Mozilla étend son programme de récompenses pour la découverte de vulnérabilités

Entreprise Mozilla a annoncé concernant l'extension de l'initiative au sujet des récompenses financières pour l'identification de problèmes de sécurité dans les éléments d'infrastructure liés au développement de Firefox. Le montant des primes pour la découverte de vulnérabilités sur les sites et services de Mozilla a été doublé, et la prime pour avoir identifié des vulnérabilités pouvant entraîner l'exécution de code sur des sites clés, a été portée à 15 000 dollars.

Pour la détermination d'une méthode de contournement de l'authentification et l'injection de code SQL, une récompense de 6 000 dollars peut être obtenue, tandis que pour le script intersite et le CSRF, la récompense s'élève à 5 000 dollars. Les sites clés incluent firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
et plusieurs dizaines d'autres sites liés aux extensions, aux mises à jour, aux téléchargements, à la synchronisation et aux statistiques.

Pour des sites de base le montant de la prime y est environ deux fois inférieur. Parmi les sites de base, on trouve observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org, et certains services internes pour les développeurs.

Comparé aux conditions précédemment en vigueur, les sites et services clés suivants ont été ajoutés :

• Autograph (service de signatures numériques),
• Lando (service de déploiement automatique de code depuis
  Phabricator vers des dépôts),
• Phabricator (outil de gestion de code utilisé pour la révision des modifications),
• Taskcluster (framework pour l'exécution de tâches, soutenant un système d'intégration continue et des processus de génération de versions).

Parmi les nouveaux sites de base, on note :

• Firefox Monitor (monitor.firefox.com),
• Plateforme de localisation (l10n.mozilla.org),
• Service Abonnement de paiement (interface au système de paiement Stripe),
• Firefox Private Network (extension pour proxy protéger le trafic),
• Ship It (système de traduction des demandes de génération de versions),
• Speak To Me (système de reconnaissance vocale sous-jacent au Speech Recognition API).

De plus, il est possible de notez prévoir d'activer dans la version de Firefox 72 prévue pour le 7 janvier des méthodes de lutte avec des demandes insistantes pour accorder au site des autorisations supplémentaires. De nombreux sites abusent de la possibilité offerte par les navigateurs de demander des autorisations, principalement en poussant périodiquement des demandes de notifications push. L'analyse de la télémétrie a montré que 97 % de ces demandes sont rejetées, y compris dans 19 % des cas, l'utilisateur ferme immédiatement la page sans cliquer sur le bouton d'acceptation ou de refus. Dans Firefox 72, ces demandes seront bloquées si aucune interaction de l'utilisateur avec la page n'est enregistrée (clic de souris ou pression des touches).

Parmi les changements à venir dans Firefox 72, on note également l'utilisation de la couleur de fond de la page actuelle pour la barre de défilement et la suppression capacités le pinning de clés publiques (PKP, Public Key Pinning), qui permet, grâce à l'en-tête HTTP Public-Key-Pins, de définir explicitement quels certificats d'autorités de certification peuvent être utilisés pour un site donné. La raison invoquée est la faible demande pour cette fonctionnalité, le risque de problèmes de compatibilité (prise en charge de PKP arrêtée dans Chrome) et le risque de bloquer son propre site en raison de l'attachement de mauvaises clés ou de la perte de clés (par exemple, suppression accidentelle ou compromission à la suite d'un piratage).

Source : opennet.ru