מוזילה מרחיבה את תוכנית הפגיעות

חברת מוזילה הוכרז לגבי הרחבה יוזמות לתשלום תגמולים כספיים עבור זיהוי בעיות אבטחה ברכיבי תשתית הקשורים לפיתוח פיירפוקס. גודל הבונוסים לזיהוי נקודות תורפה באתרי ושירותי מוזילה הוכפל, והבונוס לזיהוי נקודות תורפה שעלולות להוביל לביצוע קוד ב- אתרים מרכזיים, הובא ל-15 אלף דולר.

עבור זיהוי שיטת מעקף אימות והחלפת SQL, אתה יכול לקבל פרס של 6 אלף דולר, ועל סקריפטים חוצי אתרים ו-CSRF - 5 אלף דולר. אתרי מפתח כוללים firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla. org
ועוד כמה עשרות אתרים הקשורים לתוספות, עדכונים, הורדות, סנכרון וסטטיסטיקות.

עבור אתרי בסיס סכום הפרמיה קטן פי שניים בערך. אתרים בסיסיים כוללים observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org וכמה שירותים פנימיים למפתחים.

בהשוואה לתנאים התקפים בעבר, נוספו למספר האתרים והשירותים העיקריים הבאים:

• חתימה (שירות חתימה דיגיטלית),
• לנדו (שירות למיקום אוטומטי של קוד מ
  פבריקטור במאגרים),

• Phabricator (כלי ניהול קוד המשמש לבדיקת שינויים),
• אשכול משימות (מסגרת לביצוע משימות התומכת במערכת אינטגרציה רציפה ותהליכי יצירת שחרורים).

מאתרי הבסיס החדשים שצוינו:

• צג (monitor.firefox.com),
• פלטפורמת לוקליזציה (l10n.mozilla.org),
• שירות מנוי לתשלום (רצועה מעל מערכת התשלום Stripe),
• רשת פרטית של פיירפוקס (תוספת עם פרוקסי כדי להגן על התנועה),
• שלח את זה (מערכת לשידור בקשות להפקת מהדורות),
• דבר אליי (מערכת זיהוי הדיבור העומדת בבסיס ה-API לזיהוי דיבור).

בנוסף, אתה יכול סימן כוונה להפעיל במהדורת Firefox 7 המתוכננת ל-72 בינואר שיטות מאבק עם בקשות מעצבנות לספק לאתר סמכויות נוספות. אתרים רבים מנצלים לרעה את יכולתו של הדפדפן לבקש הרשאות, בעיקר על ידי בקשה מעת לעת לקבלת הודעות דחיפה. ניתוח טלמטריה הראה כי 97% מהבקשות מסוג זה נדחות, כולל ב-19% מהמקרים המשתמש סוגר מיד את הדף מבלי ללחוץ על כפתור הסכמה או דחה. ב-Firefox 72, בקשות כאלה ייחסמו אלא אם תועדה אינטראקציה של המשתמש עם הדף (לחיצת עכבר או לחיצה על מקש).

בין השינויים הקרובים בפיירפוקס 72, בולטים גם הדברים הבאים: использование צבעי הרקע של העמוד הנוכחיים עבור פס גלילה ו מחיקת הזדמנויות כריכות מפתח ציבורי (PKP, Public Key Pinning), המאפשרות, באמצעות כותרת ה-HTTP Public-Key-Pins, לקבוע במפורש את האישורים של אילו רשויות אישורים ניתן להשתמש עבור אתר נתון. הסיבה שצוינה היא הביקוש הנמוך לפונקציה זו, הסיכון לבעיות תאימות (תמיכה ב-PKP הופסק בכרום) והיכולת לחסום את האתר שלך עקב קשירת מפתחות שגויים או אובדן מפתחות (לדוגמה, מחיקה בשוגג או פגיעה כתוצאה מפריצה).

מקור: OpenNet.ru