מהדורת Firefox 72

דפדפן אינטרנט שוחרר Firefox 72ו - גרסת נייד Firefox 68.4 עבור פלטפורמת אנדרואיד. בנוסף, נוצר עדכון ענפים תמיכה לטווח ארוך 68.4.0. בקרוב על הבמה גירסת בדיקה ניסיונית סניף Firefox 73 יעבור, שחרורו מתוכנן ל-11 בפברואר (פרויקט נִרגָשׁ למשך 4 שבועות מחזור פיתוח).

העיקרי חידושים:

• ברירת המחדל של מצב חסימה סטנדרטי עבור תוכן לא הולם כלול הגנה מפני מעקב אחר משתמשים באמצעות שיטות זיהוי נסתרות ("טביעת אצבע בדפדפן"), המתבצעת על ידי קטגוריות נוספות ברשימת Disconnect.me, הכוללת מארחים שנמצאו משתמשים בסקריפטים לזיהוי נסתר. זיהוי נסתר מתייחס לאחסון של מזהים באזורים שאינם מיועדים לאחסון קבוע של מידע ("עוגיות-על"), וכן ליצירת מזהים על בסיס נתונים עקיפים, כגון רזולוציית מסך, רשימה של סוגי MIME נתמכים, פרמטרים ספציפיים בכותרות (HTTP / 2 и HTTPS), ניתוח של מותקן תוספים ופונטים, זמינות של ממשקי API מסוימים באינטרנט, ספציפיים לכרטיסי מסך תכונות עיבוד באמצעות WebGL ו-Canvas, מָנִיפּוּלָצִיָה עם CSS, ניתוח תכונות של עבודה עם עכבר и מקלדת.
  

• מוּפעָל методы מַאֲבָק עם בקשות מעצבנות להעניק לאתר הרשאות נוספות (Notification.requestPermission(), PushManager.subscribe() ו- MediaDevices.getDisplayMedia()). בקשות לאישור הרשאה לא יפריעו עוד לעבודה עם הדפדפן, אלא יובילו להצגת מחוון בשורת הכתובת רק לאחר שנרשמה אינטראקציה של המשתמש עם הדף (לחיצת עכבר או לחיצה על מקש). אתרים רבים מנצלים לרעה את יכולתו של הדפדפן לבקש הרשאות, בעיקר על ידי בקשה מעת לעת לקבלת הודעות דחיפה. ניתוח טלמטריה הראה כי 97% מהבקשות מסוג זה נדחות, כולל ב-19% מהמקרים המשתמש סוגר מיד את הדף מבלי ללחוץ על כפתור הסכמה או דחה.
• נוסף ניסיוני לתמוך פרוטוקול HTTP/3 (כדי להפעיל ב about:config יש להגדיר את האפשרות "network.http.http3.enabled"). תמיכת HTTP/3 בפיירפוקס מבוססת על neqo, כתוב בשפת Rust, יישום הלקוח והשרת של פרוטוקול QUIC (HTTP/3 מתקנים שימוש בפרוטוקול QUIC כתחבורה עבור HTTP/2).
• בהתאם לדרישות החוק שנכנס לתוקף CCPA (חוק פרטיות הצרכן בקליפורניה) הוסיף יכולת למחוק נתוני טלמטריה משרתי מוזילה. הנתונים נמחקים אם אתה מסרב לאסוף טלמטריה בסעיף "אודות:העדפות#פרטיות" ("איסוף נתונים ושימוש ב-Firefox"). כאשר אתה מנקה את תיבת הסימון "אפשר ל-Firefox לשלוח נתונים טכניים ואינטראקציה למוזילה" השולטת בשליחת טלמטריה, Mozilla מתחייב תוך 30 ימים להסיר כל הנתונים שנאספו במהלך הזמן שקדם לכשל בשידור הטלמטריה. הנתונים שמגיעים בסופו של דבר לשרתי מוזילה במהלך תהליך איסוף הטלמטריה כוללים מידע על ביצועי Firefox, אבטחה ופרמטרים כלליים כמו מספר הכרטיסיות הפתוחות ומשך ההפעלה (מידע על אתרים שנפתחו ושאילתות חיפוש לא מועבר). ניתן לראות את הפרטים המלאים של הנתונים שנאספו בעמוד "אודות:טלמטריה".
  

• עבור לינוקס ו-macOS, נוספה האפשרות לצפות בווידאו במצב תמונה-בתמונה, המאפשרת לך לנתק את הסרטון בצורה של חלון צף שנשאר גלוי בזמן הניווט בדפדפן. כדי לצפות במצב זה, עליך ללחוץ על הסבר הכלי או בתפריט ההקשר המוצג בעת לחיצה ימנית על הסרטון, לבחור "תמונה בתמונה" (ביוטיוב, המחליף את המטפל בתפריט ההקשר שלו, עליך ימינה- לחץ פעמיים או לחץ עם מקש Shift לחוץ).
  

• כאשר פס הגלילה מוצג מְעוּרָב צבע הרקע של העמוד הנוכחי.
• נמחק הזדמנות כריכות מפתח ציבורי (PKP, Public Key Pinning), המאפשרות, באמצעות כותרת ה-HTTP Public-Key-Pins, לקבוע במפורש את האישורים של אילו רשויות אישורים ניתן להשתמש עבור אתר נתון. הסיבה שצוינה היא הביקוש הנמוך לפונקציה זו, הסיכון לבעיות תאימות (תמיכה ב-PKP הופסק בכרום) והיכולת לחסום את האתר שלך עקב קשירת מפתחות שגויים או אובדן מפתחות (לדוגמה, מחיקה בשוגג או פגיעה כתוצאה מפריצה).
• המבנה מְקוּבָּל טלאיםמאפשר ב-OpenBSD לחתור למגע שיחות מערכת לַחשׂוֹף() и מַשׁכּוֹן() עבור מערכת קבצים נוספת ובידוד תהליכים.
• הוסרה תמיכה בחסימת תמונות מדומיינים בודדים. הסיבה להסרה היא היעדר ביקוש לפונקציה בקרב המשתמשים והממשק הלא נוח לחסימה.
• ב-builds עבור Windows, תכונה ניסיונית הוטמעה לשימוש בתעודות לקוח ממאגר האישורים הכללי של מערכת ההפעלה (יש להפעיל את האפשרות security.osclientcerts.autoload כדי להפעיל אותה ב- about:config).
• תמיכה ב-CSS Shadow Parts מופעלת כברירת מחדל, כולל "חלק"ופסאודו-אלמנט"::חֵלֶק", המאפשר לך להציג באופן סלקטיבי אלמנטים שצוינו מ צל DOM.

  
  פסקה
  

  ...ב-CSS כדי לבחור אלמנטים הקשורים לתכונת part:

  custom-element::part(example) {
  גבול: שחור מוצק 1px;
  רדיוס גבול: 5px;
  ריפוד: 5px;
  }

• נוספה תמיכה במפרט נתיב תנועה של CSS, המאפשר לך להגדיר את הנתיב של אובייקטי אנימציה באמצעות CSS מבלי להשתמש בקוד JavaScript ומבלי לחסום את תהליך הרינדור והקלט במהלך האנימציה. מאפייני CSS מסופקים לשליטה באנימציה
  לקזז,
  offset-path,
  אופסט-עוגן,
  מרחק אופסט и
  אופסט-סיבוב.

• מאפייני שינוי CSS שנבחרו מופעלים כברירת מחדל סולם, לסובב и לתרגם, לא קשור לנכס לשנות (כלומר ב-CSS אתה יכול כעת לציין "scale: 2;" במקום "transform: scale(2);").
• JavaScript מיישם את אופרטור השרשור הלוגי "??", שמחזיר את האופרנד הימני אם האופרנד השמאלי הוא NULL או לא מוגדר, ולהיפך. לדוגמה, "const foo = bar ?? 'מחרוזת ברירת מחדל'" אם bar הוא null יחזיר את הערך של bar אחרת, כולל כאשר bar הוא 0 ו- ' ', בניגוד לאופרטור "||".
• נוסף API FormDataEvent ואירוע טופס מידע, המאפשרים להשתמש במטפלי JavaScript כדי להוסיף נתונים לטופס בעת שליחתו, ללא צורך לאחסן את הנתונים ברכיבי קלט מוסתרים.
• API Geolocation עודכן כך שיתאים למפרט החדש, לדוגמה שונה שם קואורדינטות ל-GeolocationCoordinates, מיקום ל-GeolocationPosition ו
  PositionError ב-GeolocationPositionError.

• במפרק הבאגים של JavaScript הוסיף תמיכה בנקודות שבירה מותנות (נקודת שמירה), מופעל כאשר מאפיינים מסוימים של אובייקטים משתנים או קוראים.
  

• ההפעלה של מאתר הבאגים של JavaScript הואצה כאשר מספר גדול מאוד של כרטיסיות פתוחות (קודם כל, ניתנת כעת עדיפות לכרטיסיות גלויות).
• מצב עיצוב רספונסיבי מיישם סימולציה של ערכי מטא ראייה שונים. הוסיף סימולטור ערכי "מעדיף-צבע-סכימה" למצב בדיקת העמוד.
• В קונסולות אינטרנט במצב פרשנות JavaScript מרובה שורות, הוספה תמיכה בשמירה ופתיחה של קבצים באמצעות השילובים Ctrl + O ו-Ctrl + S.
• נוסף הגדרת javascript.options.asyncstack להפרדה חזותית של הודעות אסינכרוניות במסוף האינטרנט. כאשר אתה מפעיל את ההגדרות עבור console.trace() ו-console.error(), מוצגת ערימת השיחות המלאה של פעולות אסינכרוניות, מה שמאפשר לך להבין כיצד לתזמן השקה של טיימרים, אירועים, הבטחות, מחוללים וכו'.
  

• במצב בדיקת WebSocket יושמו ניתוח ותצוגה ויזואלית של מטא נתונים בפורמט SignalR המשמש בהודעות ASP.NET Core. כמו כן נוספו מונים המציגים את הגודל הכולל של הנתונים שנשלחו והורדו.
• בכלי לניטור פעילות רשת בלשונית תזמונים בנפרד מוצג מידע על מתי כל משאב היה בתור להורדה, מתי החלה ההורדה ומתי ההורדה הושלמה.
• סביבה לא נכללת בכלים למפתחי אתרים Scratchpad, שנועד להתנסות בקוד JavaScript (Scratchpad הוחלף במהדורה האחרונה במצב קונסולת אינטרנט מרובת שורות).

בנוסף לחידושים ותיקוני באגים בפיירפוקס 72, 20 נקודות תורפה, מתוכם 11 (נאספו תחת CVE-2019-17025 и CVE-2019-17024) מסומנים כבעלי יכולת להוביל לביצוע קוד תוקף בעת פתיחת דפים שעוצבו במיוחד. נזכיר לך שבעיות זיכרון, כגון גלישת חיץ וגישה לאזורי זיכרון שכבר שוחררו, סומנו לאחרונה כמסוכנות, אך לא קריטיות. ראוי לציין גם את הבעיה CVE-2019-17017 בקוד XPCVariant.cpp, שעלולה גם להוביל לביצוע קוד.

מקור: OpenNet.ru