מהדורת Firefox 74

דפדפן אינטרנט שוחרר Firefox 74ו - גרסת נייד Firefox 68.6 עבור פלטפורמת אנדרואיד. בנוסף, נוצר עדכון ענפים תמיכה לטווח ארוך 68.6.0. בקרוב על הבמה גירסת בדיקה ניסיונית סניף Firefox 75 יעבור, שחרורו מתוכנן ל-7 באפריל (פרויקט נִרגָשׁ למשך 4-5 שבועות מחזור פיתוח). עבור סניף בטא של Firefox 75 התחיל עיצוב מכלולים עבור לינוקס בפורמט Flatpak.

העיקרי חידושים:

• בניית לינוקס משתמשת במנגנון בידוד RLBox, שמטרתו לחסום ניצול של פגיעויות בספריות פונקציות של צד שלישי. בשלב זה, הבידוד מופעל רק עבור הספרייה גרָפִיט, אחראי על עיבוד גופנים. RLBox מרכיב את קוד C/C++ של הספרייה המבודדת לקוד ביניים WebAssembly ברמה נמוכה, שתוכנן לאחר מכן כמודול WebAssembly, שההרשאות שלו נקבעות ביחס למודול זה בלבד. המודול המורכב פועל באזור זיכרון נפרד ואין לו גישה לשאר מרחב הכתובות. אם מנוצלת פגיעות בספרייה, התוקף יהיה מוגבל ולא יוכל לגשת לאזורי זיכרון של התהליך הראשי או להעביר שליטה מחוץ לסביבה המבודדת.
• DNS על מצב HTTPS (DoH, DNS על HTTPS) מופעל כברירת מחדל עבור משתמשים בארה"ב. ספק ה-DNS המוגדר כברירת מחדל הוא CloudFlare (mozilla.cloudflare-dns.com ברשימה в רשימות חסימה Roskomnadzor), ו-NextDNS זמין כאופציה. שנה ספק או הפעל DoH במדינות אחרות מלבד ארה"ב, אחד יכול בהגדרות החיבור לרשת. אתה יכול לקרוא עוד על DoH ב-Firefox בכתובת הודעה נפרדת.
  

• נָכֶה תמיכה בפרוטוקולי TLS 1.0 ו-TLS 1.1. כדי לגשת לאתרים דרך ערוץ תקשורת מאובטח, השרת חייב לספק תמיכה ב-TLS 1.2 לפחות. לפי גוגל, נכון לעכשיו כ-0.5% מההורדות של דפי אינטרנט ממשיכות להתבצע באמצעות גרסאות מיושנות של TLS. ההשבתה בוצעה בהתאם המלצות IETF (כוח משימה להנדסת אינטרנט). הסיבה לסירוב לתמוך ב-TLS 1.0/1.1 היא היעדר תמיכה בצפנים מודרניים (למשל, ECDHE ו-AEAD) והדרישה לתמוך בצפנים ישנים, שאמינותם מוטלת בספק בשלב הנוכחי של התפתחות טכנולוגיית המחשוב ( לדוגמה, נדרשת תמיכה עבור TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, MD5 משמש לבדיקת תקינות ואימות ו-SHA-1). כאשר מנסים להשתמש ב-TLS 1.0 ו-TLS 1.1 החל מ-Firefox 74, תוצג שגיאה. אתה יכול לשחזר את היכולת לעבוד עם גרסאות TLS מיושנות על ידי הגדרת security.tls.version.enable-deprecated = true או על ידי שימוש בכפתור בדף השגיאה המוצג בעת ביקור באתר עם הפרוטוקול הישן.
  

• הערת השחרור ממליצה על תוסף מיכל פייסבוק, אשר חוסמת אוטומטית ווידג'טים של פייסבוק של צד שלישי המשמשים לאימות, הערות ולייקים. פרמטרי הזיהוי של פייסבוק מבודדים במיכל נפרד, מה שמקשה על זיהוי המשתמש עם האתרים שבהם הוא מבקר. היכולת לעבוד עם אתר הפייסבוק הראשי נותרה בעינה, אך הוא מבודד מאתרים אחרים.

  לבידוד גמיש יותר של אתרים שרירותיים, מוצע תוספת מיכלים מרובי חשבונות עם יישום המושג של קונטיינרים. קונטיינרים מספקים את היכולת לבודד סוגים שונים של תוכן מבלי ליצור פרופילים נפרדים, מה שמאפשר לך להפריד בין המידע של קבוצות דפים בודדות. לדוגמה, ניתן ליצור אזורים נפרדים ומבודדים לתקשורת אישית, עבודה, קניות ועסקאות בנקאיות, או לארגן שימוש בו-זמני בחשבונות משתמש שונים באתר אחד. כל מיכל משתמש בחנויות נפרדות עבור Cookies, Local Storage API, indexedDB, cache ותוכן OriginAttributes.

• נוספה הגדרה "browser.tabs.allowTabDetach" ל- about:config כדי למנוע ניתוק כרטיסיות לחלונות חדשים. ניתוק לשוניות בשוגג הוא אחד הבאגים הכי מעצבנים בפיירפוקס שצריך לתקן. חיפשו 9 שנים. הדפדפן מאפשר לעכבר לגרור כרטיסייה לחלון חדש, אך בנסיבות מסוימות מנותקת הלשונית לחלון נפרד במהלך הפעולה כאשר העכבר זז ברשלנות תוך כדי לחיצה על הכרטיסייה.
• הופסק תמיכה בתוספות המותקנות בסיבוב ולא קשור לפרופילי משתמש. השינוי משפיע רק על התקנת תוספות בספריות משותפות (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ או ~/.mozilla/extensions/) המעובדות על ידי כל מופעי Firefox במערכת ( לא משויך למשתמש). שיטה זו משמשת בדרך כלל להתקנה מוקדמת של הרחבות בהפצות, להחלפה לא רצויה עם יישומי צד שלישי, לשילוב הרחבות זדוניות, או לאספקה ​​נפרדת של תוסף עם מתקין משלה. ב-Firefox 73, תוספים שהותקנו בעבר בכוח הועברו אוטומטית מהספרייה המשותפת לפרופילי משתמש בודדים וכעת ניתן הוסר דרך מנהל התוספות הרגיל.
• בתוסף מערכת Lockwise הכלולה בדפדפן, המציע את ממשק "about:logins" לניהול סיסמאות שמורות, לתמוך מיון בסדר הפוך (Z עד A).
• WebRTC הגבירה את ההגנה מפני דליפת מידע על כתובת ה-IP הפנימית במהלך שיחות קוליות ווידאו באמצעות "mDNS ICE", מסתיר את הכתובת המקומית מאחורי מזהה אקראי שנוצר באופן דינמי שנקבע באמצעות Multicast DNS.
• שינה את המיקום של מתג התצוגה של תמונה-בתמונה שחפף את כפתור התמונה הבאה בממשק התמונות להעלאת אצווה באינסטגרם.
• ב-JavaScript הוסיף מפעיל "?", שנועד לבדוק בו זמנית את כל שרשרת הנכסים או השיחות. לדוגמה, על ידי ציון "db?.user?.name?.length" תוכל כעת לגשת לערך של "db.user.name.length" ללא כל בדיקה מקדימה. אם רכיב כלשהו מעובד כריק או לא מוגדר, הפלט יהיה "לא מוגדר".
• הופסק תמיכה באתרי אינטרנט ובתוספות עבור שיטת Object.toSource() והפונקציה הגלובלית uneval().
• אירוע חדש נוסף שינוי שפה_אפילו והנכס המשויך שינוי שפה, המאפשרים לך להתקשר למטפל כאשר המשתמש משנה את שפת הממשק.
• עיבוד כותרות HTTP מופעל חוצה-מקור-משאבים-מדיניות (קורפ), המאפשר לאתרים למנוע הכנסת משאבים (לדוגמה, תמונות וסקריפטים) שנטענים מדומיינים אחרים (חוצה מוצא וחוצה אתרים). הכותרת יכולה לקחת שני ערכים: "אותו-מקור" (מאפשר רק בקשות למשאבים עם אותה סכימה, שם מארח ומספר יציאה) ו-"אותו-אתר" (מאפשר רק בקשות מאותו אתר).

  Cross-Origin-Resource-Policy: אותו אתר

• כותרת HTTP מופעלת כברירת מחדל תכונה-מדיניות, המאפשר לך לשלוט בהתנהגות ה-API ולאפשר תכונות מסוימות (לדוגמה, אתה יכול להשבית את הגישה ל-Geolocation API, מצלמה, מיקרופון, מסך מלא, הפעלה אוטומטית, מדיה מוצפנת, אנימציה, Payment API, מצב XMLHttpRequest סינכרוני, וכו.). עבור בלוקים של iframe, התכונה "להתיר", שניתן להשתמש בו בקוד העמוד כדי להקצות זכויות לבלוקים מסוימים של iframe.

  מדיניות תכונה: מיקרופון 'אין'; מיקום גיאוגרפי 'אין'

  אם אתר מאפשר, באמצעות התכונה "allow", לעבוד עם משאב עבור iframe ספציפי, ומתקבלת בקשה מה-iframe לקבל הרשאות לעבוד עם משאב זה, הדפדפן מציג כעת תיבת דו-שיח למתן הרשאות ב- ההקשר של העמוד הראשי ומאציל את הזכויות שאושרו על ידי המשתמש ל-iframe (במקום אישורים נפרדים עבור iframe ועמוד ראשי). אבל, אם לדף הראשי אין הרשאה למשאב המבוקש דרך התכונה allow, ל-iframe יש גישה למשאב באופן מיידי חָסוּם, מבלי להציג דו-שיח למשתמש.

• תמיכת נכסי CSS מופעלת כברירת מחדל 'טקסט-קו תחתון-מיקום', הקובע את מיקום הקו התחתון של הטקסט (לדוגמה, בעת הצגת טקסט אנכית, ניתן לארגן קו תחתון משמאל או ימין, ובעת תצוגה אופקית, לא רק מלמטה, אלא גם מלמעלה). בנוסף במאפייני ה-CSS השולטים בסגנון הקו התחתון טקסט-קו תחתון-היסט и טקסט-קישוט-עובי נוספה תמיכה בשימוש בערכי אחוזים.
• בנכס CSS סגנון מתאר, המגדיר את סגנון הקו סביב אלמנטים, ברירת המחדל היא "אוטומטי" (קודם לכן נָכֶה עקב בעיות ב-GNOME).
• במפרק הבאגים של JavaScript הוסיף היכולת לנפות באגים Web Workers מקוננים, שאת ביצועם ניתן להשעות ולנקות באגים צעד אחר צעד באמצעות נקודות שבירה.
  

• ממשק בדיקת דפי האינטרנט מספק כעת אזהרות עבור מאפייני CSS התלויים ברכיבי z-index, למעלה, שמאל, תחתון וימני.
  

• עבור Windows ו-macOS, הוטמעה היכולת לייבא פרופילים מדפדפן Microsoft Edge המבוסס על מנוע Chromium.

בנוסף לחידושים ותיקוני באגים בפיירפוקס 74, 20 נקודות תורפה, מתוכם 10 (נאספים תחת CVE-2020-6814 и CVE-2020-6815) מסומנים כבעלי יכולת להוביל לביצוע קוד תוקף בעת פתיחת דפים שעוצבו במיוחד. נזכיר לך שבעיות זיכרון, כגון גלישת חיץ וגישה לאזורי זיכרון שכבר שוחררו, סומנו לאחרונה כמסוכנות, אך לא קריטיות.

מקור: OpenNet.ru