Tvrtka Mozilla o proširenju u vezi s isplatama novčanih nagrada za otkrivanje sigurnosnih problema u infrastrukturnim elementima povezanima s razvojem Firefox-a. Iznos nagrada za otkrivanje ranjivosti na web stranicama i uslugama Mozille povećan je dvostruko, a nagrada za otkrivanje ranjivosti koje mogu dovesti do izvršavanja koda na , povećana je na 15 tisuća dolara.
Za identifikaciju metode zaobiđenja autentifikacije i umetanje SQL koda možete dobiti nagradu od 6 tisuća dolara, dok je nagrada za međusitejski skripting i CSRF 5 tisuća dolara. Ključne web stranice uključuju firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
i još nekoliko desetaka web stranica povezanih s dodacima, ažuriranjima, preuzimanjem, sinkronizacijom i statistikom.
Za iznos nagrade je otprilike upola manji. Među osnovnim web stranicama su observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org i neki unutarnji servisi za programere.
U usporedbi s prethodnim uvjetima, u skupinu ključnih web stranica i usluga dodani su:
- (usluga digitalnih potpisa),
- (usluga automatskog postavljanja koda iz
Phabricator u repozitorije), - (alat za upravljanje kodom koji se koristi za recenziranje izmjena),
- (okvir za izvođenje zadataka koji podržava sustav kontinuirane integracije i procese formiranja izdanja).
Neki od novih osnovnih web stranica su:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Servis (omotač iznad sustava za plaćanje Stripe),
- (dodatek za za zaštitu prometa),
- (sustav za preusmjeravanje zahtjeva za izradu izdanja),
- (sustav prepoznavanja glasa koji leži u osnovi Speech Recognition API).
Dodatno se može pokušati aktivirati u planiranom izdanju Firefox 72 7. siječnja s neugodnim zahtjevima za dodatne ovlasti na web stranici. Mnogi web-lokacije zlorabe mogućnost traženja ovlasti koja se nudi u preglednicima, prvenstveno povremenim prikazivanjem zahtjeva za primanje push obavijesti. Analiza telemetrije pokazala je da je 97% takvih zahtjeva odbijeno, uključujući 19% slučajeva u kojima korisnici odmah zatvaraju stranicu ne pritiskajući dugme za pristanak ili odbijanje. U Firefoxu 72 takvi će zahtjevi biti blokirani ako ne bude zabilježen interakcija korisnika s stranicom (klik mišem ili pritisak tipki).
Među nadolazećim promjenama u Firefoxu 72 također se ističe boja pozadine trenutne stranice za traku pomicanja i vezanje javnih ključeva (PKP, Public Key Pinning), koja omogućuje putem HTTP zaglavlja Public-Key-Pins jasno odrediti koje certifikate od ovlaštenih tijela je dopušteno koristiti za zadanu web-lokaciju. Kao razlog navodi se niska potražnja za ovom funkcijom, rizik od problema s kompatibilnošću (podrška za PKP u Chromeu) i mogućnost blokiranja vlastite web stranice zbog vezivanja pogrešnih ključeva ili gubitka ključeva (na primjer, slučajno brisanje ili kompromitacija uslijed hakiranja).
Izvor: opennet.ru
