Version de Firefox 72

Le navigateur web a été publié Firefox 72, ainsi que version mobile Firefox 68.4 pour la plateforme Android. De plus, une mise à jour a été élaborée branche avec un support prolongé 68.4.0. Dans un avenir proche, il passera au stade des tests bêta la branche Firefox 73, dont la sortie est prévue pour le 11 février (projet a été transféré sur 4 semaines de développement).

Principales nouveautés:

• Dans le mode par défaut standard de blocage du contenu indésirable sont incluses. protection contre le suivi des utilisateurs grâce à des méthodes d'identification cachée (« browser fingerprinting »), qui est effectuée par pour des catégories supplémentaires la liste Disconnect.me, qui comprend des hôtes ayant été pris en flagrant délit d'utilisation de scripts pour l'identification cachée. L'identification cachée fait référence au stockage d'identifiants dans des zones non destinées à la conservation permanente des informations (« Supercookies »), ainsi qu'à la génération d'identifiants basée sur des données indirectes, telles que la résolution d'écran, la liste des types MIME pris en charge, les paramètres spécifiques dans les en-têtes (HTTP/2 et HTTPS), l'analyse des plugins installés et des polices, la disponibilité de certaines API Web spécifiques aux cartes graphiques caractéristiques pour le rendu à l'aide de WebGL et Canvas, manipulations avec CSS, l'analyse des particularités de l'interaction avec la souris et le clavier.
  
• Activés des méthodes lutter de demandes intrusives pour accorder au site des permissions supplémentaires (Notification.requestPermission(), PushManager.subscribe() et MediaDevices.getDisplayMedia()). Les demandes de confirmation de droits ne perturberont plus l'utilisation du navigateur, mais feront simplement apparaître un indicateur dans la barre d'adresse après avoir enregistré l'interaction de l'utilisateur avec la page (clic de souris ou pression sur des touches). De nombreux sites abusent de la possibilité offerte par les navigateurs de demander des permissions, principalement en procédant à des demandes périodiques pour recevoir des notifications push. L'analyse de la télémétrie a montré que 97 % de ces demandes sont rejetées, dont dans 19 % des cas, l'utilisateur ferme immédiatement la page sans cliquer sur le bouton d'acceptation ou de refus.
• Ajouté expérimental la prise en charge du protocole HTTP/3 (pour l'activer dans about:config, il faut définir l'option « network.http.http3.enabled »). La prise en charge de HTTP/3 dans Firefox est basée sur neqo, une implémentation du client et du serveur du protocole QUIC (HTTP/3) écrite en Rust. standardise L'utilisation du protocole QUIC comme transport pour HTTP/2.
• Conformément aux exigences de la loi entrée en vigueur CCPA (California Consumer Privacy Act) ajouté la possibilité de supprimer les données de télémétrie des serveurs de Mozilla. La suppression des données est effectuée si l'utilisateur refuse la collecte de télémétrie dans la section « about:preferences#privacy » (« Collecte de données et utilisation de Firefox »). En désactivant l'option « Autoriser Firefox à envoyer des données techniques et d'interaction à Mozilla », qui régule l'envoi de télémétrie, Mozilla s'engage dans les 30 jours à supprimer toutes les données collectées avant le refus de transmission de la télémetrie. Les données qui sont stockées sur les serveurs de Mozilla lors de la collecte de télémetrie incluent des informations sur les performances, la sécurité de Firefox et des paramètres généraux, tels que le nombre d'onglets ouverts et la durée de la session (les informations sur les sites ouverts et les requêtes de recherche ne sont pas transmises). Des informations complètes sur les données collectées sont disponibles sur la page « about:telemetry ».
  
• Pour Linux et macOS, une fonctionnalité de lecture vidéo en mode « image dans l'image » a été ajoutée, permettant de détacher la vidéo dans une fenêtre flottante qui reste visible lors de la navigation dans le navigateur. Pour regarder en ce mode, il faut cliquer sur l'aperçu contextuel ou dans le menu contextuel affiché en cliquant avec le bouton droit de la souris sur la vidéo, puis choisir « Image dans l'image » (sur YouTube, qui intègre son propre gestionnaire de menu contextuel, il faut cliquer deux fois avec le bouton droit ou cliquer tout en maintenant la touche Shift enfoncée).
  
• Lors de l'affichage de la barre de défilement est activé la couleur d'arrière-plan de la page actuelle.
• Retirée la possibilité le verrouillage des clés publiques (PKP, Public Key Pinning), permettant de spécifier via l'en-tête HTTP Public-Key-Pins quels certificats d'autorités de certification sont autorisés pour un certain site. La faible demande pour cette fonctionnalité et le risque de problèmes de compatibilité (prise en charge de PKP arrêtée dans Chrome) et le risque de bloquer son propre site en raison de l'attachement de mauvaises clés ou de la perte de clés (par exemple, suppression accidentelle ou compromission à la suite d'un piratage).
• Comprend le ont été adoptées patchs, permettant dans OpenBSD d'utiliser des appels système unveil() et pledge() pour une isolation supplémentaire du système de fichiers et des processus.
• La prise en charge du blocage des images en provenance de domaines distincts a été supprimée. La raison de cette suppression est le manque d'intérêt pour cette fonctionnalité parmi les utilisateurs et l'interface peu pratique pour le blocage.
• Dans les versions pour Windows, une option expérimentale permettant d'utiliser des certificats client à partir du magasin de certificats de l'opérateur système a été mise en œuvre (pour l'activer dans about:config, il faut activer l'option security.osclientcerts.autoload).
• La prise en charge des CSS Shadow Parts est activée par défaut, y compris l'attribut «part» et le pseudo-élément «::part«, permettant d'afficher sélectivement les éléments spécifiés provenant de Shadow DOM.

  <custom-element>
  <p part="»example»">Un paragraphe</p>
  </custom-element>

  … en CSS pour sélectionner des éléments en lien avec l'attribut part :

  custom-element::part(example) {
  border: solid 1px black;
  border-radius: 5px;
  padding: 5px;
  }

• Ajout du support de la spécification CSS Motion Path, permettant de définir la trajectoire de mouvements d'animation via CSS sans utiliser de code JavaScript et sans bloquer le processus de rendu et d'entrée pendant l'affichage de l'animation. Pour contrôler l'animation, diverses propriétés CSS sont présentées
  offset,
  offset-path,
  offset-anchor,
  offset-distance et
  offset-rotate.
• Différentes propriétés CSS de transformation sont activées par défaut scale, rotate et translate, non liées à la propriété transform c'est-à-dire qu'il est désormais possible d'indiquer « scale: 2; » au lieu de « transform: scale(2); ».
• En JavaScript, l'opérateur logique de fusion «??« qui retourne l'opérande de droite si l'opérande de gauche a une valeur de NULL ou undefined, et vice versa. Par exemple, «const foo = bar ?? ‘chaîne par défaut'» si bar est égal à null renverra la chaîne ou la valeur de bar dans le cas contraire, y compris lorsque bar est égal à 0 et ‘ ‘, contrairement à l'opérateur «||».
• Une API a été ajoutée : FormDataEvent et l'événement FormData, qui permettent d'utiliser des gestionnaires en JavaScript pour ajouter des données à un formulaire au moment de son envoi sans avoir à stocker les données dans des éléments input cachés.
• API Geolocation a été mis à jour pour se conformer à la nouvelle spécification, par exemple, les Coordinates ont été renommés en GeolocationCoordinates, Position en GeolocationPosition et
  PositionError en GeolocationPositionError.
• Dans le débogueur JavaScript ajouté prend en charge les points d'arrêt conditionnels (watchpoint), qui se déclenchent lors de la modification ou de la lecture de certaines propriétés d'objets.
  
• Le lancement du débogueur JavaScript a été accéléré dans des conditions d'ouverture d'un très grand nombre d'onglets (le priorité est désormais donnée aux onglets visibles).
• Dans le mode Responsive Design, une simulation de différentes valeurs de méta viewport a été mise en œuvre. En mode d'inspection des pages, un simulateur de valeurs «prefers-color-scheme» a été ajouté.
• Dans web-console en mode d'interprétation JavaScript multiligne a été ajoutée la prise en charge de la sauvegarde et de l'ouverture de fichiers à l'aide des combinaisons Ctrl + O et Ctrl + S.
• Ajouté configuration de javascript.options.asyncstack pour une séparation visuelle des messages asynchrones dans la console web. Lorsque la configuration est activée, un stack trace complet pour console.trace() et console.error() est affiché, permettant de comprendre la planification du lancement des temporisateurs, des événements, des promesses, des générateurs, etc.
  
• Dans le mode d'inspection WebSocket, l'analyse et l'affichage visuel des métadonnées du format SignalR utilisé dans les messages ASP.NET Core ont été implémentés. Des compteurs montrant la taille totale des données envoyées et reçues ont également été ajoutés.
• Dans l'outil de surveillance de l'activité réseau sous l'onglet Timings, les sont affichés séparément les données relatives au temps d'attente pour le téléchargement, le début du téléchargement et la fin du téléchargement de chaque ressource.
• L'environnement Scratchpad, destiné aux expérimentations avec du code JavaScript (le mode multiligne de la console web a remplacé Scratchpad dans la version précédente).

En plus des nouveautés et des corrections de bugs, Firefox 72 a éliminé 20 vulnérabilités, dont 11 (répertoriés sous CVE-2019-17025 et CVE-2019-17024) é marqué comme potentiellement capable d'exécuter du code malveillant lors de l'ouverture de pages spécialement conçues. Rappelons que les problèmes de mémoire, tels que les débordements de tampon et l'accès à des zones mémoire déjà libérées, sont désormais étiquetés comme dangereux mais non critiques. L'accent doit également être mis sur le problème CVE-2019-17017 dans le code XPCVariant.cpp, qui pourrait également potentiellement conduire à l'exécution de code.

Source : opennet.ru