Mozilla Firefox

[Friend]

В Firefox 67.0.4 и 60.7.2 устранена ещё одна 0-day уязвимость :

Следом за выпусками Firefox 67.0.3 и 60.7.1 опубликованы дополнительные корректирующие релизы 67.0.4 и 60.7.2, в которых устранена вторая 0-day уязвимость (CVE-2019-11708), позволяющая обойти механизм sandbox-изоляции. Проблема использует манипуляцию с IPC-вызовом Prompt:Open для открытия в родительском процессе, в котором не применяется sandbox, web-контента, выбранного дочерним процессом. В сочетании с другой уязвимостью данная проблема позволяет обойти все уровни защиты и организовать выполнение кода в системе.

Выявленные в последних двух выпусках Firefox уязвимости до своего исправления были использованы для организации атаки на сотрудников биржи криптовалют Coinbase, а также применялись для распространения вредоносного ПО для платформы macOS. Утверждается, что информация о первой уязвимости была направлена в Mozilla участником проекта Google Project Zero ещё 15 апреля и 10 июня была исправлена в бета-версии Firefox 68 (вероятно атакующие проанализировали опубликованное исправление и подготовили эксплоит, воспользовавшись ещё одной уязвимостью для обхода sandbox-изоляции).

 

[sputnikk]

 

 

Firefox 67.0.4

через день делают. Что значит надо держать план выхода новой версии, вместо выпуска только после полного глубокого тестирования

[Friend]

В Firefox 68 будет предложена новая реализация адресной строки :

 

В Firefox 68, выпуск которого намечен на 9 июля, вместо Awesome Bar планируется включить новую реализацию адресной строки - Quantum Bar. С точки зрения пользователя, за небольшими исключениями, всё осталось как раньше, но внутренности полностью переделаны и код переписан с заменой XUL/XBL на стандартный Web API.

Новая реализация существенно упрощает процесс расширения функциональности (поддерживается создание дополнений в формате WebExtensions), снимает жёсткие привязки к подсистемам браузера, позволяет легко подключать новые источники данных, обладает более высокой производительностью и отзывчивостью интерфейса. Из заметных изменений в поведении отмечается только необходимость использования комбинаций Shift+Del или Shift+BackSpace (раньше работало без Shift) для удаления записей истории просмотра из результата выводимой при начале ввода подсказки.

В дальнейшем ожидается процесс постепенной модернизации оформления адресной строки. Уже доступны макеты, в которых отражены некоторые идеи по дальнейшему развитию. В основном изменения касаются оттачивания мелочей и удобства работы. Например, предлагается при фокусе увеличивать размер адресной строки с выводом подсказок по мере ввода в блоке подогнанном под этот размер, без использования всей ширины экрана.

В предлагаемых по мере ввода результатах поиска планируется выделять не введённый пользователем текст, а предлагаемую часть поискового запроса. Firefox также будет запоминать состояния адресной строки при вводе и возвращать его после смещения фокуса вне адресной строки (например, список рекомендаций раньше терялся после временного переходе к другой вкладке, а сейчас будет восстанавливаться при возвращении). Для пиктограмм дополнительных поисковых движков предлагается добавить всплывающие пояснения.

На будущее также запланировано несколько экспериментов для оценки целесообразности реализации некоторых новых идей:

• Отображение при активации адресной строки (до начала ввода) 8 самых популярных сайтов из Activity Stream;
• Замена поисковых кнопок-переключателей на ярлыки для открытия поисковой системы;
• Удаление отдельной строки поиска из страниц Activity Stream и стартового экрана приватного режима;
• Вывод контекстных подсказок по работе с адресной строкой;
• Перехват специфичных для Firefox поисковых запросов для вывода пояснений по функциональности браузера.

 

 

[Friend]

Firefox продолжает терять пользовательскую аудиторию:

Согласно представленным Net Applications сведениям, в апреле 2019 года Firefox был задействован на 10,2 % компьютеров с подключением к глобальной сети. В мае этот показатель сократился до 9,5 %, а в прошлом месяце — приблизился к 8,9 процента. Налицо отрицательная динамика, свидетельствующая о том, что сейчас проект Mozilla переживает не лучшие времена.

Лидером на рынке десктопных браузеров на протяжении многих лет продолжает оставаться Google Chrome, рыночная доля которого в июне достигла внушительных 66,3 %. Вторую строчку в рейтинге по количеству аудитории удерживает (пока ещё) упомянутый выше Firefox, третью — Internet Explorer (7,3 %), на четвертой позиции с долей рынка 6 % фигурирует Edge.

Ранее, напомним, Mozilla представила новый логотип для браузера Firefox и связанных с ним сервисов, а также анонсировала появление платных услуг под названием Firefox Premium. Вот только помогут ли все эти меры «огненному лису» нарастить аудиторию — большой вопрос.

 

[Friend]

В Великобритании Firefox не будет использовать DNS-over-HTTPS из-за претензий в обходе блокировок :

 

Компания Mozilla не планирует включать по умолчанию поддержку DNS-over-HTTPS для пользователей из Великобритании из-за давления со стороны Ассоциации провайдеров Великобритании (UK ISPA) и организации Internet Watch Foundation (IWF). Тем не менее, Mozilla работает над поиском потенциальных партнёров для более широкого применения технологии DNS-over-HTTPS в других странах Европы. Несколько дней назад организация UK ISPA номинировала Mozilla на звание "Злодей Интернета" в связи с работой по внедрению DNS-over-HTTPS.

Mozilla рассматривает DNS-over-HTTPS (DoH) как инструмент для обеспечения приватности и безопасности пользователей, который исключает утечки сведений о запрашиваемых именах хостов через DNS-серверы провайдеров, позволяет бороться с MITM-атаками и подменой DNS-трафика, противостоит блокировкам на уровне DNS и позволят работать в случае невозможности прямого обращения к DNS-серверам (например, при работе через прокси). Если в обычной ситуации DNS-запросы напрямую отправляются на определённые в конфигурации системы DNS-серверы, то в случае DoH запрос на определение IP-адреса хоста инкапсулируется в трафик HTTPS и отправляется в шифрованном виде на один из централизованных DoH-серверов, минуя DNS-серверы провайдера.

С позиции UK ISPA протокол DNS-over-HTTPS наоборот угрожает безопасности пользователей и разрушает принятые в Великобритании стандарты интернет-безопасности, так как упрощает обход блокировок и фильтров, устанавливаемых провайдерами в соответствии с требованиями регулирующих органов Великобритании или при организации систем родительского контроля. Во многих случаях подобные блокировки выполняются через фильтрацию запросов DNS и использование DNS-over-HTTP сводит на нет эффективность данных систем.

 

 

[Friend]

Релиз Firefox 68 :

 

Представлен релиз web-браузера Firefox 68, а также мобильной версии Firefox 68 для платформы Android. Выпуск отнесён к категории веток с длительным сроком поддержки (ESR), обновления для которых выпускаются в течение года. Кроме того, сформировано обновление прошлой ветки с длительным сроком поддержки 60.8.0. В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 69, релиз которой намечен на 3 сентября.

Основные новшества:

• Включён по умолчанию новый менеджер дополнений (about:addons), полностью переписанный с использованием HTML/JavaScript и стандартных web-технологий в рамках инициативы по избавлению браузера от компонентов на базе XUL и XBL. В новом интерфейсе для каждого дополнения в форме вкладок обеспечена возможность просмотра полного описания, изменения настроек и управления правами доступа, не покидая основную страницу со списком дополнений.

  Вместо отдельных кнопок управления активацией дополнений предложено контекстное меню. Отключенные дополнения теперь явно отделены от активных и перечислены в отдельной секции.

  

  Добавлена новая секция с рекомендуемыми для установки дополнениями, состав которой выбирается в зависимости от установленных дополнений, настроек и статистики по работе пользователя. Дополнения принимаются в список контекстных рекомендаций только если они удовлетворяют требованиям Mozilla в области безопасности, полезности и удобства работы, а также качественно и эффективно решают актуальные задачи, интересные широкой аудитории. Предлагаемые дополнения проходят полное рецензирование безопасности каждого обновления;

  
• Добавлена кнопка для отправки в Mozilla сообщений о проблемах с дополнениями и темами оформления. Например, через преложенную форму можно предупредить разработчиков при выявлении вредоносной активности, возникновением проблем с отображением сайтов из-за дополнения, не соответствии заявленной функциональности, появления дополнения без действий пользователя или проблемах со стабильностью и производительностью.
• Включена новая реализация адресной строки Quantum Bar, которая внешне и по своим возможностям практически идентична старой адресной строке Awesome Bar, но отличается полной переработкой внутренностей и переписыванием кода с заменой XUL/XBL на стандартный Web API. Новая реализация существенно упрощает процесс расширения функциональности (поддерживается создание дополнений в формате WebExtensions), снимает жёсткие привязки к подсистемам браузера, позволяет легко подключать новые источники данных, обладает более высокой производительностью и отзывчивостью интерфейса. Из заметных изменений в поведении отмечается только необходимость использования комбинаций Shift+Del или Shift+BackSpace (раньше работало без Shift) для удаления записей истории просмотра из результата выводимой при начале ввода подсказки;
• Реализована полноценная тёмная тема для режима читателя (reader view), при включении которой все элементы оформления окна и панели также отображаются в тёмных оттенках (ранее переключение тёмного и светлого режима в Reader View касалось только области с текстовым содержимым);
• В строгом режиме блокировки нежелательного контента (strict), помимо всех известных систем отслеживания перемещений и всех сторонних Cookie теперь также блокируются JavaScript-вставки, осуществляющие майнинг криптовалют или отслеживающие пользователей с помощью методов скрытой идентификации. Ранее данные блокировки включались через явный выбор в настраиваемом режиме блокировки. Блокировка осуществляется по дополнительным категориям (fingerprinting и cryptomining) в списке Disconnect.me;
• Продолжено поэтапное включение системы композитинга Servo WebRender, написанной на языке Rust и выносящей на сторону GPU операции отрисовки содержимого страницы. При использовании WebRender вместо встроенной в движок Gecko системы композитинга, обрабатывающей данные при помощи CPU, для выполнения операций сводной отрисовки элементов страницы используются шейдеры, выполняемые в GPU, что позволяет добиться существенного увеличения скорости отрисовки и снизить нагрузку на CPU.

  Помимо пользователей с видеокартами NVIDIA начиная с Firefox 68 поддержка WebRender будет активирована для систем на базе Windows 10 с видеокартами AMD. Проверить активацию WebRender можно на странице about:support. Для принудительного включения в about:config следует активировать настройки "gfx.webrender.all" и "gfx.webrender.enabled" или запустив Firefox с выставленной переменной окружения MOZ_WEBRENDER=1. В Linux поддержка WebRender более-менее стабилизирована для видеокарт Intel c драйверами Mesa 18.2+;

• В меню "гамбургер" в правой части панели с адресной строкой добавлена секция для быстрого доступа к настойкам учётной записи в Firefox Account;
• Добавлена новая встроенная страница "about:compat", на которой перечислены обходные пути и патчи, применяемые для обеспечения совместимости с отдельными сайтами, которые некорректно работают в Firefox. Вносимые для совместимости изменения в простейших случаях ограничиваются сменой идентификатора "User Agent", если сайт жестко привязывается к определённым браузерам. В более сложных ситуациях в контексте сайта запускается JavaScript-код, исправляющий проблемы с совместимостью;
• Из-за потенциальных проблем со стабильностью при переводе браузера в однопроцессный режим работы, при котором формирование интерфейса и обработка содержимого вкладок производится в одном процессе, из about:config удалены настройки "browser.tabs.remote.force-enable" и "browser.tabs.remote.force-disable", которые можно было использовать для отключения многопроцессного режима работы (e10s). Кроме того, установка значения "false" в опции "browser.tabs.remote.autostart" теперь не будет автоматически приводить к отключению многопроцессного режима на настольных версиях Firefox, в официальных сборках и при запуске без включения режима выполнения автоматизированных тестов;
• Реализован второй этап расширения числа вызовов API, которые доступны только при открытии страницы в защищённом контексте (Secure Context), т.е. при открытии по HTTPS, через localhost или из локального файла. Для страниц, открытых вне защищённого контекста, теперь будут блокироваться запросы к вызову getUserMedia() для получения доступа к источникам мультимедийных данных (например, камере и микрофону);
• Обеспечена автоматическая обработка ошибок при доступе по HTTPS, возникающих из-за активности антивирусного ПО. Проблемы проявляются при включении в антивирусах Avast, AVG, Kaspersky, ESET и Bitdefender модуля защиты Web, который анализирует HTTPS-трафик через подстановку своего сертификата в список корневых сертификатов Windows и подмену на него изначально используемых сертификатов сайтов. Firеfox использует собственный список корневых сертификатов и игнорирует системный список сертификатов, поэтому воспринимает подобную активность как MITM-атаку.

  Проблема решена через автоматическое включение настройки "security.enterprise_roots.enabled", при которой дополнительно импортируются сертификаты из системного хранилища. В случае использования сертификата из системного хранилища, а не встроенного в Firefox, в вызываемом из адресном строки меню с информацией о сайте добавлен специальный индикатор. Настройка автоматически включается при определении MITM-перехвата, после чего браузер пытается заново установить соединение и если проблема исчезла - настройка сохраняется. Утверждается, что подобная манипуляция не представляет угрозы, так как в случае компрометации системного хранилища сертификатов, атакующий может скомпрометировать и хранилище сертификатов Firefox (не учитываются возможная подстановка сертификатов производителей оборудования, которые могут применяться для осуществления MITM, но блокируются при использовании хранилища сертификатов Firefox);

• Открываемые в браузере локальные файлы теперь не смогут обращаться к другим файлам в текущем каталоге (например, при открытии в Firefox на платформе Android присланного по почте html-документа, JavaScript-вставка в данном документе могла просмотреть содержимого каталога с другими сохранёнными файлами);
• Изменён метод синхронизации настроек, изменённых через интерфейс about:config. Синхронизируются теперь только настройки, присутствующие в белом списке, который определён в секции "services.sync.prefs.sync". Например, для синхронизации параметра browser.some_preference требуется выставить в true значение "services.sync.prefs.sync.browser.some_preference". Для разрешения синхронизации всех настоек предусмотрен параметр "services.sync.prefs.dangerously_allow_arbitrary", который отключен по умолчанию;
• Реализована техника борьбы с назойливыми запросами на предоставление сайту дополнительных полномочий на отправку push-уведомлений (доступ к Notifications API). Отныне подобные запросы будут молча блокироваться, если не зафиксировано явное взаимодействие пользователя со страницей (клик мышью или нажатие клавиш);
• В окружении для предприятий (Firefox for Enterprise) добавлена поддержка дополнительных политик кастомизации браузера для сотрудников. Например, администратор теперь может добавить в меню раздел для связи с локальной службой поддержки, добавить ссылки на интранет-ресурсы на страницу открытия новой вкладки, отключить контекстные рекомендации при поиске, добавить ссылки на локальные файлы, настроить поведение при загрузке файлов, определить белый и чёрный списки допустимых и недопустимых дополнений, активировать определённые настройки;
• Решена проблема, которая могла привести к пропаданию настроек (повреждению файла prefs.js) при экстренном завершении процесса (например, при выключении питания без завершения работы или при крахе браузера);
  
   
• Добавлена поддержка Scroll Snap, набора CSS-свойств scroll-snap-*, позволяющих управлять точкой остановки ползунка при прокрутке и выравниванием сдвигаемого содержимого, а также выполнять привязку к элементам при инерционной прокрутке. Например, можно настроить прокрутку со сдвигом по границам изображения или с центрированием картинки;
• В JavaScript реализован новый числовой тип BigInt, позволяющий хранить целые числа произвольного размера, для которых недостаточно типа Numbers (например, идентификаторы и значения точного времени раньше приходилось хранить в виде строк);
• Добавлена возможность передачи опции "noreferrer" при вызове window.open() для блокирования утечки сведений о Referrer при открытии ссылки в новом окне;
• Добавлена возможность использования метода .decode() с HTMLImageElement для загрузки и декодирования элементов до их добавления в DOM. Например, данная возможность может применяться для упрощения мгновенной замены компактных изображений-заглушек на догружаемые позднее варианты с высоким разрешением, так как даёт возможность узнать о готовности браузера целиком отобразить новое изображение.
• В средствах для разработчиков реализованы инструменты для аудита контрастности текстовых элементов, которые можно использовать для выявления элементов, некорректно воспринимаемых людьми с ослабленным зрением или нарушенным восприятием цветов;
• В режим инспектирования добавлена кнопка для эмуляции вывода на печать, позволяющая определить элементы, которые могут оказаться невидимыми при печати;
• В web-консоли расширена информация, выводимая вместе с предупреждениями о проблемах с CSS. В том числе добавлена ссылка на соответствующие узлы. В консоли также реализована возможность фильтрации вывода с использованием регулярных выражений (например, "/(foo|bar)/");
• В редакторе шрифтов добавлена возможность корректировки расстояния между буквами;
• В режиме инспектирования хранилища добавлена возможность удаления записей из локального и сессионного хранилищ через выбор соответствующих элементов и нажатие клавиши Back Space;
• В панели инспектирования сетевой активности добавлена возможность блокирования определённых URL, повторной отправки запроса и копирования в буфер обмена HTTP-заголовков в формате JSON. Новые возможности доступны через выбор соответствующих опций в контекстном меню, выводимом при клике правой кнопкой мыши;
• Во встроенном отладчике появилась функция поиска во всех файлах текущего проекта через нажатие Shift + Ctrl + F;
• Изменена настройка для включения отображения системных дополнений: в about:debugging вместо devtools.aboutdebugging.showSystemAddons теперь предложен параметр devtools.aboutdebugging.showHiddenAddons;
• При установке в Windows 10 обеспечено размещение ярлыка в панели задач. В Windows также добавлена возможность использования сервиса BITS (Background Intelligent Transfer Service) для продолжения загрузки обновлений, даже если браузер был закрыт;
• В версии для Android увеличена производительность отрисовки. Добавлен API WebAuthn (Web Authentication API) для подключения к сайту с использованием аппаратного токена или сенсора отпечатков пальцев. Добавлен API Visual Viewport через который можно определить фактическую видимую область с учётом отображения экранной клавиатуры или масштабирования. В новых установках прекращена автоматическая загрузка плагина Cisco OpenH264 для WebRTC.

Кроме новшеств и исправления ошибок в Firefox 68 устранена серия уязвимостей, из которых несколько помечены как критические, т.е. могут привести к выполнению кода злоумышленника при открытии специально оформленных страниц. В настоящее время информация с подробностями об исправленных проблемах безопасности недоступна, ожидается, что перечень уязвимостей будет опубликован в течение нескольких часов.

Firefox 68 стал последним выпуском, вместе с которым сформировано обновление классической редакции Firefox для Android. Начиная с Firefox 69, который ожидается 3 сентября, новые релизы Firefox для Android выпускаться не будут, а исправления будут поставляться в форме обновлений ESR-ветки Firefox 68. На смену классического Firefox для Android придёт новый браузер для мобильных устройств, развиваемый в рамках проекта Fenix и использующий движок GeckoView и набор библиотек Mozilla Android Components. В настоящее время под именем Firefox Preview для тестирования уже предложен первый предварительный выпуск нового браузера (сегодня опубликовано корректирующее обновление 1.0.1 данного предварительного выпуска, но оно ещё не размещено в Google Play).

 

 

[Friend]

Mozilla заблокировала сертификаты удостоверяющего центра DarkMatter :

 

Компания Mozilla поместила промежуточные сертификаты удостоверяющего центра DarkMatter в список отозванных сертификатов (OneCRL), использование которых приводит к выводу предупреждения в браузере Firefox.

Сертификаты заблокированы после четырёхмесячного разбора заявки DarkMatter на включение в поддерживаемый Mozilla список корневых сертификатов. До сих пор доверие к DarkMatter обеспечивалось промежуточными сертификатами, заверенными действующим удостоверяющим центром QuoVadis, но корневой сертификат DarkMatter пока не добавлен в браузеры. Находящийся на рассмотрении запрос DarkMatter на добавление корневого сертификата, а также все новые запросы от DigitalTrust (дочерняя компания DarkMatter, выделенная для ведения бизнеса удостоверяющего центра), рекомендовано отклонить.

В процессе анализа были выявлены проблемы с энтропией при генерации сертификатов и всплыли возможные факты использования сертификатов DarkMatter для организации слежки и перехвата HTTPS-трафика. Сообщения об использовании сертификатов DarkMatter для организации слежки поступили из нескольких независимых источников и, так как выдача сертификатов для подобных целей нарушает требования Mozilla к удостоверяющим центрам, было принято решение заблокировать промежуточные сертификаты DarkMatter.

В январе издание Reuters обнародовало сведения о причастности DarkMatter к операции "Project Raven", проводимой спецсужбами Объединённых Арабских Эмиратов для компрометации учётных записей журналистов, борцов за права человека и иностранных представителей. В ответ компания DarkMatter заявила, что указанная в статье информация не соответствует действительности.

В феврале организация EFF (Electronic Frontier Foundation) призвала Mozilla, Apple, Google и Microsoft не включать в свои корневые хранилища сертификатов DarkMatter и отозвать действующие промежуточные сертификаты. Представители EFF сравнили заявку DarkMatter на добавление в списки корневых сертификатов с попыткой лисы пробраться в курятник.

Аналогичные упоминания причастности DarkMatter к организации слежки позднее были упомянуты в расследовании, проведённом изданием The New York Times. При этом прямых доказательств так и не было представлено, а DarkMatter продолжал отрицать свою причастность к упоминаемым операциям спецслужб. В конечном счёте компания Mozilla взвесив позиции разных сторон пришла к выводу, что поддержание доверия к DarkMatter представляет значительный риск для пользователей.

 

 

[Friend]

Обновление Firefox 68.0.1 :

 

Опубликовано корректирующее обновление Firefox 68.0.1 в котором устранено несколько проблем:

• Сборки для macOS подписаны ключом Apple, позволяющим использовать их в бета-выпусках macOS 10.15;
• Решена проблема с отсутствием кнопки перехода в полноэкранный режим при просмотре видео в полноэкранном режиме HBO GO;
• Исправлена ошибка, приводившая к появлению некорректных сообщений для некоторых локалей при попытке запроса с использованием Storage Access API;
• Решена проблема со сменой поисковой системы по умолчанию в русскоязычных регионах;
• Устранены проблемы с использованием встроенных поисковых движков при использовании некоторых локалей.

 

 

В Firefox 70 страницы открытые по HTTP начнут помечаться как небезопасные :

 

Разработчики Firefox представили план перехода Firefox к пометке всех страниц, открытых по HTTP, индикатором небезопасного соединения. Изменение планируется применить в выпуске Firefox 70, намеченном на 22 октября. В Chrome вывод индикатора, предупреждающего об установке небезопасного соединения, для открытых по HTTP страниц выводится начиная с выпуска Chrome 68, предложенного в июле прошлого года.

В Firefox 70 также планируется убрать кнопку "(i)" из адресной строки, ограничившись постоянным размещением индикатора уровня безопасности соединения, который также позволяет оценить состояние режимов блокировки кода для отслеживания перемещений. Для HTTP будет явно показан значок проблем с безопасностью, который также будет выводиться для FTP и в случаях проблем с сертификатами:

Предполагается, что отображения индикатора небезопасного соединения будет стимулировать владельцев сайтов переходить по умолчанию на HTTPS. По статистике сервиса Firefox Telemetry общемировая доля запросов страниц по HTTPS составляет 78.6% (год назад 70.3%, два года назад 59.7%), а в США - 87.6%. Некоммерческим удостоверяющим центром Let’s Encrypt, контролируемым сообществом и предоставляющим сертификаты безвозмездно всем желающим, выдано 106 млн сертификатов, охватывающих около 174 млн доменов (год назад было охвачено 80 млн доменов).

Переход к пометке HTTP небезопасным является продолжением ранее предпринятых попыток форсирования перехода на HTTPS в Firefox. Например, начиная с выпуска Firefox 51 в браузере был добавлен индикатор проблем с безопасностью, отображаемый в случае обращения без использования HTTPS к страницам, содержащим формы аутентификации. Также началось ограничение доступа к новым Web API - в Firefox 67 для страниц, открытых вне защищённого контекста, запрещён вывод системных уведомлений через API Notifications, а в Firefox 68 при незащищённых обращениях блокируются запросы к вызову getUserMedia() для получения доступа к источникам мультимедийных данных (например, камере и микрофону). В настройки about:config также ранее был добавлен флаг "security.insecure_connection_icon.enabled", позволяющий опционально включить пометку небезопасного соединения для HTTP.

 

 

[Friend]

В Firefox будет проведён эксперимент, связанный с DNS-over-HTTPS:

 

Разработчики Mozilla сообщили о проведении нового исследования в рамках подготовки к внедрению функции обращения к DNS поверх HTTPS (DoH, DNS over HTTPS). В ходе проводимого эксперимента на системах части пользователей релизов Firefox из США будет собрана статистика об использовании систем родительского контроля и корпоративных резолверов. Отказаться от участия в эксперименте можно через страницу "about:studies" (исследование представлено в списке как "Detection Logic for DNS-over-HTTPS").

Для исследования будут собраны обезличенные данные, включающие только счётчики, без указания конкретных адресов и доменов. Для выявления систем родительского контроля будет отправлен запрос на определение имени exampleadultsite.com и если он не совпадёт с фактическим IP, можно считать, что активна блокировка взрослого контента на уровне DNS. Также будут оценены IP-адреса возвращаемые для Google и YouTube, для проверки их подмены на restrict.youtube.com, forcesafesearch.google.com и restrictmoderate.youtube.com.

Для выявления использования внутренних корпоративных резолверов определяемые при открытии сайтов хосты будут проверены на предмет использования нетипичных доменов первого уровня (TLD) и возвращения для них интранет-адресов. Мотивом проведения эксперимента стали опасения, что включение по умолчанию DNS-over-HTTPS может нарушить работу функционирующих через DNS систем родительского контроля, а также создать проблемы для пользователей корпоративных сетей, которые используют DNS-серверы, отдающие сведения о внутренних доменах, не видимых во внешней сети.

Напомним, что DoH может оказаться полезным для исключения утечек сведений о запрашиваемых именах хостов через DNS-серверы провайдеров, борьбы с MITM-атаками и подменой DNS-трафика, противостояния блокировкам на уровне DNS или для организации работы в случае невозможности прямого обращения к DNS-серверам (например, при работе через прокси). Если в обычной ситуации DNS-запросы напрямую отправляются на определённые в конфигурации системы DNS-серверы, то в случае DoH запрос на определение IP-адреса хоста инкапсулируется в трафик HTTPS и отправляется на HTTP-сервер, на котором резолвер обрабатывает запросы через Web API. Существующий стандарт DNSSEC использует шифрование лишь для аутентификации клиента и сервера, но не защищает трафик от перехвата и не гарантирует конфиденциальность запросов.

Для включения DoH в about:config следует изменить значение переменной network.trr.mode, которая поддерживается начиная с Firefox 60. Значение 0 полностью отключает DoH; 1 - используется DNS или DoH, в зависимости от того, что быстрее; 2 - используется DoH по умолчанию, а DNS как запасной вариант; 3 - используется только DoH; 4 - режим зеркалирования при котором DoH и DNS задействованы параллельно. По умолчанию используется DNS-сервер CloudFlare, но его можно изменить через параметр network.trr.uri, например, можно установить "https://dns.google.com/experimental"или "https://9.9.9.9/dns-query".

 

 

[Friend]

В ночные сборки Firefox добавлен режим строгой изоляции страниц :

 

В ночные сборки Firefox, которые лягут в основу выпуска Firefox 70, добавлена поддержка режима строгой изоляции страниц, развиваемого под кодовым именем Fission. При активации нового режима страницы разных сайтов всегда будут размещаться в памяти разных процессов, в каждом из которых применяется своя изолированная песочница (sandbox). При этом разделение по процессам будет осуществляться не по вкладкам, а по доменам, что позволит дополнительно изолировать содержимое внешних скриптов и iframe-блоков. Для включения режима строгой изоляции следует запустить firefox с опцией "--enable-fission" или установить в about:config переменную "fission.autostart=true".

В Firefox 70 также отмечается переход на использование обновлённого логотипа и смена названия с Firefox Quantum на Firefox Browser.

 

 

[znamenka]

Firefox Browser 70: запуск тестирования технологии изоляции сайтов (Project Fission):

Mozilla уже некоторое время занимается интеграцией технологии изоляции веб-сайтов (Project Fission) в Firefox Browser. Цель данных изменений заключается в повышении уровня безопасности за счет изоляции содержимого каждого сайта, открытого в браузере

На данный момент Firefox уже использует многопоточную архитектуру, которая позволяет разделить контент веб-сайтов и связанный с браузером контент с помощью отдельных процессов. Тем не менее, при такой системе несколько сайтов могут совместно использовать один и тот же процесс. Основная цель Project Fission — организовать полную изоляцию сайтов, включая кросс-сайтовые фреймы.

 

Компания Google реализовала изоляцию сайтов в Chrome в 2018 году и сообщила, что данная функция позволяет улучшить безопасность и стабильность браузера. Среди недостатков технологии технологический гигант назвал повышение потребления памяти примерно на 20 процентов.

 

Пользователи Firefox получили возможность активировать Fission еще в сборке Nightly 69 для нужд внутреннего тестирования. Теперь, с выходом Firefox Browser 70 Nightly Mozilla официально «дает зеленый свет» для тестирования новой функции изоляции сайтов.

 

Технология изоляции сайтов по умолчанию отключена в Firefox. Пользователям нужно вручную включить Fission (опция fission.autostart на странице about:config), чтобы испытать новые возможности. После активации функции, Firefox будет загружать любой межсайтовый фрейм в собственном процессе.

 

При включении Fission, каждый межсайтовый фрейм будет загружаться в своем собственном контентном процессе. Фактически, это означает, что в отрисовке каждой вкладки принимают участие множество различных процессов. При наведении курсора на заголовок вкладки с включенным Fission показывается всплывающая подсказка «[F …]», содержащая идентификаторы используемых процессов, что служит визуальным подтверждением сеанса с активным Fission.

 

Вы можете наводить курсор на любую вкладку в Firefox после включения Fission, чтобы посмотреть идентификаторы процессов, используемых Firefox для отображения сайта.

 

Работа над совершенствованием функции изоляции сайтов продолжается. Mozilla предупреждает, что технология Fission будет какое-то время использоваться исключительно для тестирования, а не для повседневного использования, потому что на данном этапе пользователи могут сталкиваться с проблемами стабильности и функциональности из-за имеющихся багов.

 

Пользователи Firefox могут также просмотреть список изолированных процессов браузера на странице about:support в разделе Удалённые процессы.

 

Технология изоляции сайтов позволяет улучшить стабильность и безопасность браузера Firefox ценой повышенного потребления памяти. По всей видимости, потребление памяти возрастет в том же процентном соотношении, что и в Chrome, т.е. примерно на 20 процентов.

 

Отметим, что Mozilla еще не объявила официальную дату релиза данной функции.

 

[Friend]

Обновление Firefox 68.0.2 :

 

Опубликовано корректирующее обновление Firefox 68.0.2 в котором устранено несколько проблем:

• Устранена уязвимость (CVE-2019-11733), позволяющая скопировать сохранённые пароли без ввода мастер-пароля. При использовании в диалоге Saved Logins ('Page Info/ Security/ View Saved Password)' предложенной в контекстном меню опции 'copy password', копирование в буфер обмена осуществляется без необходимости ввода пароля (диалог ввода пароля выводится, но данные копируются в буфер обмена независимо от правильности введённого пароля, при этом требуется, чтобы до этого в рамах текущего сеанса хоть один раз был правильно введён мастер-пароль);
• Решена проблема с загрузкой изображений после перезагрузки страницы (ошибка проявлялась в том числе в Google Maps);
• Исправлена ошибка, приводившая к обрезанию некоторых спецсимволов в конце поискового запроса в адресной строке (например, удалялись знак вопроса и символ "#");
• Разрешено загружать шрифты через URL "file://" при открытии страницы с локального носителя;
• Решена проблема с выводом на печать сообщений из web-приложения Outlook (ранее печатался только заголовок и нижний колонтитул);
• Устранена ошибка, приводящая к сбою при запуске внешних приложений, настроенных как обработчики определённых URI.

В Firefox 70 будет ужесточён вывод уведомлений и внесены ограничения для ftp :

 

В намеченном на 22 октября выпуске Firefox 70 решено запретить вывод запросов на подтверждение полномочий, инициированных из iframe-блоков, загруженных с другого домена (cross-origin). Изменение позволит блокировать некоторые злоупотребления и перейти к модели, при которой полномочия запрашиваются только из первичного для документа домена, который показывается в адресной строке.

Другим заслуживающим внимания изменением в Firefox 70 станет прекращение отрисовки содержимого файлов, загружаемых через ftp. При открытии ресурсов по FTP теперь принудительно будет инициироваться загрузка файла на диск, без учёта типа файла (например, при открытии через ftp перестанут отображаться изображения, README и html-файлы).

Кроме того, в новой версии в адресной строке появится индикатор предоставления доступа к местоположению, который позволит наглядно оценить активность Geolocation API и при необходимости отозвать у сайта право по его использованию. До сих пор индикатор отображался только до предоставления полномочий и в случае отклонения запроса, но исчезал при открытии доступа к Geolocation API. Теперь индикатор будет информировать пользователя о наличии подобного доступа.

 

[Friend]

В Firefox, Chrome и Safari заблокирован внедряемый в Казахстане "национальный сертификат" :

 

Google, Mozilla и Apple объявили о помещении внедряемого в Казахстане "национального сертификата безопасности" в списки отозванных сертификатов. Использование данного корневого сертификата отныне будет приводить к выводу предупреждения о нарушении безопасности в Firefox, Chrome/Chromium и Safari, а также в основанных на их коде производных продуктах.

Напомним, что в июле в Казахстане была предпринята попытка установки государственного контроля за защищённым трафиком к зарубежным сайтам под предлогом защиты пользователей. Абонентам ряда крупных провайдеров было предписано установить на свои компьютеры специальный корневой сертификат, который позволил бы на уровне провайдеров незаметно перехватывать шифрованный трафик и вклиниваться в HTTPS-соединения.

В то же время были зафиксированы попытки применения данного сертификата на практике для подмены трафика к Google, Facebook, Одноклассники, Вконтакте, Twitter, YouTube и других ресурсов. При установке TLS-соединения реальный сертификат целевого сайта подменялся сгенерированным на лету новым сертификатом, который помечался браузером как достоверный, если "национальный сертификат безопасности" был добавлен пользователем в хранилище корневых сертификатов, так как подставной сертификат связан цепочкой доверия с "национальным сертификатом безопасности". Без установки данного сертификата установить защищённое соединение с упомянутыми сайтами не представлялось возможным без применения дополнительных средств, таких как Tor или VPN.

Первые попытки слежки за защищёнными соединениями в Казахстане были предприняты в 2015 году, когда правительство Казахстана попыталось добиться включения корневого сертификата подконтрольного удостоверяющего центра в хранилище корневых сертификатов Mozilla. В ходе аудита был выявлено намерение использовать данный сертификат для слежки за пользователями и заявка была отклонена. Год спустя в Казахстане были приняты поправки к закону «О связи», предписывающие установку сертификата самими пользователями, но на практике форсирование данного сертификата началось только в середине июля 2019 года.

Две недели назад внедрение "национального сертификата безопасности" было отменено с пояснением, что это было лишь тестирование технологии. Провайдерам дано указание прекратить навязывать сертификаты пользователям, но за две недели внедрения сертификат уже успели установить многие казахские пользователи, поэтому потенциальная возможность перехвата трафика не исчезла. Со сворачиванием проекта также возросла опасность попадания связанных с "национальным сертификатом безопасности" ключей шифрования в другие руки в результате утечки данных (сгенерированный сертификат действует до 2024 года).

Навязанный сертификат, от которого невозможно отказаться, нарушает схему проверки удостоверяющих центров, так как сгенерировавший данный сертификат орган не проходил аудит безопасности, не соглашался с требованиями к удостоверяющим центрам и не обязан следовать установленным правилам, т.е. может выдать сертификат для любого сайта любому пользователю под любым предлогом. Mozilla считает, что подобная деятельность подрывает безопасность пользователей и противоречит четвёртому принципу Манифеста Mozilla, который рассматривает безопасность и приватность как основополагающие факторы.

 

 

[Friend]

В Firefox 71 появится новый интерфейс для просмотра TLS-сертификатов :

 

В ночные сборки Firefox добавлена реализация новой служебной страницы "about:certificate", предлагающей расширенный интерфейс для просмотра применяемых для шифрования сертификатов. Реализация интерфейса просмотра сертификатов полностью переписана с использованием JavaScript и стандартных web-технологий, а также приведена в соответствие со стилевым оформлением Firefox Quantum. Если раньше для просмотра сертификатов открывалось отдельное окно, то теперь информация отображается во вкладке в форме, напоминающей дополнение Certainly Something.

Новый режим просмотра опционально станет доступен через страницу about:certificate в выпуске Firefox 70 и будет задействован по умолчанию в Firefox 71 при вызове через "Tools > Page Info > Security > View Certificate". До активации по умолчанию новый интерфейс можно включить через настройку security.aboutcertificate в about:config. Выпуск Firefox 70 намечен на 22 октября, а Firefox 71 на 10 декабря 2019 года.

 

 

[znamenka]

Релиз Firefox 69.Что нового :

Что нового в Firefox 69 Flash Player больше нельзя глобально включить на сайтах  

Mozilla убрала настройку «всегда включать» для Flash контента на веб-сайтах. Хотя пользователи все еще могут воспроизводить Flash-контент с помощью Firefox, настроить автоматический запуск Flash объектов больше не получится.

Кроме того, Firefox больше не будет предлагать опцию «запомнить мое решение» для флеш-контента.

Расширенная защита от отслеживания  

В Firefox 69.0 по умолчанию включены расширенные функции защиты от отслеживания. Теперь Firefox из коробки блокирует куки сторонних трекеров и скрипты криптомайнеров.

В режиме блокировки содержимого «Строгая» теперь также блокируются сборщики цифровых отпечатков.

Улучшенная блокировка автовоспроизведения  

В Firefox 69 была улучшена функция блокировки автоматического воспроизведения мультимедийного контента. Раньше функция поддерживала блокировки автовоспроизведения видео со звуком.

Теперь добавлены новые опции блокировки.

• Откройте страницу about:preferences#privacy.
• Прокрутите страницу до раздела Разрешения.
• Там расположены настройки автовоспроизведения. Выберите Настройки, чтобы открыть меню конфигурации.
• Можно выбрать стандартное поведение для всех сайтов. По умолчанию выполняется блокировка аудио, но можно включить блокировку аудио и видео или разрешить воспроизведение аудио и видео. Эти опции влияют только на контент с автовоспроизведением.

Изменения загрузки userChrome.css и userContent.css  

Firefox по умолчанию больше не будет загружать userChrome.css или userContent.css. Если вы пользуетесь данными файлами настройки, то должны внести изменения в браузер для восстановления функциональности.

• Откройте страницу about:config.
• Подтвердите, что будете осторожны.
• Выполните поиск параметра toolkit.legacyUserProfileCustomizations.stylesheets.
• Установите для него значение True.

Другие улучшения и изменения  

• Обновлена страница новой вкладки для пользователей из США – теперь она содержит больше записей из Pocket.
• Строка User Agent больше не отображает 32-битные версии Firefox, работающие в 64-битных операционных системах.
• Добавлена поддержка расширения HmacSecret для аутентификации на веб-ресурсах через Windows Hello для Windows 10 версии 1903 или выше.
• Добавлена поддержка получения нескольких видеокодеков для улучшения работы конференцсвязи по WebRTC.
• Улучшения производительности в Windows 10. Mozilla сообщает, что Firefox «подсказывает» Windows, какие уровни приоритетов лучше установить для процессов.
• Новый ярлык на панели задач Windows 10.
• Улучшения автономности в MacOS.
• Finder в MacOS отображает ход загрузки.
• Поддержка JIT для устройств ARM64.
• Mozilla начала предоставлять установочные пакеты PKG.