژگی "allow" اجازه می دهد تا با منبعی برای یک iframe خاص کار کند و درخواستی از iframe برای دریافت مجوز برای کار با این منبع دریافت شود، مرورگر اکنون یک گفتگو برای اعطای مجوز در قسمت نمایش داده می شود. زمینه صفحه اصلی و حقوق تایید شده توسط کاربر را به iframe واگذار می کند (به جای تاییدیه جداگانه برای iframe و صفحه اصلی). اما اگر صفحه اصلی مجوز منبع درخواست شده از طریق ویژگی allow را نداشته باشد، iframe فوراً به منبع دسترسی دارد. مسدود، بدون نمایش دیالوگ به کاربر.

• پشتیبانی از ویژگی CSS به طور پیش فرض فعال استtext-underline-position'، که موقعیت خط‌کشی متن را مشخص می‌کند (به عنوان مثال، هنگام نمایش متن به صورت عمودی، می‌توانید زیرخط را در سمت چپ یا راست و هنگام نمایش افقی نه تنها از پایین، بلکه از بالا نیز سازماندهی کنید). علاوه بر این در ویژگی های CSS که سبک زیر خط را کنترل می کند متن-زیرخط-افست и متن-تزئین-ضخامت پشتیبانی برای استفاده از مقادیر درصد اضافه شده است.
• در یک ویژگی CSS طرح کلی، که سبک خط را در اطراف عناصر تعریف می کند، به طور پیش فرض روی "auto" (قبلا معلول به دلیل مشکلات موجود در گنوم).
• در دیباگر جاوا اسکریپت اضافه قابلیت اشکال زدایی Web Workers تو در تو، که اجرای آن را می توان با استفاده از نقاط شکست گام به گام به حالت تعلیق درآورد و اشکال زدایی کرد.
  

• رابط بازرسی صفحه وب اکنون هشدارهایی را برای ویژگی های CSS ارائه می دهد که به عناصر z-index، بالا، چپ، پایین و راست بستگی دارد.
  

• برای ویندوز و macOS، امکان وارد کردن پروفایل ها از مرورگر مایکروسافت اج بر اساس موتور کرومیوم پیاده سازی شده است.

فایرفاکس 74 علاوه بر نوآوری ها و رفع اشکالات، آن را برطرف کرده است 20 آسیب پذیری، که 10 مورد (جمع آوری شده در زیر CVE-2020-6814 и CVE-2020-6815) به عنوان بالقوه قادر به اجرای کد مهاجم در هنگام باز کردن صفحات طراحی شده علامت گذاری می شوند. به شما یادآوری می کنیم که مشکلات حافظه، مانند سرریز شدن بافر و دسترسی به مناطق حافظه از قبل آزاد شده، اخیراً به عنوان خطرناک علامت گذاری شده اند، اما حیاتی نیستند.

منبع: opennet.ru