È stato rilasciato il browser web Firefox 135 e sono stati creati aggiornamenti per le versioni precedenti con supporto a lungo termine — 115.20.0 e 128.7.0. La versione Firefox 136 è ora in fase di beta testing, il cui rilascio è previsto per il 4 marzo.
Le principali novità di Firefox 135:
- Nel traduttore integrato è stata aggiunta la supporto per la traduzione in lingua russa (la traduzione dal russo verso altre lingue era già disponibile, ma non viceversa), nonché per la traduzione da coreano, giapponese e cinese semplificato. È stata migliorata la qualità della traduzione, ad esempio sono state eliminate situazioni in cui il modello AI inseriva parole inventate. Il sistema di traduzione integrato in Firefox esegue le traduzioni sul sistema locale dell'utente senza fare riferimento a servizi esterni. Il sistema è basato sul motore aperto Bergamot. Il motore funge da wrapper sopra il framework di traduzione automatica Marian, nel quale viene applicata una rete neurale ricorrente (RNN) e modelli di linguaggio basati su trasformatori.
- È disponibile per tutti gli utenti un chatbot AI integrato, che utilizza grandi modelli di linguaggio per interagire in linguaggio naturale. Il chatbot viene visualizzato nella barra laterale e può lavorare tramite i servizi di Anthropic Claude, ChatGPT, Google Gemini, HuggingChat (Hugging Face) e Le Chat Mistral. L'utente può passare da un servizio all'altro a proprio piacimento. Per utilizzarlo è necessaria la registrazione in ciascuno dei servizi supportati (nell'interfaccia si apre l'applicazione web di ciascun servizio). Oltre alla chat, è stato aggiunto un pulsante nel menu contestuale «Ask …», attraverso il quale è possibile inviare al chatbot un frammento evidenziato nella pagina, ad esempio per creare un riassunto del contenuto o per spiegare il significato con parole semplici. Per aggiungere i propri modelli linguistici, che funzionano sul sistema locale, è possibile utilizzare l'insieme di strumenti llamafile.
- Per gli utenti di tutti i paesi in cui è disponibile il servizio di raccomandazione Mozilla Stories, è stato introdotto un nuovo design per la pagina visualizzata all'apertura di una nuova scheda. Nella scorsa edizione, il nuovo design era stato proposto solo agli utenti degli Stati Uniti e del Canada. La nuova versione si distingue per l'introduzione di una barra di ricerca e di un elenco di pagine consigliate, oltre alla modifica dell'aspetto del blocco con i siti visitati di frequente e quelli fissati, che ora vengono mostrati non più in griglia, ma su un'unica riga. Il numero di colonne del contenuto è selezionato in base alla larghezza della finestra, permettendo di utilizzare in modo efficiente tutto lo spazio disponibile sullo schermo.
- Per tutti gli utenti è stata attivata la funzione di salvataggio automatico e compilazione dei numeri delle carte di credito nei moduli web. Il codice CVV non viene salvato, mentre i numeri delle carte sono conservati in un archivio protetto, per l'accesso al quale è possibile impostare una password separata.
- Verifica obbligatoria attivata di certificati TLS dei server web nei registri pubblici di Certificate Transparency, progettati per rilevare certificati creati al di fuori dei processi di lavoro standard dell'autorità di certificazione (ad esempio, la creazione nascosta di un certificato a seguito di abusi da parte di un dipendente o di una compromissione dell'autorità di certificazione). L'autorità di certificazione invia informazioni su tutti i nuovi certificati a diversi registri indipendenti di Certificate Transparency, che consentono di eseguire audit di tutte le modifiche. Se un sito utilizza un certificato non registrato nel registro, quel certificato verrà contrassegnato dal browser come non sicuro.
I registri accompagnano diverse organizzazioni non collegate tra loro. Per proteggere i dati da distorsioni retroattive durante la conservazione, viene utilizzata una struttura ad albero denominata 'Albero di Merkle' (Merkle Tree), in cui ogni ramo verifica tutti i rami e i nodi sottostanti, grazie all'hashing ad albero. Possedendo un hash finale, l'utente può assicurarsi della correttezza dell'intera storia delle operazioni, così come della correttezza dei precedenti stati del database.
- Per accelerare la verifica dei certificati TLS, è stato attivato il meccanismo CRLite, che opera sul sistema dell'utente. Il database di certificati memorizzato localmente viene periodicamente sincronizzato con un database esterno di Mozilla. Per ridurre le dimensioni del database, vengono applicati filtri a cascata di Bloom: una struttura probabilistica che consente una falsa identificazione di un elemento assente, ma esclude l'omissione di un elemento esistente. Ad esempio, i dati riguardanti 100 milioni di certificati vengono compressi in una struttura di dimensioni inferiori a 1 MB.
Rispetto all'accesso a un'autorità di certificazione tramite il protocollo OCSP (Online Certificate Status Protocol), l'uso di CRLite non solo elimina i ritardi legati all'invio di richieste di rete, ma aumenta anche la privacy (utilizzando OCSP, il browser invia una richiesta a ogni accesso ai siti, trasmettendo effettivamente all'autorità di certificazione dati su quali siti sta aprendo) ed evita la dipendenza dalla disponibilità dei server OCSP (un attaccante può condurre un attacco DDoS su un server OCSP per bloccare l'elaborazione delle richieste).
- È stata aggiunta una protezione contro manomissioni che ostacolano la navigazione utilizzando i pulsanti "indietro" e "avanti", a causa di un'inondazione della cronologia delle visite con record fittizi creati tramite l'API History. L'essenza della protezione consiste nell'ignorare i record non collegati alle azioni dell'utente durante l'elaborazione dei clic sui pulsanti "indietro" e "avanti".
- Nelle versioni per Linux e macOS è stata aggiunta un'opzione per chiudere solo la scheda corrente, anziché tutte le schede, dopo aver premuto la combinazione di tasti per uscire dall'applicazione (Alt + F4).
- Dalla pagina delle impostazioni sulla privacy (about:preferences#privacy) è stata rimossa l'opzione per inviare ai siti web l'intestazione HTTP "Do Not Track" ("DNT"). L'intestazione DNT informa i siti della volontà dell'utente di non trasferire a terzi informazioni che possono essere utilizzate per monitorare i movimenti e le preferenze. L'intestazione DNT non è obbligatoria ed è ignorata da molti siti. Si raccomanda di utilizzare invece il meccanismo GPC (Global Privacy Control), che informa i siti del divieto di vendita dei dati personali e dell'uso dei dati per monitorare il comportamento o i movimenti dell'utente. A differenza di DNT, il rispetto dei requisiti GPC è obbligatorio ai sensi della legge vigente CCPA (California Consumer Privacy Act).
- L'operazione del menu contestuale "Copy Without Site Tracking" è stata rinominata in "Copy Clean Link" ed ampliata con la possibilità di utilizzarla per URL puri nel testo (senza collegamenti ipertestuali). L'operazione consente di copiare l'URL del link selezionato negli appunti, rimuovendo preventivamente i parametri utilizzati per tracciare le transizioni tra i siti.
- Nella barra degli indirizzi è stata implementata la possibilità di cercare nomi di gruppi di schede e passare ai gruppi trovati. La ricerca include, tra l'altro, gruppi chiusi e salvati.
- Per comprimere le build di Firefox per la piattaforma Linux è stato utilizzato il formato XZ, che ha ridotto la dimensione dei dati scaricati in media del 25% rispetto al formato bz2 e ha più che raddoppiato il tempo di decompressione.
- Per HTTP/3 è stata aggiunta la supporto per un algoritmo di scambio di chiavi ibrido "mlkem768x25519", resistente agli attacchi da computer quantistici e che rappresenta una combinazione di X25519 ECDH e dell'algoritmo ML-KEM (CRYSTALS-Kyber), standardizzato l'anno scorso dal National Institute of Standards and Technology degli Stati Uniti (NIST). ML-KEM utilizza metodi crittografici basati sulla risoluzione di problemi della teoria delle reticoli, il cui tempo di risoluzione non differisce tra computer tradizionali e quantistici.
- Negli attributi dell'interfaccia PointerEvent, che definiscono le coordinate del puntatore, è stata implementata la trasmissione di valori non interi. Questa modifica consente di gestire eventi con maggiore precisione in situazioni in cui l'elemento di destinazione è stato trasformato tramite CSS o quando è stato ingrandito il viewport.
- Il comportamento degli eventi mouseenter, mouseleave, pointerenter e pointerleave è stato modificato per conformarsi alla specifica.
- Nell'API WebAuthn è stato aggiunto il metodo getClientCapabilities().
- Negli strumenti per sviluppatori web è stato implementato un avviso quando si utilizza la proprietà «content-visibility» con elementi a cui non si applica un limite di dimensione.
- Nella console web è stato aggiunto il comando «$$$», progettato per la ricerca nelle pagine tenendo conto del contenuto del DOM shadow.
- Ampliate le possibilità di debug per le estensioni WebExtension: è stata stabilita la funzionalità dei punti di interruzione negli script di elaborazione dei contenuti e assicurata la visualizzazione dei Worker selezionando il contesto nel pannello Console.
- Nella versione per Android è stata aggiunta un'opzione che consente l'invio automatico a Mozilla di rapporti sugli arresti anomali del browser, senza conferma dell'utente.
Oltre alle novità e alla correzione di bug, in Firefox 135 sono state risolte 19 vulnerabilità. 13 vulnerabilità, contrassegnate come critiche, sono state causate da problemi di gestione della memoria, come buffer overflow e accesso a aree di memoria già liberate. Potenzialmente, questi problemi possono consentire l'esecuzione di codice malevolo aprendo pagine appositamente formattate.
Nella versione beta di Firefox 136 per le piattaforme Linux è stato abilitato l'uso dell'accelerazione hardware per la decodifica video sui sistemi con GPU AMD. È stata attivata di default la modalità HTTPS-First, in cui le richieste su «http://» vengono sostituite con «https://», sia durante il passaggio a un link che durante l'immissione di un URL e il caricamento di sottorecursos, come immagini, script e fogli di stile. È stata aggiunta la possibilità di inviare e ricevere video in formato AV1 tramite WebRTC.
Fonte: opennet.ru
