È stato rilasciato il web browser Firefox 135 e sono stati formati aggiornamenti delle versioni precedenti con supporto a lungo termine — 115.20.0 e 128.7.0. La versione beta di Firefox 136 è stata avviata e il rilascio è previsto per il 4 marzo.
Novità principali in Firefox 135:
- Il traduttore integrato ora supporta la traduzione in russo (la traduzione dal russo in altre lingue era già disponibile, ma la traduzione in russo non era presente), così come la traduzione dal coreano, giapponese e cinese semplificato. È stata migliorata la qualità delle traduzioni, ad esempio, sono state eliminate situazioni in cui il modello AI inseriva parole inventate. Il sistema di traduzione integrato in Firefox esegue traduzioni direttamente sul sistema locale dell'utente, senza accedere a servizi cloud esterni. Questo sistema si basa sul motore open source Bergamot, che è un wrapper sopra il framework di traduzione automatica Marian, che utilizza reti neurali ricorrenti (RNN) e modelli linguistici basati su transformers.
- È disponibile per tutti gli utenti un chatbot AI integrato, che utilizza grandi modelli linguistici per interagire con il linguaggio naturale. Il chatbot viene visualizzato nella barra laterale e può funzionare tramite i servizi Anthropic Claude, ChatGPT, Google Gemini, HuggingChat (Hugging Face) e Le Chat Mistral. L'utente può passare tra i servizi a piacimento. Per utilizzarli, è necessaria la registrazione a ciascuno dei servizi supportati (nella barra si apre l'app web di ogni servizio). Oltre alla chat, nel menu contestuale è stata aggiunta un'opzione 'Ask …', tramite la quale è possibile inoltrare al chatbot un frammento selezionato dalla pagina, ad esempio, per creare un riassunto del contenuto o spiegare il significato con parole semplici. Per aggiungere i propri modelli linguistici, funzionanti su un sistema locale, è possibile utilizzare lo strumento llamafile.
- Per gli utenti di tutti i paesi in cui è disponibile il servizio di raccomandazione Mozilla Stories, è stata introdotta una nuova interfaccia per la pagina mostrata all'apertura di una nuova scheda. Nella precedente versione, la nuova interfaccia era offerta solo agli utenti degli Stati Uniti e del Canada. La nuova versione si distingue per l'apparizione della barra di ricerca e di un elenco di pagine consigliate, nonché per la modifica dell'aspetto del blocco dei siti frequentemente visitati e fissati, che ora vengono mostrati su un'unica fila anziché in formato griglia. Il numero di colonne con contenuti è scelto in base alla larghezza della finestra, consentendo un utilizzo efficace di tutto lo spazio disponibile sullo schermo.
- Per tutti gli utenti è stata attivata la funzione di memorizzazione automatica e compilazione dei numeri delle carte di credito nei moduli web. Il codice CVV non viene memorizzato, mentre i numeri delle carte sono salvati in uno spazio di archiviazione protetto, al quale è possibile accedere impostando una password separata.
- È stata attivata la verifica obbligatoria certificati TLS. server web nei registri pubblici di Certificate Transparency, progettati per rilevare certificati creati al di fuori dei normali processi del certificatore (ad esempio, la creazione nascosta di un certificato a seguito di un abuso da parte di un dipendente o della compromissione del certificatore). Il certificatore invia informazioni su tutti i nuovi certificati a più registri indipendenti di Certificate Transparency, che consentono di auditare tutte le modifiche. Se si utilizza un certificato non presente nel registro, questo verrà contrassegnato dal browser come non sicuro.
I registri accompagnano diverse organizzazioni non correlate. Per proteggere i dati da possibili alterazioni retroattive durante il loro stoccaggio, viene utilizzata una struttura ad albero chiamata "Albero di Merkle", in cui ogni ramo verifica tutti i rami e nodi sottostanti, grazie all'hashing ad albero. Avendo un hash finale, l'utente può garantire la correttezza dell'intera cronologia delle operazioni, così come la correttezza degli stati passati del database.
- Per accelerare la verifica dei certificati TLS è stato attivato il meccanismo CRLite, che opera sul sistema dell'utente. Il database degli utenti contenente le informazioni sui certificati viene periodicamente sincronizzato con un database esterno di Mozilla. Per ridurre la dimensione del database, vengono utilizzati i filtri di Bloom a cascata: una struttura probabilistica che permette di identificare falsamente un elemento come assente, ma esclude la possibilità di omettere un elemento esistente. Ad esempio, i dati riguardanti 100 milioni di certificati vengono compressi in una struttura di circa 1 MB.
Rispetto alla comunicazione con l'autorità di certificazione tramite il protocollo OCSP (Online Certificate Status Protocol), l'uso di CRLite non solo elimina i ritardi nella richiesta di rete, ma aumenta anche la riservatezza (utilizzando OCSP, il browser invia una richiesta ad ogni visita ai siti, trasmettendo di fatto all'autorità di certificazione informazioni sui siti visitati) ed elimina la dipendenza dalla disponibilità dei server OCSP (un aggressore potrebbe eseguire un attacco DDoS contro un server OCSP per bloccare l'elaborazione delle richieste).
- È stata aggiunta una protezione contro le manipolazioni che ostacolano la navigazione utilizzando i pulsanti "indietro" e "avanti" a causa dell'inquinamento della cronologia delle visite con voci fittizie generate tramite l'API Storia. La protezione consiste nell'ignorare le voci non correlate alle azioni dell'utente durante l'elaborazione dei clic sui pulsanti "indietro" e "avanti".
- Nelle versioni per Linux e macOS è stata aggiunta l'opzione per chiudere solo la scheda corrente, e non tutte le schede, dopo aver premuto la combinazione di tasti per uscire dall'applicazione (Alt + F4).
- Dalla pagina delle impostazioni sulla privacy (about:preferences#privacy) è stata rimossa l'opzione per inviare ai siti l'intestazione HTTP "Do Not Track" ("DNT"). L'intestazione DNT informa i siti della volontà dell'utente di non trasferire dati che potrebbero essere utilizzati per tracciare i suoi movimenti e preferenze. L'intestazione DNT non è obbligatoria ed è ignorata da molti siti. Si raccomanda di utilizzare invece il meccanismo GPC (Global Privacy Control), che informa i siti del divieto di vendita dei dati personali e dell'uso di dati per tracciare il comportamento o i movimenti dell'utente. A differenza del DNT, l'adempimento dei requisiti GPC è obbligatorio secondo la normativa vigente CCPA (California Consumer Privacy Act).
- L'operazione del menu contestuale "Copy Without Site Tracking" è stata rinominata in "Copy Clean Link" ed è stata ampliata per essere utilizzabile con URL puri nel testo (senza collegamenti ipertestuali). L'operazione consente di copiare l'URL del link selezionato negli appunti, rimuovendo preventivamente i parametri utilizzati per tracciare le transizioni tra siti.
- Nella barra degli indirizzi è stata implementata la funzione di ricerca dei nomi dei gruppi di schede e di accesso ai gruppi trovati. La ricerca comprende anche gruppi chiusi e salvati.
- Per la compressione delle build di Firefox per la piattaforma Linux è stato adottato il formato XZ, che ha consentito di ridurre in media del 25% le dimensioni dei dati scaricati rispetto al formato bz2 e di diminuire il tempo di estrazione di oltre il doppio.
- Per HTTP/3 è stata aggiunta la supporto per un algoritmo ibrido di scambio delle chiavi chiamato "mlkem768x25519", resistente agli attacchi da parte di computer quantistici e che rappresenta una combinazione di X25519 ECDH e dell'algoritmo ML-KEM (CRYSTALS-Kyber), standardizzato lo scorso anno dal National Institute of Standards and Technology (NIST). ML-KEM utilizza metodi crittografici basati sulla risoluzione di problemi di teoria della griglia, il cui tempo di risoluzione non differisce tra normali e computer quantistici.
- Negli attributi dell'interfaccia PointerEvent, che definiscono le coordinate del puntatore, è stata implementata la trasmissione di valori non interi. Questa modifica consente di gestire gli eventi con maggiore precisione in situazioni in cui l'elemento di destinazione è stato trasformato tramite CSS o quando viene ingrandita l'area visibile (viewport).
- Il comportamento degli eventi mouseenter, mouseleave, pointerenter e pointerleave è stato modificato per conformarsi alla specifica.
- Nell'API WebAuthn è stato aggiunto il metodo getClientCapabilities().
- Negli strumenti per gli sviluppatori web è stato introdotto un avviso quando viene utilizzata la proprietà «content-visibility» con elementi ai quali non si applica il vincolo di dimensione.
- Nella console web è stato aggiunto il comando «$$$», progettato per la ricerca nelle pagine tenendo conto del contenuto del DOM ombreggiato.
- Sono state ampliate le capacità di debug per le estensioni WebExtension: è stata migliorata la gestione dei punti di interruzione negli script di elaborazione dei contenuti e fornito il supporto per la visualizzazione dei Worker quando si seleziona un contesto nel pannello Console.
- Nella versione per Android è stata aggiunta un'opzione che consente l'invio automatico dei rapporti sugli arresti anomali del browser a Mozilla, senza conferma dell'utente.
Oltre alle novità e alla correzione di bug, Firefox 135 ha risolto 19 vulnerabilità. 13 vulnerabilità, contrassegnate come pericolose, sono causate da problemi nella gestione della memoria, come il buffer overflow e l'accesso a aree di memoria già rilasciate. Potenzialmente, questi problemi possono portare all'esecuzione di codice maligno aprendo pagine appositamente progettate.
Nella versione beta di Firefox 136, le build per la piattaforma Linux includono l'uso dell'accelerazione hardware per la decodifica video su sistemi con GPU AMD. È attivato di default il modo HTTPS-First, in cui le richieste «http://» vengono sostituite con «https://», sia durante la navigazione tramite link che durante il caricamento di sottorisorse, come immagini, script e fogli di stile. È stata aggiunta la supporto per l'invio e la ricezione di video nel formato AV1 attraverso WebRTC.
Fonte: opennet.ru
