עדכון פיירפוקס 101.0.1. חיזוק הדרישות של מוזילה לרשויות הסמכה

מהדורת תחזוקה של Firefox 101.0.1 זמינה, בולטת לחיזוק בידוד ארגז החול בפלטפורמת Windows. הגרסה החדשה מאפשרת, כברירת מחדל, חסימת גישה ל-Win32k API (רכיבי Win32 GUI הפועלים ברמת הקרנל) מתהליכי תוכן מבודדים. השינוי נעשה לקראת תחרות Pwn2Own 2022, שתתקיים ב-18-20 במאי. משתתפי Pwn2Own ידגימו טכניקות עבודה לניצול נקודות תורפה שלא ידועות בעבר, ואם יצליחו, יקבלו תגמולים מרשימים. לדוגמה, הפרמיה עבור עקיפת בידוד ארגז חול בפיירפוקס בפלטפורמת Windows היא 100 אלף דולר.

שינויים אחרים כוללים תיקון בעיה עם כתוביות המוצגות במצב תמונה בתוך תמונה בעת שימוש בנטפליקס, ותיקון בעיה שבה חלק מהפקודות לא היו זמינות בחלון תמונה בתוך תמונה.

בנוסף, מדווחים שדרישות חדשות נוספו לכללי אחסון אישורי השורש של Mozilla. השינויים, שמטרתם לטפל בחלק מתקלות ביטול אישורי שרת TLS שנראו מזמן, ייכנסו לתוקף ב-1 ביוני.

השינוי הראשון נוגע לניהול קודים עם סיבות לביטול תעודה (RFC 5280), שרשויות האישור יחויבו כעת, במקרים מסוימים, לציין במקרה של שלילת תעודה. בעבר, חלק מרשויות האישורים לא העבירו נתונים כאלה או הקצו אותם באופן רשמי, מה שהקשה על מעקב אחר הסיבות לביטול אישורי שרת. כעת, מילוי נכון של קודי סיבה ברשימות ביטול אישורים (CRLs) יהפוך לחובה ותאפשר לנו להפריד מצבים הקשורים להתפשרות של מפתחות והפרת כללים לעבודה עם אישורים ממקרים שאינם ביטחוניים, כגון שינוי מידע על ארגון, מכירת דומיין או החלפת תעודה לפני המועד.

השינוי השני מחייב את רשויות האישורים להעביר את כתובות ה-URL המלאות של רשימות ביטול אישורים (CRLs) למסד הנתונים הבסיסיים והביניים של האישורים (CCADB, Common CA Certificate Database). השינוי יאפשר לקחת בחשבון באופן מלא את כל תעודות ה-TLS שבוטלו, וכן לטעון מראש נתונים מלאים יותר על אישורים שבוטלו לפיירפוקס, אשר ניתן להשתמש בהם לאימות מבלי לשלוח בקשה לשרתים של רשויות האישור במהלך ה-TLS. תהליך הגדרת החיבור.

מקור: OpenNet.ru