Release av Firefox 74

Lanseringen av webbläsaren Firefox 74, samt mobilversionen Firefox 68.6 för Android-plattformen. Dessutom har en uppdatering utformats grenen med långsiktig support 68.6.0. Snart kommer grenen Firefox 81 att gå över till status för release, som är planerad till den 22 september. beta-testning till Firefox 75, vars release är planerad till den 7 april (projekt överfördes på 4-5 veckor utvecklingscykeln). För beta-versionen av Firefox 75 inleddes bildar samlingar för Linux i Flatpak-format.

Huvud nyheter:

• I versionerna för Linux används en isoleringsmekanism RLBox, som syftar till att blockera utnyttjande av sårbarheter i externa funktionsbibliotek. I detta skede är isoleringen endast aktiverad för biblioteket Graphite, som ansvarar för teckensnittets rendering. RLBox kompilera C/C++-kod från det isolerade biblioteket till låg nivå i WebAssembly-mellanlagret, som sedan utformas som en WebAssembly-modul vars behörigheter är begränsade till just denna modul. Den sammanställda modulen arbetar i ett eget minnesområde och har inte tillgång till resterande adressutrymme. Vid en utnyttjad sårbarhet i biblioteket kommer angriparen att vara begränsad och kan inte nå minnesområden i huvudprocessen eller överföra kontroll utanför den isolerade miljön.
• DNS över HTTPS-läget (DoH, DNS over HTTPS) är aktiverat som standard, för användare i USA. Som standard DNS-leverantör erbjuds CloudFlare (mozilla.cloudflare-dns.com har lagts till i på blockeringslistor Roskomnadzor), och NextDNS finns som ett alternativ. Att ändra leverantör eller aktivera DoH i länder utanför USA, kan i inställningarna för nätverksanslutningen. Mer information om DoH i Firefox kan läsas i en separat tillkännagivande.
  
• Avaktiverad stöd för protokollen TLS 1.0 och TLS 1.1. För att komma åt webbplatser via en säker förbindelse måste servern stödja minst TLS 1.2. Enligt Google sker för närvarande cirka 0,5 % av lasterna av webbsidor med hjälp av föråldrade versioner av TLS. Avstängningen har gjorts i enlighet med rekommendationer IETF (Internet Engineering Task Force). Anledningen till att TLS 1.0/1.1 inte längre stöds är avsaknaden av stöd för moderna kryptografier (till exempel ECDHE och AEAD) och kravet på att stödja äldre kryptografier, vars tillförlitlighet i dagens tekniska utveckling ifrågasätts (till exempel krävs det stöd för TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, där MD5 och SHA-1 används för integritetskontroll och autentisering). Vid försök att använda TLS 1.0 och TLS 1.1 från och med Firefox 74 kommer ett felmeddelande att visas. Möjligheten att arbeta med gamla versioner av TLS kan återställas via inställningen security.tls.version.enable-deprecated = true eller genom en knapp på felmeddelandesidan när man försöker besöka en webbplats som använder det gamla protokollet.
  
• I versionsanmärkningen rekommenderas tillägget Facebook Container, som automatiskt blockerar Facebook-widgets som används på externa webbplatser för autentisering, kommentarer och gillanden. Facebooks identifieringsparametrar isoleras i en separat behållare, vilket gör det svårt att koppla samman användaren med de besökta webbplatserna. Möjligheten att arbeta med den primära Facebook-webbplatsen kvarstår, men den isoleras från andra webbplatser.

  För en mer flexibel isolering av godtyckliga webbplatser erbjuds ett tillägg Multi-Account Containers med implementeringen av konceptet kontextuella behållare. Behållarna möjliggör isolering av olika typer av innehåll utan att skapa separata profiler, vilket gör det möjligt att separera information mellan olika grupper av sidor. Till exempel kan du skapa separata, isolerade områden för personlig kommunikation, arbete, shopping och bankverksamhet eller organisera samtidig användning av olika användarkonton på samma webbplats. I varje behållare används separata lagringsutrymmen för cookies, Local Storage API, indexedDB, cache och innehållet OriginAttributes.

• I about:config har inställningen "browser.tabs.allowTabDetach" lagts till, vilket gör att bortkoppling av flikar till nya fönster kan förhindras. Oavsiktlig bortkoppling av en flik är en av de mest irriterande bristerna i Firefox, vars åtgärd har eftersträvats har tagit 9 år. webbläsaren tillåter att du drar en flik med musen till ett nytt fönster, men under vissa omständigheter separeras fliken i ett eget fönster, och under arbetets gång, vid ovarsamma musrörelser under ett klick på fliken.
• Avslutad stöd för tillägg som installeras på omvägar och inte är kopplade till användarprofiler. Ändringen gäller endast installation av tillägg i gemensamma kataloger (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ eller ~/.mozilla/extensions/), som behandlas av alla instanser av Firefox i systemet (utan koppling till användaren). En sådan metod används vanligtvis för att förinstallera tillägg i distributörer, för oönskad insättning tillsammans med tredjepartsprogram, för integration av skadliga tillägg eller för att leverera ett tillägg med sin egen installerare. I Firefox 73 flyttades tidigare tvångsinstallerade tillägg automatiskt från den gemensamma katalogen till individuella användarprofiler och kan nu har tagits bort via standard tilläggshanteraren.
• I det systemtillägg som ingår i webbläsaren, Lockwise, som erbjuder gränssnittet "about:logins" för att hantera sparade lösenord, har det stöd för sortering i omvänd ordning (från Z till A) lagts till.
• I WebRTC har skyddet mot läckor av interna IP-adressuppgifter under röst- och videokonferenser förbättrats med mekanismen "mDNS ICE", som döljer den lokala adressen bakom ett dynamiskt genererat slumptal, definierat via Multicast DNS.
• Läget för växlingsknappen för "bild i bild" har ändrats, vilket överlappade knappen för att gå till nästa bild i gränssnittet för batchnedladdning av foton på Instagram.
• I JavaScript tillagd operatorn "?.", avsedd för en engångsverifiering av hela kedjan av egenskaper eller anrop. Till exempel, genom att ange "db?.user?.name?.length" kan man nu referera till värdet "db.user.name.length" utan föregående kontroller. Om något element behandlas som null eller undefined kommer värdet "undefined" att ges istället.
• Avslutad stöd för sidan och i tilläggmetoden Object.toSource() och den globala funktionen uneval().
• Ett nytt evenemang har lagts till languagechange_even och den relaterade egenskapen onlanguagechange, som gör det möjligt att kalla en hanterare när användaren byter språk i gränssnittet.
• Bearbetning av HTTP-huvudet har aktiverats Cross-Origin-Resource-Policy (CORP), vilket gör att webbplatser kan förhindra att resurser (t.ex. bilder och skript) som laddas från andra domäner (cross-origin och cross-site) inkluderas. Rubriken kan ta två värden: 'same-origin' (tillåter endast resursförfrågningar med samma schema, värdnamn och portnummer) och 'same-site' (tillåter endast förfrågningar från samma webbplats).

  Cross-Origin-Resource-Policy: same-site

• Aktiverad som standard HTTP-rubrik Feature-Policy, vilket gör att man kan styra beteendet för API:er och aktivera specifika funktioner (t.ex. kan åtkomst till Geolocation API, kamera, mikrofon, helskärmsläge, automatisk uppspelning, encrypted-media, animationer, Payment API, synkront läge för XMLHttpRequest, etc. stängas av). För iframe-block rekommenderas en särskild attribut 'allow‘, som kan användas i sidans kod för att tilldela rättigheter för specifika iframe-block.

  <iframe src=»https://example.com» allow=»fullscreen»></iframe>

  Feature-Policy: microphone ‘none’; geolocation ‘none’

  Om webbplatsen tillåter åtkomst till en resurs för en specifik iframe via attributet 'allow', och en förfrågan från iframen görs för att få behörigheter för att arbeta med den resursen, visar webbläsaren nu en dialog för att ge behörigheter i sammanhanget av huvudsidan och delegerar användarens bekräftade rättigheter till iframen (istället för en separat bekräftelse för iframen och huvudsidan). Men om huvudsidan inte har behörighet för den resurs som begärts via attributet allow, tillåts inte iframen åtkomst till resursen, utan att visa dialogen för användaren. blockeras, utan att visa dialog till användaren.

• Stödet för CSS-egenskapen 'text-underline-position‘ är aktiverat som standard och definierar positionen för textunderstrykning (t.ex. vid vertikal visning av text kan understrykningen placeras till vänster eller höger, och vid horisontell visning kan den placeras inte bara underutan även ovanför). Dessutom har stöd lagts till för att använda värden i procent i CSS-stilar för understrykning. text-underline-offset och text-decoration-thickness Stödet för användning av procentvärden har lagts till.
• I CSS-egenskapen outline-style, som definierar stilen för linjen runt element, är 'auto' (tidigare var det avstängt på grund av problem i GNOME) tillåtet som standard.
• I JavaScript-debugger har lagts till möjligheten att debugga inbäddade Web Workers, vars körning kan pausas och stegvis debugges med hjälp av brytpunkter.
  
• I användargränssnittet för inspektion av webbsidor visas varningar för CSS-egenskaper som beror på positionerade element z-index, top, left, bottom och right.
  
• För Windows och macOS har möjligheten att importera profiler från webbläsaren Microsoft Edge baserad på Chromium implementerats.

Förutom nya funktioner och buggfixar har även i Firefox 74 åtgärdats 20 sårbarheter, varav 10 (sammanställda under CVE-2020-6814 och CVE-2020-6815) märkts som potentiellt kapabla att leda till kodexekvering av illvilliga aktörer vid öppnande av särskilt utformade sidor. Vi påminner om att minnesproblem, såsom buffertöverskridningar och åtkomst till redan frigjorda minnesområden, nyligen har märkts som farliga men inte kritiska.

Källa: opennet.ru