Održano je izdanje web preglednika , kao i Firefox 68.6 za platformo Android. Poleg tega je bila oblikovana posodobitev sa dugim vremenom podrške . U vrlo kratkom vremenu na fazu bo prešla na vejo Firefox 75, katere izid je predviden za 7. april (projekt na 4-5 tedensko ). Za beta vejo Firefox 75 oblikovanje za Linux v formatu Flatpak.
:
- V zbirkah za Linux je uporabljen mehanizem izolacije , namenjen za preprečevanje izkoriščanja ranljivosti v zunanjih knjižnicah funkcij. V tej fazi je izolacija vključena le za knjižnico , ki je odgovorna za risanje pisav. RLBox izvaja prevod C/C++ kode izolirane knjižnice v nizkonivojski vmesni kod WebAssembly, ki je nato predstavljena kot modul WebAssembly, katerega pooblastila so določena le za ta modul. Zgrajeni modul deluje v ločenem pomnilniškem prostoru in nima dostopa do preostalega naslovnega prostora. V primeru izkoriščanja ranljivosti v knjižnici bo napadalec omejen in ne more dostopati do pomnilniških območij glavnega procesa ali prenesti nadzora izven izoliranega okolja.
- Način DNS preko HTTPS (DoH, DNS over HTTPS) za uporabnike v ZDA. Kot privzeti ponudnik DNS se ponuja CloudFlare (mozilla.cloudflare-dns.com u Roskomnadzor), medtem ko je kot možnost na voljo NextDNS. Spremeni ponudnika ali vklopi DoH v državah, ki niso ZDA, v nastavitvah omrežne povezave. Več o DoH v Firefoxu lahko preberete v .
- protokolov TLS 1.0 in TLS 1.1 je onemogočena. Za dostop do spletnih strani po zaščitenem kanalu mora strežnik zagotoviti podporo za vsaj TLS 1.2. Po podatkih Googla trenutno približno 0,5% prenosov spletnih strani še vedno poteka z uporabo zastarelih različic TLS. Onemogočitev je bila izvedena v skladu z IETF (Internet Engineering Task Force). Razlog za opustitev podpore TLS 1.0/1.1 je pomanjkanje podpore za sodobne šifre (na primer ECDHE in AEAD) in zahteva po podpori starejših šifer, katerih zanesljivost je v današnjem razvoju računalništva vprašljiva (na primer, zahteva se podpora za TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, pri čemer se za preverjanje celovitosti in avtentikacijo uporablja MD5 in SHA-1). Pri poskusu uporabe TLS 1.0 in TLS 1.1 od različice Firefox 74 bo prikazana napaka. Možnost delovanja s starejšimi različicami TLS lahko obnovite preko nastavitve security.tls.version.enable-deprecated = true ali s pomočjo gumba na strani z napako, ki se prikaže pri obisku strani s starim protokolom.
- V opombah o izidu je priporočena dopolnitev , ki samodejno blokira vtičnike Facebook, nameščene na zunanjih straneh, ki se uporabljajo za avtentikacijo, pošiljanje komentarjev in všečkov. Identifikacijski parametri Facebooka so izolirani v ločenem kontejnerju, kar otežuje prepoznavanje uporabnika na obiskanih straneh. Možnost uporabe glavne strani Facebooka ostaja, vendar se izvede njena izolacija od drugih strani.
Za bolj fleksibilno izolacijo poljubnih strani je predlagana dopolnitev z uresničitvijo koncepta kontekstualnih kontejnerjev. Kontejnerji omogočajo izolacijo različnih vrst vsebin brez ustvarjanja ločenih profilov, kar omogoča ločevanje informacij posameznih skupin strani. Na primer, lahko ustvarite ločene, medsebojno izolirane prostore za osebno komunikacijo, delo, nakupovanje in bančne transakcije ali organizirate hkratno uporabo različnih uporabniških računov na eni spletni strani. V vsakem kontejnerju se uporabljajo ločene shrambne enote za piškotke, API za lokalno shrambo, indexedDB, predpomnilnik in vsebino OriginAttributes.
- V about:config je bila dodana nastavitev „browser.tabs.allowTabDetach“, ki omogoča prepoved odklopa zavihkov v nova okna. Naključno odklop zavihka je ena od najbolj odbijajočih pomanjkljivosti Firefox, katere odpravo 9 let. Brskalnik omogoča, da s miško povlečete zavihek v novo okno, vendar se v določenih okoliščinah zavihek odklopi v ločeno okno in med delom, ko ne pazite na premikanje miške, med klikanjem na zavihek.
- podpornih dodatkov, nameščenih obvodno in nepovezanih s uporabniškimi profili. Sprememba se nanaša le na namestitev dodatkov v skupne imenike ( /usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ ali ~/.mozilla/extensions/), ki jih obdelujejo vse instance Firefoxa v sistemu (brez povezave z uporabnikom). Tak način se običajno uporablja za prednamestitev dodatkov v distribucijah, za nepooblaščeno vstavljanje skupaj s tretjimi aplikacijami, za integracijo zlonamernih dodatkov ali za ločeno dostavo dodatka s svojim inštalatorjem. V Firefoxu 73 so bili prej silovito nameščeni dodatki samodejno preneseni iz skupnega imenika v posamezne uporabniške profile in jih je zdaj mogoče prek standardnega upravljalnika dodatkov.
- V sistemskem dodatku brskalnika Lockwise, ki ponuja vmesnik „about:logins“ za upravljanje shranjenih gesel, je bila sortiranju v nasprotnem vrstnem redu (od Z do A).
- V WebRTC je izboljšana zaščita pred uhajanjem informacij o notranji IP-naslovu med glasovnimi in video klici s pomočjo mehanizma „“, ki prikriva lokalni naslov za dinamično generiranim naključnim identifikatorjem, določenim prek Multicast DNS.
- Spremenjeno je bilo mesto stikala za način ogled „slika v sliki“, ki je prekrivala gumb za prehod na naslednjo sliko v vmesniku paketnega nalaganja fotografij na Instagramu.
- V JavaScriptu operator „?.“, namenjen enkratni preverbi celotne verige lastnosti ali klicev. Na primer, tako da navedete „db?.user?.name?.length“, je zdaj mogoče dostopati do vrednosti „db.user.name.length“ brez predhodnih preverjanj. Če je kateri koli element obravnavan kot null ali undefined, se bo vrnila vrednost „undefined“.
- podpora na spletnih straneh in v dodatkih metode Object.toSource() in globalne funkcije uneval().
- Dodano je novo dejanje in pripadajoča lastnost , ki omogočajo klic obdelovalca ob spremembi jezika vmesnika s strani uporabnika.
- Omogočena obdelava HTTP- Header (), ki omogoča spletnim mestom, da preprečijo vstavljanje virov (na primer, slik in skript), nalaganih z drugih domen (cross-origin in cross-site). Header lahko sprejme dve vrednosti: „same-origin“ (dovoli samo zahteve virov s točno isto shemo, imenom gostitelja in številko vrata) in „same-site“ (dovoli samo zahteve s tega istega mesta).
Cross-Origin-Resource-Policy: same-site
- Privzeto je omogočen HTTP-header , ki omogoča upravljanje obnašanja API-jev in vključitev določenih funkcij (na primer, lahko onemogočite dostop do Geolocation API, kamere, mikrofona, prehoda v celozaslonski način, samodejnega predvajanja, encrypted-media, animacij, Payment API, sinhronega delovanja XMLHttpRequest itd.). Za iframe bloke je posebej predlagan atribut „«, ki se lahko uporabi v kodi strani za dodelitev pravic določenim iframe blokom.
<iframe src=»https://example.com» allow=»fullscreen»></iframe>
Feature-Policy: microphone ‘none’; geolocation ‘none’
V primeru, da spletno mesto prek atributa „allow“ dovoli dostop do vira za določen iframe, in pride do zahteve iz iframe za pridobitev pooblastil za dostop do tega vira, zdaj brskalnik prikaže dialog za dodeljevanje pooblastil v kontekstu glavne strani in prenese potrjene pravice uporabnika na iframe (namesto ločenega potrjevanja za iframe in glavno stran). Če pa glavna stran nima pooblastil za vir, ki ga zahteva atribut allow, se dostop do virov za iframe takoj , brez prikaza dialoga uporabniku.
- Privzeto je omogočena podpora za CSS-lastnost ‘‘, ki določa položaj podčrtanja besedila (na primer, pri vertikalnem prikazu besedila lahko organizirate podčrtanje na levi ali desni, pri horizontalnem pa ne samo na dnu, temveč tudi na vrhu). Dodatno so v lastnostih za nadzor sloga podčrtanja CSS dodeljeni in dodane podpora za uporabo vrednosti v odstotkih.
- V CSS-lastnosti , ki določa slog črte okoli elementov, je privzeto dovoljena uporaba vrednosti „auto“ (prej je bila zaradi težav v GNOME).
- V debuggerju JavaScript je omogočena možnost odpravljanja napak znotraj vdelanih Web Worker-ov, katerih izvajanje se lahko ustavi in postopoma odpravi z uporabo točk za prekinitev.
- V vmesniku za pregledovanje spletnih strani so prikazana opozorila za CSS lastnosti, ki so odvisne od pozicioniranih elementov z-index, top, left, bottom in right.
- Za Windows in macOS je omogočeno uvoz profilov iz brskalnika Microsoft Edge, ki temelji na motorju Chromium.
Poleg novosti in popravkov napak v Firefox 74 je odpravljeno , od katerih je 10 (zbrane pod in ) označenih kot potencialno sposobne povzročiti izvrši kodo napadalca ob odprtju posebej oblikovanih strani. Spomnimo, da so težave s pomnilnikom, kot so prelivanja pomnilnika in dostop do že osvobojenih območij pomnilnika, v zadnjem času označene kot nevarne, vendar ne kritične.
Izvor: opennet.ru
