A Mozilla vállalat a kiterjesztésről a biztonsági problémák felfedezéséért járó pénzdíjak kifizetéséről, amelyek az infrastruktúra elemeivel vannak összefüggésben, amelyek a Firefox fejlesztéséhez kapcsolódnak. A Mozilla weboldalain és szolgáltatásaiban felfedezett sebezhetőségek díja megduplázódott, míg a kód végrehajtásához vezető sebezhetőségek díja , 15 ezer dollárra emelkedett.
Az autentikáció megkerülésének és az SQL-kód helyettesítésének meghatározásáért 6 ezer dolláros jutalom kérhető, míg az XSS (cross-site scripting) és a CSRF (cross-site request forgery) 5 ezer dollár. A kulcsfontosságú weboldalak közé tartozik a firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
és még néhány tucat, kiegészítőkkel, frissítésekkel, letöltéssel, szinkronizálással és statisztikákkal foglalkozó weboldal.
A a jutalom mértéke körülbelül a felére csökkent. Az alapvető weboldalak közé tartozik az observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org és néhány belső fejlesztői szolgáltatás.
A korábban érvényben lévő feltételekhez képest a következő kulcsfontosságú weboldalak és szolgáltatások kerültek felvételre:
- (digitális aláírások szolgáltatása),
- (a kód automatikus elhelyezésének szolgáltatása a
Phabricatorban a repozitóriumokba), - (a változtatások áttekintésére alkalmazott kódkezelő eszköz),
- (feladatrendszer, amely támogatja a folyamatos integrációs rendszert és a kiadási folyamatokat).
Az új alapvető weboldalak között említést nyer:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Szolgáltatás (a Stripe kifizetési rendszer felett működő interfész),
- (kiegészítő a a forgalom védelmére),
- (a kiadások generálásához benyújtott kérelmek rendszer),
- (a beszédfelismerő API alapját képező beszédfelismerő rendszer).
Ezen kívül megemlíthetjük aktiválni a január 7-re tervezett Firefox 72-es kiadásban a zavaró kérelmek a weboldalak további jogainak megadására. Sok weboldal visszaél a böngészőkben elérhető jogkérő lehetőséggel, főként azáltal, hogy időszakonként push-értesítések kérését jeleníti meg. A telemetria elemzése azt mutatta, hogy az ilyen kérelmek 97%-át elutasítják, köztük 19%-ban a felhasználó azonnal bezárja az oldalt anélkül, hogy rákattintott volna az elfogadó vagy elutasító gombra. A Firefox 72 verziójában az ilyen kérések blokkolva lesznek, ha nem történt felhasználói interakció az oldalon (egérkattintás vagy billentyűleütés).
A Firefox 72-es verziójában kiemelkedik az aktuális oldal háttérszínsávja és a nyilvános kulcsokhoz köthető (PKP, Public Key Pinning) kötelék, amely lehetővé teszi a Public-Key-Pins HTTP-fejléccel a weboldal számára elfogadható tanúsítványok pontos megadását a megfelelő hitelesítési központoktól. Az eltávolítás okaként alacsony keresletet és a kompatibilitási problémák kockázatát emelik ki (PKP támogatás megszüntetése a Chrome-ban), valamint a saját weboldal blokkolásának lehetősége a hibás kulcsokkal való kötelék vagy kulcsok elvesztése miatt (például véletlen törlés vagy hackelés következtében bekövetkező kompromittálás). a Chrome-ban) és annak lehetősége, hogy saját weboldalunkat blokkolhatjuk a helytelen kulcsok kinyitása vagy a kulcsok elvesztése miatt (például véletlen törlés vagy hackelés után bekövetkező kompromittálás).
Forrás: opennet.ru
