Została wydana przeglądarka internetowa Firefox 135, a także zaktualizowane poprzednie wersje z długoterminowym wsparciem — 115.20.0 i 128.7.0. Na poziom beta-testów przeszedł kanał Firefox 136, którego wydanie zaplanowano na 4 marca.
Główne nowości w Firefox 135:
- Wbudowany translator zyskał wsparcie dla tłumaczenia na język rosyjski (wcześniej dostępne było tłumaczenie z rosyjskiego na inne języki, ale nie było tłumaczenia na rosyjski) oraz tłumaczenia z języka koreańskiego, japońskiego i uproszczonego chińskiego. Poprawiono jakość tłumaczenia, eliminując sytuacje, w których model AI wstawiał wymyślone słowa. Wbudowany w systemie Firefox translator wykonuje tłumaczenie na lokalnej maszynie użytkownika, bez odwoływania się do zewnętrznych usług chmurowych. System oparty jest na otwartym silniku Bergamot. Silnik ten stanowi opakowanie nad frameworkiem tłumaczenia maszynowego Marian, w którym zastosowano rekurencyjną sieć neuronową (RNN) oraz modele językowe oparte na transformatorach.
- Dostępny jest dla wszystkich użytkowników wbudowany AI-chatbot, który wykorzystuje duże modele językowe do interakcji w naturalnym języku. Chatbot wyświetlany jest w bocznym panelu i może działać poprzez usługi Anthropic Claude, ChatGPT, Google Gemini, HuggingChat (Hugging Face) oraz Le Chat Mistral. Użytkownik może przełączać się między usługami według własnych potrzeb. Do działania wymagana jest rejestracja w każdej z obsługiwanych usług (w panelu otwiera się aplikacja webowa każdej usługi). Oprócz czatu w menu kontekstowym dodano przycisk „Zapytaj ...”, dzięki któremu można przekazać chatbotowi zaznaczony fragment na stronie, na przykład w celu sporządzenia krótkiego podsumowania treści lub wyjaśnienia w prostych słowach. Do dodawania własnych modeli językowych działających na lokalnym systemie można wykorzystać narzędzie llamafile.
- Dla użytkowników ze wszystkich krajów, w których dostępna jest usługa rekomendacji Mozilla Stories, wprowadzono nowy układ strony wyświetlanej po otwarciu nowej karty. W poprzedniej wersji nowy układ został zaproponowany tylko użytkownikom z USA i Kanady. Nowa wersja wyróżnia się pojawieniem się paska wyszukiwania i listy rekomendowanych stron, a także zmianą wyglądu bloku z często odwiedzanymi i przypiętymi witrynami, które teraz wyświetlane są w jednej linii, a nie w formie siatki. Liczba kolumn z treścią jest wybierana w zależności od szerokości okna, co pozwala efektywnie wykorzystać całą dostępną przestrzeń ekranu.
- Dla wszystkich użytkowników wprowadzono wsparcie automatycznego zapamiętywania i wypełniania numerów kart kredytowych w formularzach internetowych. Kod CVV nie jest zapamiętywany, a numery kart są przechowywane w zabezpieczonej pamięci, do której można ustawić osobne hasło.
- Wprowadzono obowiązkową weryfikację certyfikatów TLS serwerów webowych w publicznych logach Certificate Transparency, mających na celu identyfikację certyfikatów utworzonych z pominięciem standardowych procedur wystawiania certyfikatów (np. ukryte wystawienie certyfikatu w wyniku nadużycia pracownika lub kompromitacji urzędu certyfikacji). Urząd certyfikacji przekazuje informacje o wszystkich nowych certyfikatach do kilku niezależnych logów Certificate Transparency, co umożliwia audyt wszystkich zmian. Jeśli przy dostępie do witryny używany jest certyfikat, który nie jest odzwierciedlony w logu, taki certyfikat zostanie oznaczony przez przeglądarkę jako niebezpieczny.
Logi współpracują z różnymi niezależnymi organizacjami. Aby chronić przed zniekształceniem danych wstecz, podczas przechowywania danych stosuje się strukturę drzewiastą „Merkle Tree”, w której każda gałąź weryfikuje wszystkie podrzędne gałęzie i węzły, dzięki drzewiastemu haszowaniu. Mając końcowy hasz, użytkownik może upewnić się, że cała historia operacji jest poprawna, a także że wcześniejsze stany bazy danych są poprawne.
- Aby przyspieszyć weryfikację recenzji certyfikatów TLS, używany jest mechanizm CRLite, działający w systemie użytkownika. Baza danych przechowywana po stronie użytkownika z informacjami o certyfikatach jest okresowo synchronizowana z zewnętrzną bazą danych Mozilla. Aby zmniejszyć rozmiar bazy danych, stosowane są kaskadowe filtry Blooma — struktura probabilistyczna, która dopuszcza fałszywe stwierdzenie braku elementu, ale wyklucza pominięcie istniejącego elementu. Na przykład, dane o 100 mln certyfikatach są kompresowane do struktury o rozmiarze około 1 MB.
W porównaniu do kontaktu z urzędowym centrum certyfikacji przy użyciu protokołu OCSP (Online Certificate Status Protocol), zastosowanie CRLite nie tylko eliminuje opóźnienia związane z wysyłaniem zapytań sieciowych, ale również zwiększa prywatność (przy użyciu OCSP przeglądarka wysyła zapytanie przy każdym odwiedzeniu stron, przekazując tym samym urzędowemu centrum certyfikacji dane o tym, jakie strony odwiedza) i wyklucza zależność od dostępności serwerów OCSP (atakujący może przeprowadzić atak DDoS na serwer OCSP, aby zablokować przetwarzanie zapytań).
- Dodano ochronę przed manipulacjami, które utrudniają nawigację przy użyciu przycisków „wstecz” i „dalej”, w wyniku zanieczyszczenia historii odwiedzin fałszywymi wpisami tworzonymi za pomocą API History. Istota ochrony sprowadza się do ignorowania wpisów, które nie są związane z działaniami użytkownika, podczas przetwarzania naciśnięć przycisków „wstecz” i „dalej”.
- W wersjach dla systemów Linux i macOS dodano opcję zamykania tylko bieżącej karty, a nie wszystkich kart, po naciśnięciu kombinacji klawiszy służącej do wyjścia z aplikacji (Alt + F4).
- Z ustawień prywatności (about:preferences#privacy) usunięto opcję wysyłania stronom nagłówka HTTP „Do Not Track” („DNT”). Nagłówek DNT informuje strony o niechęci użytkownika do przekazywania informacji, które mogą być używane do śledzenia jego ruchów i preferencji. Nagłówek DNT nie jest obowiązkowy i jest ignorowany przez wiele stron. Zamiast DNT zaleca się użycie mechanizmu GPC (Global Privacy Control), który informuje strony o zakazie sprzedaży danych osobowych i wykorzystywania danych do śledzenia zachowań lub ruchów użytkownika. W przeciwieństwie do DNT, realizacja wymogów GPC jest obowiązkowa zgodnie z obowiązującym prawem CCPA (California Consumer Privacy Act).
- Operacja kontekstowego menu „Kopiuj bez śledzenia strony” została przemianowana na „Kopiuj czysty link” i rozszerzona o możliwość użycia dla gołych URL w tekście (bez hiperlinków). Operacja ta pozwala na skopiowanie URL wybranego linku do schowka, wcześniej wycinając z niego parametry używane do śledzenia przejść między stronami.
- W pasku adresu wprowadzono możliwość wyszukiwania nazw grup kart i przechodzenia do znalezionych grup. Wyszukiwanie obejmuje m.in. zamknięte i zapisane grupy.
- Do kompresji paczek Firefox na platformie Linux zastosowano format XZ, który w porównaniu z formatem bz2 pozwolił zmniejszyć rozmiar pobieranych danych średnio o 25% i skrócić czas rozpakowywania więcej niż dwukrotnie.
- Dla HTTP/3 dodano wsparcie dla hybrydowego algorytmu wymiany kluczy „mlkem768x25519”, odpornego na łamanie przez komputer kwantowy, stanowiącego połączenie X25519 ECDH i algorytmu ML-KEM (CRYSTALS-Kyber), który został w zeszłym roku standaryzowany przez National Institute of Standards and Technology (NIST) w USA. ML-KEM wykorzystuje metody kryptografii, bazujące na rozwiązywaniu problemów teorii krat, czas rozwiązania których nie różni się na klasycznych i kwantowych komputerach.
- W atrybutach interfejsu PointerEvent, definiujących współrzędne wskaźnika, wprowadzono przesyłanie wartości niecałkowitych. Zmiana ta pozwala na precyzyjniejsze przetwarzanie zdarzeń w sytuacjach, gdy docelowy element jest przekształcony za pomocą CSS lub gdy powiększona została widoczna strefa (viewport).
- Zachowanie zdarzeń mouseenter, mouseleave, pointerenter i pointerleave zmieniono w celu dostosowania do specyfikacji.
- W API WebAuthn dodano metodę getClientCapabilities().
- W narzędziach dla programistów webowych wprowadzono ostrzeżenie przy używaniu właściwości „content-visibility” w przypadku elementów, którym nie zastosowano ograniczenia rozmiaru.
- Do konsoli webowej dodano komendę „$$$”, służącą do wyszukiwania na stronach z uwzględnieniem zawartości Shadow DOM.
- Rozszerzone możliwości debugowania dodatków WebExtension: uruchomiono punkty przerwania w skryptach przetwarzania treści i zapewniono wyświetlanie Workerów przy wyborze kontekstu w panelu konsoli.
- W wersji na Androida dodano opcję automatycznego przesyłania raportów o awariach przeglądarki do Mozilli, bez potwierdzenia użytkownika.
Oprócz nowości i poprawek błędów w Firefox 135 usunięto 19 luk w zabezpieczeniach. 13 z nich, oznaczonych jako krytyczne, związanych jest z problemami z pamięcią, takimi jak przepełnienia buforów i dostęp do już zwolnionych obszarów pamięci. Potencjalnie mogą one prowadzić do wykonania kodu przez przestępcę po otwarciu specjalnie przygotowanych stron.
W wersji beta Firefox 136 w wydaniach dla platformy Linux włączono wykorzystanie sprzętowego przyspieszenia dekodowania wideo na systemach z GPU AMD. Domyślnie włączono tryb HTTPS-First, w którym żądania do „http://” są zamieniane na „https://”, zarówno przy przechodzeniu po linkach, jak i podczas ładowania subzasobów, takich jak obrazy, skrypty i arkusze stylów. Dodano wsparcie dla przesyłania i odbierania wideo w formacie AV1 przez WebRTC.
Źródło: opennet.ru
