Mozilla over uitbreiding voor de uitbetaling van financiƫle beloningen voor het identificeren van beveiligingsproblemen in infrastructuurelementen gerelateerd aan de ontwikkeling van Firefox. De beloningsbedragen voor het ontdekken van kwetsbaarheden op de websites en diensten van Mozilla zijn verdubbeld, en de beloning voor het ontdekken van kwetsbaarheden die kunnen leiden tot code-executie op , is verhoogd tot 15.000 dollar.
Voor het identificeren van een methode om authenticatie te omzeilen en SQL-injectie kan een beloning van 6.000 dollar worden verkregen, terwijl voor cross-site scripting en CSRF ā 5.000 dollar kan worden gekregen. De sleutelwebsites omvatten firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
en nog tientallen andere websites gerelateerd aan extensies, updates, downloads, synchronisatie en statistieken.
Voor de beloning is ongeveer de helft. De basiswebsites omvatten observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org en enkele interne diensten voor ontwikkelaars.
In vergelijking met de eerder geldende voorwaarden zijn de volgende sleutelwebsites en diensten toegevoegd:
- (digitale handtekeningen dienst),
- (automatische code-plaatsingsdienst vanuit
Phabricator naar repositories), - (codebeheer tool gebruikt voor het beoordelen van wijzigingen),
- (framework voor het uitvoeren van taken, dat het continue integratiesysteem en releaseprocessen ondersteunt).
Nieuwe basiswebsites zijn onder andere:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Dienst (wrapper bovenop het betalingsysteem Stripe),
- (extensie voor verkeersbeveiliging),
- (systeem voor het verzenden van verzoeken voor de releasevorming),
- (spraakherkenningssysteem dat de basis vormt voor Speech Recognition API).
Bovendien kan men de intentie hebben om in de geplande release van Firefox 72 op 7 januari met hinderlijke verzoeken om de website extra machtigingen te geven. Veel websites misbruiken de mogelijkheid in browsers om machtigingen aan te vragen, vooral door periodiek verzoeken voor pushmeldingen weer te geven. Analyse van de telemetrie heeft aangetoond dat 97% van dergelijke verzoeken wordt afgewezen, waarbij in 19% van de gevallen de gebruiker de pagina onmiddellijk sluit zonder op de knop voor akkoord of afwijzing te klikken. In Firefox 72 worden dergelijke verzoeken geblokkeerd als er geen interactie van de gebruiker met de pagina is geregistreerd (muis klik of toetsdruk).
Uit de aanstaande veranderingen in Firefox 72 valt ook op de achtergrondkleur van de huidige pagina voor de scrollbalk en het pinnen van openbare sleutels (PKP, Public Key Pinning), waarmee met de HTTP-header Public-Key-Pins duidelijk kan worden vastgesteld welke certificaten van certificeringsinstanties zijn toegestaan voor de betreffende website. De reden hiervoor is de lage vraag naar deze functie, het risico op compatibiliteitsproblemen (ondersteuning van PKP in Chrome) en de mogelijkheid om je eigen site te blokkeren door het vastpinnen van de verkeerde sleutels of het verlies van sleutels (bijvoorbeeld door per ongeluk te verwijderen of compromittering door een hack).
Bron: opennet.ru
