Реліз Firefox 135

Відбувся реліз web-браузера Firefox 135 та сформовані оновлення минулих гілок із тривалим терміном підтримки – 115.20.0 та 128.7.0. На стадію бета-тестування переведено гілку Firefox 136, реліз якої намічено на 4 березня.

Основні новації в Firefox 135:

• У вбудованому перекладачі з'явилася підтримка перекладу російською мовою (переклад з російської на інші мови був доступний раніше, але перекладу російською не було), а також перекладу з корейської, японської та спрощеної китайської мов. Підвищено якість перекладу, наприклад, виключені ситуації із підстановкою AI-моделлю вигаданих слів. Вбудована Firefox система перекладу виконує переклад на локальній системі користувача без звернення до зовнішніх хмарних сервісів. Система заснована на відкритому двигуні Bergamot. Двигун є обв'язкою над фреймворком машинного перекладу Marian, в якому застосовується рекурентна нейронна мережа (RNN) і мовні моделі на основі трансформерів.
• Доступний для всіх користувачів вбудований AI-чатбот, який використовує великі мовні моделі для взаємодії природною мовою. Чатбот відображається в бічній панелі та може працювати через сервіси Anthropic Claude, ChatGPT, Google Gemini, HuggingChat (Hugging Face) та Le Chat Mistral. Користувач може перемикатися між сервісами за власним бажанням. Для роботи потрібна реєстрація в кожному з сервісів, що підтримуються (в панелі відкривається web-додаток кожного сервісу). Крім чату в контекстне меню додана кнопка «Ask …», через яку можна передати чатботу виділений на сторінці фрагмент, наприклад, для складання короткого викладення вмісту або пояснення суті простими словами. Для додавання власних мовних моделей, що працюють на локальній системі, можна використовувати інструментарій file.
• Для користувачів з усіх країн, для яких доступний сервіс рекомендацій Mozilla Stories, увімкнено нове оформлення сторінки, що відображається при відкритті нової вкладки. У минулому випуску нове оформлення було запропоновано лише користувачам із США та Канади. Новий варіант відрізняється появою пошукового рядка та списку рекомендованих сторінок, а також зміною оформлення блоку з сайтами, що часто відвідуваються і закріпленими, які тепер показуються не у вигляді сітки, а в один рядок. Число стовпців з контентом вибирається залежно від ширини вікна, що дозволяє ефективно використовувати весь доступний екранний простір.
• Для всіх користувачів включена підтримка автоматичного запам'ятовування та заповнення номерів кредитних карток у web-формах. Код CVV не запам'ятовується, а номери карток зберігаються у захищеному сховищі, для доступу до якого можна задати окремий пароль.
• Включено обов'язкову перевірку TLS-сертифікатів web-серверів у публічних журналах Certificate Transparency, призначених для виявлення сертифікатів, створених в обхід штатних робочих процесів центру, що засвідчує (наприклад, приховане створення сертифіката в результаті зловживання співробітника або компрометації посвідчувального центру). Центр передає відомості про всі нові сертифікати в кілька незалежних журналів Certificate Transparency, які дають можливість провести аудит усіх змін. Якщо під час звернення до сайту використовується сертифікат, не відображений у журналі, такий сертифікат буде позначений браузером як небезпечний.

  Журнали супроводжують різні не пов'язані між собою організації. Для захисту від спотворення даних заднім числом при зберіганні даних застосовується деревоподібна структура "Дерево Меркла" (Merkle Tree), в якій кожна гілка верифікує всі гілки і вузли, що знаходяться нижче, завдяки деревоподібному хешированию. Маючи кінцевий хеш користувач може переконатися в коректності всієї історії операцій, а також коректності минулих станів БД.
• Для прискорення перевірки відкликання TLS-сертифікатів задіяно механізм CRLite, який працює на системі користувача. Зберігаючи з боку користувача БД з інформацією про сертифікати періодично синхронізується із зовнішньою БД Mozilla. Для скорочення розміру БД застосовуються каскадні фільтри Блума - ймовірнісна структура, що допускає помилкове визначення відсутнього елемента, але виключає пропуск існуючого елемента. Наприклад, дані про 100 млн. сертифікатів упаковуються в структуру розміром близько 1 МБ.

  У порівнянні з зверненням до засвідчувального центу з використанням протоколу OCSP (Online Certificate Status Protocol), застосування CRLite не тільки прибирає затримки на відправку мережного запиту, але і підвищує конфіденційність (при використанні OCSP браузер відправляє запит при будь-якому зверненні до сайтів, тобто він фактично залежність від доступності OCSP-серверів (атакуючий може здійснити DDoS-атаку на OCSP-сервер для блокування обробки запитів).

• Додано захист від маніпуляцій, що ускладнюють навігацію з використанням кнопок «назад» і «вперед», через засмічення історії відвідувань фіктивними записами, створеними за допомогою API History. Суть захисту зводиться до ігнорування записів, не пов'язаних з діями користувача, під час обробки натискань на кнопки «назад» та «вперед».
• У збірки для Linux и macOS добавлена опция для закрытия только текущей вкладки, а не всех вкладок, после нажатия клавиатурной комбинации для выхода из приложения (Alt + F4).
• Зі сторінки з налаштуваннями приватності (about:preferences#privacy) прибрано опцію для відправки сайтам HTTP-заголовка «Do Not Track» («DNT»). Заголовок DNT інформує сайти про небажання користувача передавати на зберігання відомості, які можуть використовуватися для відстеження переміщень та переваг. Заголовок DNT не є обов'язковим та ігнорується багатьма сайтами. Замість DNT рекомендується використовувати механізм GPC (Global Privacy Control), який інформує сайти про заборону продажу персональних даних та використання даних для відстеження поведінки чи переміщення користувача. На відміну від DNT, виконання вимог GPC є обов'язковим з точки зору чинного закону CCPA (California Consumer Privacy Act).
• Операцій контекстного меню "Copy Without Site Tracking" перейменована на "Copy Clean Link" і розширена можливістю використання для голих URL у тексті (без гіперпосилань). Операція дозволяє скопіювати URL-адресу вибраного посилання в буфер обміну, попередньо вирізавши з нього параметри, які використовуються для відстеження переходів між сайтами.
• В адресному рядку реалізована можливість пошуку імен груп вкладок та переходу до знайдених груп. Пошук охоплює серед іншого закриті та збережені групи.
• Для сжатия сборок Firefox для платформы Linux задействован формат XZ, который по сравнению с форматом bz2 позволил сократить размер загружаемых данных в среднем на 25% и уменьшить время распаковки более чем в два раза.
• Для HTTP/3 додана підтримка гібридного алгоритму обміну ключами «mlkem768x25519», стійкого до підбору на квантовому комп'ютері і комбінації з X25519 ECDH і алгоритму ML-KEM (CRYSTALS-Kyber), минулого року стандартизованого Національним інститутом стандартів. ML-KEM використовує методи криптографії, засновані на вирішенні завдань теорії ґрат, час вирішення яких не відрізняється на звичайних та квантових комп'ютерах.
• В атрибутах інтерфейсу PointerEvent, що визначають координати покажчика, реалізовано передачу нецілих значень. Зміна дозволяє обробляти події з більшою точністю у ситуаціях, коли цільовий елемент перетворено через CSS або коли збільшено масштаб видимої області (viewport).
• p align="justify"> Поведінка подій mouseenter, mouseleave, pointerenter і pointerleave змінено для відповідності специфікації.
• В API WebAuthn доданий метод getClientCapabilities().
• В інструментах для веб-розробників забезпечено виведення попередження при використанні властивості «content-visibility» з елементами, до яких не застосовується обмеження розміру.
• У web-консоль додано команду «$$$», призначену для пошуку на сторінках з урахуванням вмісту тіньового DOM.
• Розширено можливості для налагодження WebExtension-доповнень: налагоджено роботу точок зупинки у скриптах обробки контенту та забезпечено відображення Worker-ів при виборі контексту на панелі Console.
• У версії для Android добавлена опция, включающая автоматическую отправку в Mozilla отчётов об аварийном завершении браузера, без подтверждения пользователя.

Крім нововведень та виправлення помилок у Firefox 135 усунуто 19 уразливостей. 13 уразливостей, помічені як небезпечні, викликані проблемами роботи з пам'яттю, такими як переповнення буферів та звернення до звільнених областей пам'яті. Потенційно дані проблеми можуть призвести до виконання коду зловмисника при відкритті спеціально оформлених сторінок.

В бета-версии Firefox 136 в сборках для платформы Linux включено использование аппаратного ускорения декодирования видео на системах с GPU AMD. Включён по умолчанию режим HTTPS-First, при котором обращения по «http://» заменяются на «https://», как при переходе по ссылке или наборе URL, так и при загрузке субресурсов, таких как изображения, скрипты и таблицы стилей. Добавлена поддержка отправки и приёма видео в формате AV1 через WebRTC.

Джерело: opennet.ru