A empresa Mozilla sobre a expansão dos pagamentos de recompensas por identificar problemas de segurança em elementos da infraestrutura relacionados ao desenvolvimento do Firefox. O valor das recompensas para a identificação de vulnerabilidades em sites e serviços da Mozilla foi dobrado, e a recompensa por identificar vulnerabilidades que possam permitir a execução de código em , foi elevada a 15 mil dólares.
Para a identificação de métodos de contorno de autenticação e inserção de código SQL, é possível obter uma recompensa de 6 mil dólares, enquanto para cross-site scripting e CSRF, a recompensa é de 5 mil dólares. Os sites-chave incluem firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org, download.mozilla.org
e mais algumas dezenas de sites relacionados a complementos, atualizações, downloads, sincronização e estatísticas.
Para a recompensa é aproximadamente metade. Os sites básicos incluem observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org e alguns serviços internos para desenvolvedores.
Em comparação com os termos anteriores, foram adicionados aos sites e serviços-chave:
- (serviço de assinaturas digitais),
- (serviço de publicação automática de código de
Phabricator em repositórios), - (ferramenta de gerenciamento de código usada para revisar alterações),
- (framework para execução de tarefas, que suporta sistemas de integração contínua e processos de lançamento).
Dos novos sites básicos, destacam-se:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Serviço (integração com o sistema de pagamento Stripe),
- (complemento com para proteger o tráfego),
- (sistema de retransmissão de pedidos para lançamento),
- (sistema de reconhecimento de voz que fundamenta a API de Reconhecimento de Fala).
Adicionalmente, pode-se ativa intenção de implementar na versão planejada para 7 de janeiro o Firefox 72 com pedidos insistentes para que o site obtenha permissões adicionais. Muitos sites abusam da possibilidade de solicitar permissões nos navegadores, principalmente por meio de notificações push que aparecem periodicamente. Uma análise de telemetria mostrou que 97% desses pedidos são rejeitados, sendo que, em 19% dos casos, o usuário fecha a página imediatamente, sem clicar no botão de aceitação ou rejeição. No Firefox 72, esses pedidos serão bloqueados se não houver interação do usuário com a página (clique do mouse ou pressionamento de teclas).
Entre as mudanças que estão por vir no Firefox 72, destaca-se as cores de fundo da página atual para a barra de rolagem e a vinculação de chaves públicas (PKP, Public Key Pinning), permitindo, através do cabeçalho HTTP Public-Key-Pins, especificar claramente quais certificados de autoridades certificadoras são permitidos para determinado site. A razão apresentada para isso é a baixa demanda dessa função, bem como o risco de problemas de compatibilidade (apoio ao PKP. no Chrome) e a possibilidade de bloquear seu próprio site devido à vinculação de chaves incorretas ou perda de chaves (por exemplo, exclusão acidental ou comprometimento devido a um ataque).
Fonte: opennet.ru
