Spoločnosť Mozilla o expanzii na vyplácanie peňažných odmien za identifikáciu bezpečnostných problémov v prvkoch infraštruktúry súvisiacich s vývojom Firefoxu. Výška odmien za identifikáciu zraniteľností na webových stránkach a službách Mozilly sa zdvojnásobila a odmena za identifikáciu zraniteľností, ktoré by mohli viesť k spusteniu kódu na , zvýšila sa na 15-tisíc dolárov.
Za identifikáciu metódy obídenia autentifikácie a SQL injection je k dispozícii odmena 6 000 dolárov, zatiaľ čo za cross-site scripting a CSRF je k dispozícii odmena 5 000 dolárov. Medzi kľúčové stránky patria firefox.com/org, mozilla.com/org, addons.mozilla.org, getfirefox.com, bugzilla.mozilla.org, search.services.mozilla.com, archive.mozilla.org a download.mozilla.org.
a niekoľko desiatok ďalších stránok súvisiacich s doplnkami, aktualizáciami, sťahovaním, synchronizáciou a štatistikami.
pre Výška bonusu je približne polovičná. Medzi hlavné stránky patria observatory.mozilla.org, getpocket.com, premium.firefox.com, hg.mozilla.org a niektoré interné služby pre vývojárov.
V porovnaní s predtým platnými podmienkami boli do zoznamu kľúčových stránok a služieb pridané:
- (služba digitálneho podpisu),
- (služba automatického umiestňovania kódu z
(Fabrikator v repozitároch), - (nástroj na správu kódu používaný na kontrolu zmien),
- (rámec na vykonávanie úloh, ktorý podporuje procesy nepretržitej integrácie a vydávania).
Medzi novými základnými lokalitami boli zaznamenané nasledujúce:
- (monitor.firefox.com),
- (l10n.mozilla.org),
- Služba (záväzné cez platobný systém Stripe),
- (doplnenie s na ochranu premávky),
- (systém vysielania požiadaviek na generovanie vydaní),
- (systém rozpoznávania reči, ktorý poháňa rozhranie API na rozpoznávanie reči).
Navyše môžete má byť aktivované vo vydaní Firefoxu 72, ktoré je naplánované na 7. januára S otravnými požiadavkami na ďalšie povolenia. Mnoho webových stránok zneužíva funkciu povolení poskytovanú prehliadačmi, najmä tým, že pravidelne vyzýva používateľov, aby dostávali push notifikácie. Telemetrická analýza ukázala, že 97 % takýchto požiadaviek je zamietnutých, vrátane 19 %, kde používateľ okamžite zatvorí stránku bez kliknutia na tlačidlo súhlasu alebo odmietnutia. Vo Firefoxe 72 budú takéto požiadavky blokované, pokiaľ sa nezistí interakcia používateľa so stránkou (kliknutie myšou alebo stlačenie klávesu).
Medzi pripravovanými zmenami vo Firefoxe 72 vyniká aj jedna farba pozadia aktuálnej stránky pre posúvač a Pripnutie verejného kľúča (PKP), ktoré umožňuje hlavičke HTTP Public-Key-Pins explicitne určiť, ktoré certifikáty CA sú prijateľné na použitie na danej webovej stránke. Ako dôvod sa uvádza nedostatočný dopyt po tejto funkcii a riziko problémov s kompatibilitou (podpora PKP). v prehliadači Chrome) a možnosť zablokovať svoje vlastné stránky z dôvodu viazania nesprávnych kľúčov alebo straty kľúčov (napríklad náhodného vymazania alebo kompromitácie v dôsledku hackovania).
Zdroj: opennet.ru
