De release van de webbrowser is een feit , evenals Firefox 68.6 voor het Android-platform. Bovendien is er een update samengesteld. met een lange ondersteuningsperiode . Binnenkort zal in de fase de Firefox 75-release die gepland staat voor 7 april (project van 4-5 weken ). Voor de bètaversie van Firefox 75 vorming voor Linux in Flatpak-formaat.
:
- In de builds voor Linux is er een isolatiemechanisme ingeschakeld , gericht op het blokkeren van exploitatie van kwetsbaarheden in externe functiebibliotheken. Op dit moment is isolatie alleen ingeschakeld voor de bibliotheek , verantwoordelijk voor de weergave van lettertypen. RLBox compileert C/C++-code van de te isoleren bibliotheek naar laag-niveau WebAssembly-tussencode, die vervolgens wordt verpakt als een WebAssembly-module, waarvan de bevoegdheden alleen aan deze module zijn toegewezen. De gecompileerde module werkt in een apart geheugenbereik en heeft geen toegang tot de rest van de adresruimte. In geval van exploitatie van een kwetsbaarheid in de bibliotheek zal de aanvaller beperkt zijn en geen toegang hebben tot geheugengebieden van het hoofdproces of controle kunnen overdragen buiten de geïsoleerde omgeving.
- DNS-over-HTTPS-modus (DoH, DNS over HTTPS) voor gebruikers uit de Verenigde Staten. CloudFlare (mozilla.cloudflare-dns.com in van Roskomnadzor), en als optie is NextDNS beschikbaar. Verander de provider of schakel DoH in in andere landen dan de VS, in de netwerkverbindinginstellingen. Meer informatie over DoH in Firefox is te vinden in .
- ondersteuning voor TLS 1.0 en TLS 1.1. Voor toegang tot websites via een beveiligd communicatienetwerk moet de server minimaal TLS 1.2 ondersteunen. Volgens Google gebeurt momenteel ongeveer 0,5% van de webpagina's nog steeds met verouderde versies van TLS. De uitschakeling is uitgevoerd in overeenstemming met IETF (Internet Engineering Task Force). De reden voor het stopzetten van de ondersteuning van TLS 1.0/1.1 is het ontbreken van ondersteuning voor moderne encrypties (zoals ECDHE en AEAD) en de eis om oudere encrypties te ondersteunen, waarvan de betrouwbaarheid in de huidige ontwikkeling van de informatica in twijfel wordt getrokken (bijvoorbeeld, ondersteuning voor TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, met MD5 en SHA-1 voor integriteitscontrole en authenticatie). Bij het gebruik van TLS 1.0 en TLS 1.1 vanaf Firefox 74 zal een foutmelding worden weergegeven. De mogelijkheid om met verouderde versies van TLS te werken, kan worden hersteld via de instelling security.tls.version.enable-deprecated = true of met een knop op de foutpagina die wordt weergegeven bij toegang tot een site met een oud protocol.
- In de release-opmerkingen wordt een uitbreiding aanbevolen , dat automatisch het plaatsen van Facebook-widgets op externe websites blokkeert, die gebruikt worden voor authenticatie, het verzenden van opmerkingen en likes. Facebook-identificatieparameters worden geïsoleerd in een aparte container, waardoor het voor moeilijker is om gebruikers te identificeren met de bezochte websites. Het is mogelijk om de hoofdsite van Facebook te gebruiken, maar deze wordt geïsoleerd van andere sites.
Voor een flexibelere isolatie van willekeurige websites is er een uitbreiding aangeboden met de implementatie van het concept van contextuele containers. Containers stellen gebruikers in staat verschillende soorten inhoud te isoleren zonder afzonderlijke profielen aan te maken, wat het mogelijk maakt om informatie van verschillende groepen pagina's van elkaar te scheiden. Bijvoorbeeld, men kan aparte, van elkaar geïsoleerde gebieden creëren voor persoonlijke communicatie, werk, aankopen en banktransacties of gelijktijdig gebruik maken van verschillende gebruikersaccounts op één website. In elke container worden aparte opslagplaatsen gebruikt voor Cookies, Local Storage API, indexedDB, cache en inhoud van OriginAttributes.
- In about:config is de instelling "browser.tabs.allowTabDetach" toegevoegd, waarmee het ontkoppelen van tabs in nieuwe vensters kan worden verboden. Per ongeluk een tabblad loskoppelen is een van de meest irritante tekortkomingen van Firefox, die al 9 jaar wordt verholpen. De browser laat gebruikers toe om een tabblad met de muis naar een nieuw venster te slepen, maar onder bepaalde omstandigheden kan een tabblad in een apart venster worden losgekoppeld, vooral tijdens het werken wanneer de muis onoplettend beweegt tijdens het klikken op een tabblad.
- ondersteuning voor aanvullingen die op een omweg zijn geïnstalleerd en niet aan gebruikersprofielen zijn gekoppeld. De wijziging betreft alleen de installatie van aanvullingen in gezamenlijke mappen (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ of ~/ .mozilla/extensions/), die door alle exemplaren van Firefox in het systeem worden verwerkt (zonder gebruikerskoppeling). Deze methode wordt meestal gebruikt voor de voorafinstallatie van aanvullingen in distributies, voor ongewenste invoeging samen met externe toepassingen, voor de integratie van kwaadaardige aanvullingen of voor het apart leveren van een aanvulling met zijn eigen installer. In Firefox 73 werden eerder geforceerd geïnstalleerde aanvullingen automatisch overgebracht van de gezamenlijke map naar de individuele gebruikersprofielen en kunnen ze nu worden via de ingebouwde add-on manager.
- In de systeemadd-on Lockwise van de browser, die de interface «about:logins» biedt voor het beheren van opgeslagen wachtwoorden, is er sortering in omgekeerde volgorde (van Z naar A).
- In WebRTC is de bescherming tegen het lekken van gegevens over het interne IP-adres tijdens stem- en video-oproepen verbeterd met behulp van het mechanisme ««, dat het lokale adres verbergt achter een dynamisch gegenereerde willekeurige identificator, die wordt bepaald via Multicast DNS.
- De locatie van de knop voor de ‘picture-in-picture’ modus is gewijzigd, die de knop voor het overschakelen naar de volgende afbeelding in de interface voor het batchuploaden van foto's op Instagram bedekte.
- In JavaScript De operator «?.» is geïntroduceerd voor het gelijktijdig controleren van de gehele keten van eigenschappen of aanroepen. Bijvoorbeeld door «db?.user?.name?.length» op te geven, kan nu naar de waarde «db.user.name.length» worden verwezen zonder voorafgaande controles. Als een element wordt behandeld als null of undefined, zal de output «undefined» zijn.
- ondersteuning op websites en in add-ons voor de methode Object.toSource() en de globale functie uneval().
- Een nieuw evenement is toegevoegd en de bijbehorende eigenschap , die het mogelijk maken om een handler aan te roepen wanneer de gebruiker de interface-taal verandert.
- De verwerking van de HTTP-header is ingeschakeld (), waarmee websites het insluiten van bronnen (zoals afbeeldingen en scripts) van andere domeinen (cross-origin en cross-site) kunnen verbieden. De header kan twee waarden aannemen: «same-origin» (staat alleen verzoeken van bronnen met hetzelfde schema, hostnaam en poortnummer toe) en «same-site» (staat alleen verzoeken van dezelfde site toe).
Cross-Origin-Resource-Policy: same-site
- is standaard ingeschakeld HTTP-header , waarmee het gedrag van API's en het inschakelen van bepaalde mogelijkheden kan worden beheerd (bijvoorbeeld kan toegang tot de Geolocation API, camera, microfoon, volledig scherm, autoplay, encrypted-media, animaties, Payment API, synchronisatie modus van XMLHttpRequest, enzovoort, worden uitgeschakeld). Voor iframe-blokken is er separaat het attribuut ««, dat kan worden toegepast in de pagina-code om rechten voor bepaalde iframe-blokken toe te wijzen.
<iframe src=»https://example.com» allow=»fullscreen»></iframe>
Feature-Policy: microphone ‘none’; geolocation ‘none’
Wanneer een website het ‘allow’-attribuut gebruikt om een iframe toestemming te geven om met een bron te werken, en er een verzoek uit het iframe komt om toegang tot deze bron te verkrijgen, toont de browser nu een dialoog voor het verlenen van toestemming in de context van de hoofdpagina en delegeert het goedgekeurde gebruiksrechten naar het iframe (in plaats van een aparte goedkeuring voor het iframe en de hoofdpagina). Maar als de hoofdpagina geen toestemming heeft voor de bron die via het ‘allow’-attribuut is aangevraagd, wordt de toegang voor het iframe onmiddellijk geweigerd , zonder dialoog voor de gebruiker te tonen.
- Standaard is de ondersteuning voor de CSS-eigenschap ‘‘ ingeschakeld, die de positie van de onderstreping van de tekst bepaalt (bijvoorbeeld, bij verticale tekstweergave kan de onderstreping links of rechts worden geplaatst, en bij horizontale tekst niet alleen onder, maar ook boven). Bovendien is er ondersteuning toegevoegd voor het gebruik van procentuele waarden in de CSS-eigenschappen van de onderstreping en .
- In de CSS-eigenschap , die de lijnstijl rondom elementen bepaalt, waarbij standaard het gebruik van de waarde ‘auto’ is toegestaan (eervoor was dat vanwege problemen in GNOME).
- In de JavaScript-debugger de mogelijkheid om geneste Web Workers te debuggen, waarvan de uitvoering gepauzeerd en stap voor stap kan worden gedebugd met behulp van breekpunten.
- In de interface voor het inspecteren van webpagina's worden waarschuwingen weergegeven voor CSS-eigenschappen die afhankelijk zijn van gepositioneerde elementen zoals z-index, top, left, bottom en right.
- Voor Windows en macOS is de mogelijkheid geïmplementeerd om profielen uit de Microsoft Edge-browser op basis van de Chromium-engine te importeren.
Naast nieuwe functies en bugfixes in Firefox 74 zijn er , waarvan 10 (samengevoegd onder en ) gemarkeerd als mogelijk in staat om kwaadaardige code uit te voeren wanneer speciaal opgemaakte pagina's worden geopend. Ter herinnering, geheugenproblemen zoals buffer overflow en toegang tot al vrijgegeven geheugenruimten worden de laatste tijd gemarkeerd als gevaarlijk, maar niet kritiek.
Bron: opennet.ru
