Utgivelsen av Firefox 72

Utgivelsen av webleseren har funnet sted Firefox 72, samt mobilversjonen Firefox 68.4 for the Android platform. In addition, an update has been issued grenen med langvarig støtte 68.4.0. I nærmeste fremtid vil det gå til stadiet betatesting the Firefox 73 branch, which is scheduled for release on February 11 (project har blitt for a 4-week period utviklingssyklus).

Viktige nyheter:

• In the default standard mode of blocking unwanted content er inkludert protection against user tracking using hidden identification methods ("browser fingerprinting"), which is achieved through additional categories in the Disconnect.me list, including hosts implicated in using scripts for hidden identification. Hidden identification refers to storing identifiers in areas not intended for permanent information storage ("Supercookies"), as well as generating identifiers based on indirect data such as skjermoppløsning, listen over støttede MIME-typer, spesifikke parametere i headerne (HTTP/2 og HTTPS), analysere installerte plugins og skrifttyper, tilgjengeligheten av visse Web API-er, spesifikke for grafikkort i rendering using WebGL and Canvas, manipulasjoner with CSS, analyzing the features of working with musen og tastaturet.
  
• Activated metoder bekjempe with persistent requests for the site to grant additional permissions (Notification.requestPermission(), PushManager.subscribe() and MediaDevices.getDisplayMedia()). Permission requests will no longer interrupt browser activity, but will instead lead to the display of an indicator in the address bar after user interaction with the page is detected (mouse click or key press). Many sites abuse the browser's ability to request permissions, primarily by periodically displaying requests for push notifications. Telemetry analysis showed that 97% of such requests are rejected, including in 19% of cases where the user immediately closes the page without pressing the agree or decline button.
• Lagt til eksperimentell støtte the HTTP/3 protocol (to activate it in about:config, set the option "network.http.http3.enabled"). Support for HTTP/3 in Firefox is based on neqo, a Rust-written implementation of the QUIC protocol client and server (HTTP/3 standardiserer using the QUIC protocol as a transport for HTTP/2).
• In accordance with the requirements of the enacted law CCPA (California Consumer Privacy Act) er det lagt til the ability to delete telemetry data from Mozilla servers. Data deletion occurs if telemetry collection is disabled in the section "about:preferences#privacy" ("Firefox Data Collection and Use"). When the checkbox "Allow Firefox to send technical and interaction data to Mozilla" is unchecked, governing telemetry sending, Mozilla commits within 30 days to delete alle data samlet før overføringen av telemetri. Av dataene som lagres på Mozillas servere under telemetrisamlingen, er det informasjon om ytelsen, sikkerheten til Firefox og generelle parametere, som antall åpne faner og varigheten av økten (opplysninger om åpne nettsteder og søk forespørselen sendes ikke). Fullstendige detaljer om de innsamlede dataene kan sees på siden «about:telemetry».
  
• For Linux og macOS er det lagt til muligheten for å se video i «bilde i bilde» (Picture-in-Picture), som lar deg løsne videoen i et flytende vindu som forblir synlig når du navigerer i nettleseren. For å se i denne modusen må du klikke på popup-vinduet eller i høyremenyen som vises ved å høyreklikke på videoen og velge «Picture in picture» (i YouTube, som har sin egen kontekstuelt menyhåndtering, må du dobbeltklikke med høyre museknapp eller klikke mens du holder nede Shift-tasten).
  
• Når du viser rullefeltet is used fargen på bakgrunnen av gjeldende side.
• Fjernet muligheten åpningsnøkkelbindinger (PKP, Public Key Pinning), som lar deg ved hjelp av HTTP-headeren Public-Key-Pins eksplisitt definere hvilke sertifikater fra sertifiseringsmyndigheter som kan brukes for et gitt nettsted. Som årsak nevnes lav etterspørsel etter denne funksjonen, risiko for kompatibilitetsproblemer (støtte for PKP leveransen av plugin-container-binærfilen. i Chrome) och möjligheten att blockera sin egen webbplats på grund av bindning av fel nycklar eller förlust av nycklar (t.ex. av misstag borttagning eller kompromettering på grund av hacking).
• Inkludert i vedtatt patcher, som gjør det mulig i OpenBSD å bruke systemanrop unveil() og pledge() for ytterligere isolasjon av filsystemet og prosesser.
• Støtten for å blokkere bilder fra enkelte domener er blitt fjernet. Årsaken til fjerningen oppgis å være lav etterspørsel blant brukerne og et tungvint grensesnitt for blokkering.
• I Windows-buildene er det implementert en eksperimentell funksjonalitet for å bruke klientsertifikater fra det delte sertifikatlageret i operativsystemet (for å aktivere det i about:config, må alternativer security.osclientcerts.autoload aktiveres).
• Støtte for CSS Shadow Parts er aktivert som standard, inkludert attributtet «part» og pseudo-elementet «::part«, som tillater selektiv visning av bestemte elementer fra Shadow DOM.

  <custom-element>
  <p part="»example»">Et avsnitt</p>
  </custom-element>

  … i CSS for å velge elementer knyttet til part-attributtet:

  custom-element::part(example) {
  border: solid 1px black;
  border-radius: 5px;
  padding: 5px;
  }

• Støtte for spesifikasjonen CSS Motion Path, som gjør det mulig å bestemme bevegelsesbanen til animasjonsobjekter ved hjelp av CSS uten å bruke kode i JavaScript og uten å blokkere prosessen for rendering og inndata under animasjonen. For å styre animasjonen er det nå presentert CSS-egenskaper
  offset,
  offset-path,
  offset-anchor,
  offset-distance og
  offset-rotate.
• Aktive som standard separate CSS-transformasjonsegenskaper scale, rotate og translate, som ikke er knyttet til egenskapen transform (dvs. i CSS kan man nå angi «scale: 2;» i stedet for «transform: scale(2);»).
• I JavaScript er den logiske operatoren for sammenslåing implementert «??«, som returnerer det høyre operandet hvis venstre operand er NULL eller undefined, og omvendt. For eksempel, «const foo = bar ?? ‘default string'» vil returnere strengen hvis bar er null eller verdien av bar ellers, inkludert når bar er 0 og ‘ ‘, i motsetning til operatoren «||».
• API er lagt til FormDataEvent og hendelsen FormData, som gir mulighet til å bruke håndterere i JavaScript for å legge til data i skjemaet på tidspunktet for sending uten å måtte lagre dataene i skjulte input-elementer.
• API Geolocation er oppdatert for å samsvare med den nye spesifikasjonen, for eksempel omdøpt Coordinates til GeolocationCoordinates, Position til GeolocationPosition og
  PositionError til GeolocationPositionError.
• I JavaScript-debuginstrumentet er det lagt til er støtten for betingede stoppesteder (watchpoint), som utløses ved endring eller lesing av visse objektattributter, lagt til.
  
• Oppstart av JavaScript-debuginstrumentet er akselerert når det åpnes et stort antall faner (først og fremst prioriteres synlige faner nå).
• I Responsiv Design-modus er simuleringen av ulike verdier for meta viewport implementert. I inspeksjonsmodus er simulatoren for verdiene «prefers-color-scheme» lagt til.
• I web-konsollene i flerspråklig tolkning av JavaScript har fått støtte for å lagre og åpne filer ved hjelp av Ctrl + O og Ctrl + S kombinasjoner.
• Lagt til innstillingen javascript.options.asyncstack for visuell separering av asynkrone meldinger i web-konsollen. Når innstillingen aktiveres, vil console.trace() og console.error() vise full stakk av asynkrone operasjoner, slik at man kan forstå planleggingen av timer, hendelser, løfter, generatorer osv.
  
• I inspeksjonsmodus for WebSocket er det implementert parsing og visning av metadataformatet SignalR, brukt i meldinger fra ASP.NET Core. Det er også lagt til tellere som viser total størrelse av overførte og lastede data.
• I overvåkingsverktøyet for nettverksaktivitet under fanen Timings er det vist separat data om ventetiden for opplasting, starten på opplasting og fullføringen av opplasting for hver ressurs.
• Fra verktøyene for webutviklere er miljøet Scratchpad, ment for eksperimentering med JavaScript-kode (Scratchpad er blitt erstattet av flermodusskjemaet i webkonsollen i den forrige utgaven).

Bortsett fra nyheter og feilrettinger i Firefox 72 er det løst 20 sårbarheter, hvorav 11 (som er samlet under CVE-2019-17025 og CVE-2019-17024) er merket som potensielt i stand til å føre til kjøring av ondsinnet kode ved åpning av spesialdesignede sider. Vi minner om at minneproblemer, som bufferoverløp og tilgang til allerede frigjorte minneområder, nylig har blitt merket som farlige, men ikke kritiske. Spørsmålet om CVE-2019-17017 i koden XPCVariant.cpp fortjener også spesiell oppmerksomhet, da det potensielt også kan føre til kjøring av kode.

Kilde: opennet.ru