È stato rilasciato il browser web , e inoltre Firefox 68.6 per la piattaforma Android. Inoltre, è stato creato un aggiornamento con supporto a lungo termine . A breve, il ramo che passerà al ramo Firefox 75, il cui rilascio è previsto per il 7 aprile (progetto di 4-5 settimane ). Per il ramo beta di Firefox 75 formazione per Linux in formato Flatpak.
:
- Nelle versioni per Linux è attivato un meccanismo di isolamento , mirato a bloccare lo sfruttamento di vulnerabilità in librerie di funzioni di terze parti. In questa fase, l'isolamento è attivato solo per la libreria , responsabile del rendering dei caratteri. RLBox compila codice C/C++ di una libreria isolata in codice intermedio low-level WebAssembly, che viene poi rappresentato come un modulo WebAssembly, i cui permessi sono limitati esclusivamente a questo modulo. Il modulo compilato opera in una memoria separata e non ha accesso al resto dello spazio indirizzabile. In caso di sfruttamento di una vulnerabilità nella libreria, l'attaccante sarà limitato e non potrà accedere alle aree di memoria del processo principale o trasferire il controllo al di fuori dell'ambiente isolato.
- Modalità DNS sopra HTTPS (DoH, DNS over HTTPS) per gli utenti degli Stati Uniti. Come provider DNS predefinito è proposta CloudFlare (mozilla.cloudflare-dns.com in del Roskomnadzor), mentre come opzione è disponibile NextDNS. Cambiare provider o abilitare DoH in paesi diversi dagli Stati Uniti, nelle impostazioni della connessione di rete. Maggiori informazioni su DoH in Firefox possono essere lette in .
- il supporto ai protocolli TLS 1.0 e TLS 1.1. Per accedere ai siti tramite un canale protetto, il server deve fornire supporto almeno per TLS 1.2. Secondo i dati di Google, attualmente circa lo 0,5% dei caricamenti di pagine web continua a utilizzare versioni obsolete di TLS. La disabilitazione è stata effettuata in conformità con IETF (Internet Engineering Task Force). La ragione per la quale si è deciso di non supportare TLS 1.0/1.1 è l'assenza di supporto per algoritmi moderni (come ECDHE e AEAD) e la richiesta di supportare algoritmi obsoleti, la cui affidabilità al giorno d'oggi è messa in discussione (ad esempio, è necessario supportare TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, e per la verifica dell'integrità e dell'autenticazione si usano MD5 e SHA-1). Cercando di utilizzare TLS 1.0 e 1.1 a partire da Firefox 74 si verificherà un errore. È possibile ripristinare la funzionalità con le versioni obsolete di TLS tramite l'impostazione security.tls.version.enable-deprecated = true o utilizzando un pulsante nella pagina di errore, visualizzata quando si accede a un sito con un vecchio protocollo.
- Nella nota di rilascio è consigliato un componente aggiuntivo , che blocca automaticamente i widget di Facebook inseriti su siti di terze parti, utilizzati per l'autenticazione, l'invio di commenti e mi piace. I parametri di identificazione di Facebook vengono isolati in un contenitore separato, rendendo difficile l'identificazione dell'utente con i siti visitati. La possibilità di utilizzare il sito principale di Facebook rimane, ma viene isolata dagli altri siti.
Per un isolamento più flessibile di siti arbitri è proposto un componente aggiuntivo con l'implementazione del concetto di contenitori contestuali. I contenitori offrono la possibilità di isolare diversi tipi di contenuto senza creare profili separati, permettendo di separare le informazioni di diversi gruppi di pagine. Ad esempio, è possibile creare aree separate e isolate tra loro per comunicazioni personali, lavoro, acquisti e operazioni bancarie, oppure organizzare l'uso simultaneo di diversi account utente su un unico sito. In ogni contenitore vengono utilizzati archivi separati per i Cookie, l'API Local Storage, l'indexedDB, la cache e il contenuto OriginAttributes.
- In about:config è stata aggiunta l'impostazione «browser.tabs.allowTabDetach», che permette di vietare lo scollegamento delle schede in nuove finestre. Il distacco accidentale di una scheda è uno dei difetti più irritanti di Firefox, la cui eliminazione è attesa da 9 anni. Il browser permette di trascinare una scheda in una nuova finestra con il mouse, ma in determinate circostanze una scheda può scollegarsi in una finestra separata durante il lavoro se il movimento del mouse non è attento mentre si fa clic sulla scheda.
- supporta l'installazione di componenti aggiuntivi installati in modo alternativo e non legati ai profili utente. La modifica riguarda solo l'installazione di componenti aggiuntivi in directory comuni (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ oppure ~/.mozilla/extensions/), gestite da tutte le istanze di Firefox nel sistema (senza legami all'utente). Questo metodo viene solitamente utilizzato per preinstallare componenti aggiuntivi nelle distribuzioni, per inserimenti indesiderati insieme ad applicazioni di terze parti, per l'integrazione di componenti aggiuntivi dannosi o per la fornitura isolata di un componente aggiuntivo con il proprio programma di installazione. In Firefox 73, i componenti aggiuntivi precedentemente installati forzatamente sono stati automaticamente trasferiti dalla directory comune ai profili individuali degli utenti e ora possono essere gestiti tramite il gestore dei componenti aggiuntivi standard.
- Nell'estensione di sistema Lockwise inclusa nel browser, che offre l'interfaccia «about:logins» per gestire le password salvate, è stata introdotta la possibilità di ordinare in ordine inverso (da Z a A).
- In WebRTC è stata migliorata la protezione contro la perdita di informazioni sull'indirizzo IP interno durante le chiamate vocali e video tramite un meccanismo «», che nasconde l'indirizzo locale dietro un identificatore casuale generato dinamicamente, determinato tramite Multicast DNS.
- È stata modificata la posizione dell'interruttore della modalità di visualizzazione "immagine nell'immagine", che copriva il pulsante per passare all'immagine successiva nell'interfaccia di caricamento delle foto su Instagram.
- In JavaScript Operatore "?.", destinato a controllare simultaneamente l'intera catena di proprietà o chiamate. Ad esempio, specificando "db?.user?.name?.length" ora è possibile accedere al valore "db.user.name.length" senza controlli preliminari. Se un qualsiasi elemento viene trattato come null o undefined, in uscita verrà restituito il valore "undefined".
- Supporto sui siti e nelle estensioni del metodo Object.toSource() e della funzione globale uneval().
- Aggiunto un nuovo evento e la relativa proprietà , che consente di attivare il gestore al cambiamento della lingua dell'interfaccia da parte dell'utente.
- Attivata la gestione dell'intestazione HTTP (), che consente ai siti di vietare l'inserimento di risorse (ad esempio, immagini e script) caricati da altri domini (cross-origin e cross-site). L'intestazione può assumere due valori: "same-origin" (permette solo richieste di risorse con la stessa schema, nome host e numero di porta) e "same-site" (permette solo richieste dallo stesso sito).
Cross-Origin-Resource-Policy: same-site
- Attivata di default l'intestazione HTTP , che consente di gestire il comportamento delle API e l'attivazione di determinate funzionalità (ad esempio, è possibile disattivare l'accesso all'API di Geolocalizzazione, alla fotocamera, al microfono, alla modalità a schermo intero, alla riproduzione automatica, alle medie criptate, all'animazione, all'API di pagamento, alla modalità sincrona di funzionamento di XMLHttpRequest, ecc.). Per i blocchi iframe è stato proposto separatamente l'attributo "", che può essere applicato nel codice della pagina per assegnare diritti a determinati blocchi iframe.
<iframe src=»https://example.com» allow=»fullscreen»></iframe>
Feature-Policy: microphone 'none'; geolocation 'none'
Nel caso in cui il sito consenta, tramite l'attributo "allow", l'accesso a una risorsa per un determinato iframe, e si riceva una richiesta dall'iframe per ottenere le autorizzazioni per lavorare con questa risorsa, ora il browser visualizza un dialogo per il rilascio delle autorizzazioni nel contesto della pagina principale e delega i diritti confermati dall'utente all'iframe (anziché una conferma separata per l'iframe e la pagina principale). Tuttavia, se la pagina principale non possiede le autorizzazioni sulla risorsa richiesta tramite l'attributo allow, l'accesso per l'iframe alla risorsa verrà negato , senza visualizzare alcun dialogo per l'utente.
- È abilitato per impostazione predefinita il supporto per la proprietà CSS ‘‘, che determina la posizione della sottolineatura del testo (ad esempio, nel layout verticale, la sottolineatura può essere posizionata a sinistra o a destra, mentre in quello orizzontale può essere sia sotto che sopra). Inoltre, sono state aggiunte alle proprietà CSS dello stile della sottolineatura e il supporto per l'uso di valori percentuali.
- Nella proprietà CSS , che definisce lo stile della linea intorno agli elementi, per impostazione predefinita è consentito l'uso del valore «auto» (in precedenza era a causa di problemi in GNOME).
- Nel debugger JavaScript possibilità di debug dei Web Worker annidati, la cui esecuzione può essere sospesa e debuggata passo dopo passo, applicando i punti di interruzione.
- Nell'interfaccia per l'ispezione delle pagine web è stata garantita la visualizzazione di avvisi per le proprietà CSS dipendenti dagli elementi posizionati z-index, top, left, bottom e right.
- Per Windows e macOS è stata implementata la possibilità di importare profili dal browser Microsoft Edge basato sul motore Chromium.
Oltre alle novità e alla correzione di bug, in Firefox 74 è stata risolta , di cui 10 (raccoglie sotto e ) contrassegnati come potenzialmente in grado di eseguire codice dannoso all'apertura di pagine specificamente realizzate. È importante ricordare che i problemi di memoria, come i buffer overflow e l'accesso a aree di memoria già liberate, sono stati recentemente contrassegnati come pericolosi, ma non critici.
Fonte: opennet.ru
