Sortie de Firefox 74

Le navigateur web a été publié Firefox 74, ainsi que version mobile de Firefox 68.6 pour la plateforme Android. De plus, une mise à jour a été formée branche avec un support prolongé 68.6.0. Dans un avenir proche, il passera au stade des tests bêta de la branche Firefox 75, dont la sortie est prévue pour le 7 avril (projet a été transféré vers un cycle de développement de 4 à 5 semaines de développement). Pour la branche bêta de Firefox 75 a commencé la formation des builds pour Linux au format Flatpak.

Principales nouveautés:

• Dans les builds pour Linux, un mécanisme d'isolation est utilisé RLBox, visant à bloquer l'exploitation des vulnérabilités dans des bibliothèques de fonctions tierces. À ce stade, l'isolation est activée uniquement pour la bibliothèque Graphite, responsable du rendu des polices. RLBox compile le code C/C++ de la bibliothèque isolée en code intermédiaire bas niveau WebAssembly, qui est ensuite formaté en tant que module WebAssembly, dont les permissions sont définies dans la liaison uniquement pour ce module. Le module compilé fonctionne dans une zone de mémoire distincte et n'a pas accès au reste de l'espace d'adresses. En cas d'exploitation d'une vulnérabilité dans la bibliothèque, l'attaquant sera limité et ne pourra pas accéder aux zones de mémoire du processus principal ou transférer le contrôle en dehors de l'environnement isolé.
• Le mode DNS sur HTTPS (DoH, DNS over HTTPS) est activé par défaut pour les utilisateurs des États-Unis. En tant que fournisseur DNS par défaut, CloudFlare (mozilla.cloudflare-dns.com) est proposé ajouté dans à la liste de blocage de Roskomnadzor), et NextDNS est disponible en option. Modifier le fournisseur ou activer DoH dans des pays autres que les États-Unis est possible dans les paramètres de connexion réseau. Vous pouvez en savoir plus sur DoH dans Firefox dans une annonce séparée.
  
• Le support des protocoles TLS 1.0 et TLS 1.1 a été désactivé. Pour accéder aux sites via une connexion sécurisée, le serveur doit prendre en charge au moins TLS 1.2. Selon Google, environ 0,5 % des chargements de pages web continuent actuellement à utiliser des versions obsolètes de TLS. La désactivation a été effectuée selon les recommandations IETF (Internet Engineering Task Force). La raison pour laquelle le support de TLS 1.0/1.1 a été abandonné est l'absence de support pour des chiffrements modernes (comme ECDHE et AEAD) et l'exigence de support pour des chiffrements anciens, dont la fiabilité est remise en question dans le contexte actuel de l'informatique (par exemple, le support de TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA est requis, avec MD5 et SHA-1 utilisés pour l'intégrité et l'authentification). À partir de Firefox 74, une erreur sera affichée si vous essayez d'utiliser TLS 1.0 et TLS 1.1. Il est possible de rétablir l'utilisation des versions obsolètes de TLS via le réglage security.tls.version.enable-deprecated = true ou en utilisant le bouton sur la page d'erreur affichée lors de l'accès à un site avec un ancien protocole.
  
• La note de version recommande une extension Facebook Container, qui bloque automatiquement les widgets Facebook hébergés sur des sites tiers, utilisés pour l'authentification, l'envoi de commentaires et de likes. Les paramètres d'identification de Facebook sont isolés dans un conteneur distinct, rendant difficile l'identification de l'utilisateur avec les sites visités. La possibilité d'accéder au site principal de Facebook est conservée, mais il est isolé des autres sites.

  Pour une isolation plus flexible des sites aléatoires, une extension est proposée Multi-Account Containers avec la mise en œuvre du concept de conteneurs contextuels. Les conteneurs permettent d'isoler différents types de contenu sans créer de profils séparés, ce qui permet de séparer les informations entre différents groupes de pages. Par exemple, il est possible de créer des zones distinctes et isolées pour la communication personnelle, le travail, les achats et les opérations bancaires, ou d'organiser l'utilisation simultanée de différents comptes d'utilisateur sur un même site. Chaque conteneur utilise des espaces de stockage séparés pour les cookies, l'API Local Storage, indexedDB, le cache et le contenu OriginAttributes.

• Dans about:config, un réglage « browser.tabs.allowTabDetach » a été ajouté, permettant d'interdire le détachement des onglets dans de nouvelles fenêtres. Le détachement accidentel d'un onglet est l'une des lacunes les plus irritantes de Firefox, dont la correction a été recherchée 9 ans. Le navigateur permet de faire glisser un onglet dans une nouvelle fenêtre, mais dans certaines circonstances, l'onglet se détache dans une fenêtre séparée, et pendant le travail, un mouvement de souris imprudent lors d'un clic sur l'onglet peut entraîner des problèmes.
• La prise en charge des propriétés -moz-column-* a été interrompue, et il convient d'utiliser les propriétés standard sans préfixe. le support d’extensions installées de manière oblique et non liées à des profils utilisateurs. Le changement ne concerne que l'installation d'extensions dans des répertoires communs ( /usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ ou ~/.mozilla/extensions/), gérés par toutes les instances de Firefox dans le système (sans lien avec l'utilisateur). Cette méthode est généralement utilisée pour préinstaller des extensions dans des distributions, pour une insertion non sollicitée avec des applications tierces, pour intégrer des extensions malveillantes ou pour livrer une extension avec son propre installateur. Dans Firefox 73, les extensions précédemment installées de force ont été automatiquement transférées du répertoire commun vers les profils utilisateurs individuels et peuvent maintenant être supprimées via le gestionnaire d'extensions intégré.
• Dans l'extension système Lockwise incluse dans le navigateur, qui propose l'interface « about:logins » pour gérer les mots de passe enregistrés, il y a eu la prise en charge une option de tri inversé (de Z à A).
• Dans WebRTC, la protection contre les fuites d'informations concernant l'adresse IP interne a été renforcée lors des appels vocaux et vidéo grâce au mécanisme «mDNS ICE», qui cache l'adresse locale derrière un identifiant aléatoire généré de manière dynamique, défini via Multicast DNS.
• La position de l'interrupteur du mode d'affichage « image dans l'image » a été modifiée, qui recouvrait le bouton pour passer à l'image suivante dans l'interface de téléchargement groupé de photos sur Instagram.
• En JavaScript ajouté l’opérateur « ?. », destiné à vérifier simultanément toute la chaîne de propriétés ou d'appels. Par exemple, en spécifiant « db?.user?.name?.length », vous pouvez désormais accéder à la valeur « db.user.name.length » sans vérifications préalables. Si un élément est traité comme null ou undefined, la valeur retournée sera « undefined ».
• La prise en charge des propriétés -moz-column-* a été interrompue, et il convient d'utiliser les propriétés standard sans préfixe. le support sur les sites et dans les extensions de la méthode Object.toSource() et de la fonction globale uneval().
• Un nouvel événement languagechange_event et sa propriété associée onlanguagechange, qui permettent d'appeler un gestionnaire lors du changement de langue de l'interface par l'utilisateur.
• Le traitement de l'en-tête HTTP Cross-Origin-Resource-Policy (CORP), permettant aux sites d'interdire l'insertion de ressources (par exemple, des images et des scripts) chargées depuis d'autres domaines (cross-origin et cross-site). L'en-tête peut prendre deux valeurs : « same-origin » (autorise uniquement les requêtes de ressources avec le même schéma, nom d'hôte et numéro de port) et « same-site » (autorise uniquement les requêtes du même site).

  Cross-Origin-Resource-Policy: same-site

• L'en-tête HTTP est activé par défaut Feature-Policy, permettant de gérer le comportement des API et l'activation de certaines fonctionnalités (par exemple, il est possible de désactiver l'accès à l'API Geolocation, à la caméra, au microphone, au passage en plein écran, à l'autoplay, au média chiffré, aux animations, à l'API de paiement, au mode synchrone de XMLHttpRequest, etc.). Pour les blocs iframe, l'attribut «allow« peut être utilisé dans le code de la page pour attribuer des droits à certains blocs iframe.

  <iframe src=»https://example.com» allow=»fullscreen»></iframe>

  Feature-Policy: microphone ‘none’; geolocation ‘none’

  En cas d'autorisation du site via l'attribut « allow » de travailler avec une ressource pour un iframe spécifique, et à la réception d'une demande de l'iframe pour obtenir des droits de travail avec cette ressource, le navigateur affiche désormais une boîte de dialogue de fourniture des droits dans le contexte de la page principale et délègue les droits confirmés par l'utilisateur à l'iframe (au lieu d'une confirmation séparée pour l'iframe et la page principale). Cependant, si la page principale n'a pas de droits sur la ressource demandée via l'attribut allow, l'accès de l'iframe à la ressource est immédiatement bloqué, sans affichage de boîte de dialogue à l'utilisateur.

• Le support de la propriété CSS ‘text-underline-position‘, définissant la position du soulignement du texte (par exemple, lors de l'affichage vertical du texte, il est possible d'organiser le soulignement à gauche ou à droite, et lors de l'affichage horizontal, non seulement en bas, mais aussi en haut), est activé par défaut. De plus, dans les styles de contrôle du soulignement des propriétés CSS, text-underline-offset et text-decoration-thickness un support pour l'utilisation de valeurs en pourcentage a été ajouté.
• Dans la propriété CSS outline-style, définissant le style de ligne autour des éléments, l'utilisation de la valeur « auto » est autorisée par défaut (auparavant, elle était désactivée en raison de problèmes dans GNOME).
• Dans le débogueur JavaScript ajouté la possibilité de déboguer des Web Workers imbriqués, dont l'exécution peut être suspendue et déboguée étape par étape à l'aide de points d'arrêt.
  
• L'interface d'inspection des pages web affiche des avertissements pour les propriétés CSS dépendant des éléments positionnés z-index, top, left, bottom et right.
  
• Pour Windows et macOS, il est désormais possible d'importer des profils depuis le navigateur Microsoft Edge basé sur le moteur Chromium.

En plus des nouvelles fonctionnalités et des corrections de bugs, Firefox 74 a résolu 20 vulnérabilités, dont 10 (classées sous CVE-2020-6814 et CVE-2020-6815) sont marquées comme susceptibles de permettre l'exécution de code malveillant lors de l'ouverture de pages spécialement conçues. Il est à noter que les problèmes de mémoire, tels que les débordements de tampon et l'accès à des zones de mémoire déjà libérées, sont récemment classés comme dangereux mais non critiques.

Source : opennet.ru