Mozilla расширяет программу выплаты вознаграждений за выявление уязвимостей

Kamfanin Mozilla sanar game da fadadawa manufofi по выплате денежных вознаграждений за выявление проблем с безопасностью в элементах инфраструктуры, связанных с разработкой Firefox. Размер премий за выявление уязвимостей на сайтах и в сервисах Mozilla увеличен в два раза, а премия за выявление уязвимостей, которые могут привести к выполнению кода на ключевых сайтах, доведена до 15 тысяч долларов.

За определение метода обхода аутентификации и подстановку SQL-кода можно получить вознаграждение в 6 тысяч долларов, а за межсайтовый скриптинг и CSRF — 5 тысяч долларов. К ключевым сайтам отнесены firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
и ещё несколько десятков сайтов, связанных с дополнениями, обновлениями, загрузкой, синхронизацией и статистикой.

domin базовых сайтов размер премии примерно в два раза меньше. К базовым сайтам отнесены observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org и некоторые внутренние сервисы для разработчиков.

По сравнению с ранее действующими условиями, в число ключевых сайтов и сервисов добавлены:

• Kai tsaye (сервис цифровых подписей),
• Landau (сервис автоматического размещения кода из
  Phabricator в репозиториях),

• Mai gyarawa (инструментарий управления кодом, применяемый для рецензирования изменений),
• Taskcluster (фреймворк для выполнения задач, поддерживающий систему непрерывной интеграции и процессы формирования релизов).

Из новых базовых сайтов отмечены:

• Binciken Firefox (monitor.firefox.com),
• Платформа локализации (l10n.mozilla.org),
• sabis Payment Subscription (обвязка над платёжной системой Stripe),
• Firefox Private Network (дополнение с wakili для защиты трафика),
• Ship It (система трансляции запросов на формирование релизов),
• Yi Mani Magana (система распознавания речи, лежащая в основе Speech Recognition API).

Bugu da ƙari, kuna iya Alama намерение активировать в намеченном на 7 января релизе Firefox 72 методы борьбы с назойливыми запросами на предоставление сайту дополнительных полномочий. Многие сайты злоупотребляют предоставляемой в браузерах возможностью запроса полномочий, главным образом путём периодического вывода запросов на получение push-уведомлений. Анализ телеметрии показал, что 97% подобных запросов отклоняются, в том числе в 19% случаях пользователь сразу закрывает страницу не нажимая кнопку согласия или отклонения. В Firefox 72 подобные запросы будут блокироваться, если не зафиксировано взаимодействие пользователя со страницей (клик мышью или нажатие клавиш).

Из грядущих изменений в Firefox 72 также выделяется da yin amfani da цвета фона текущей страницы для полосы прокрутки и shafewa damar привязки открытых ключей (PKP, Public Key Pinning), позволяющей при помощи HTTP-заголовка Public-Key-Pins явно определить сертификаты каких удостоверяющих центров допустимо использовать для заданного сайта. В качестве причины называется низкая востребованность данной функции, риск проблем с совместимостью (поддержка PKP daina a cikin Chrome) da kuma ikon toshe rukunin yanar gizon ku saboda ɗaure maɓallan da ba daidai ba ko asarar maɓalli (misali, gogewa na bazata ko sasantawa sakamakon hacking).

source: budenet.ru