Mozilla Firefox

[студент]

Mozilla Firefox

Mozilla обвинила Microsoft в неуважении к миллионам пользователей

Открыть спойлер TVSAT

Компания Mozilla обвинила Microsoft в том, что последняя вообще не проявляет уважение к предпочтениям пользователей. Связано это с новой операционной системой Windows 10. В платформе по умолчанию установлен новейший браузер Microsoft Edge, и хотя при желании пользователь может выбрать другое приложение, будь то Chrome или Firefox, этот процесс, по мнению Mozilla, излишне усложнен. Компания опубликовала на своем сайте открытое письмо к Microsoft, в котором объясняет свою позицию.

Microsoft Edge (кодовое название - Project Spartan) - новый браузер от компании Microsoft, призванный заменить Internet Explorer. Войдет в состав Windows 10 параллельно с Internet Explorer, который останется для сохранения обратной совместимости корпоративных приложений.

Компанию Mozilla не устраивает то, что при обновлении до Windows 10 не учитывается то, какой браузер пользователь предпочитал ранее. Более того, компания сообщает, что ранее уже обсуждала этот вопрос с командой разработчиков Microsoft, однако, очевидно, компромисса достичь не удалось.

Во-вторых, компания считает, что процесс смены браузера, используемого по умолчанию, сложен и не понятен интуитивно. Mozilla даже подготовила подробное руководство для тех, у кого не получается это сделать. Глава Mozilla Крис Бирд называет такую стратегию Microsoft агрессивной: «Эти изменения вызывают у нас беспокойство не потому, что мы - организация, создающая Firefox. Они вызывают беспокойство потому, что выбор миллионов пользователей, любящих Windows, игнорируется, а если пользователи делают выбор, отличный от предпочтений Microsoft, то сталкиваются со сложностями».

Десктопная версия Windows 10 начала загружаться на компьютеры 29 июля. Файлы, необходимые для обновления старых операционных систем до версии Windows 10, уже устанавливаются у некоторых пользователей. Пользователи, зарезервировавшие копию для обновления операционной системы обратили внимание, что на жестком диске появился каталог C:$windows.~BT, в котором расположены установочные файлы дистрибутива Windows 10. Ранее Microsoft уточняла, что не все пользователи, зарезервировавшие копию Windows 10, смогут обновиться именно 29 июля – компания планирует проводить обновление операционной системы несколькими волнами. После того, как пользователь получит сообщение об окончательной загрузке операционной системы, он сможет запустить процедуру обновления в любое удобное время.

Одновременно появилась информация о том, что с 29 июля под управлением Windows 10 уже работает свыше 14 млн компьютеров.

Недавно число участников программы Windows Insider превысило 5 млн человек, из чего следует, что примерно для 9 млн пользователей это первое знакомство с Windows 10. По словам представителей Microsoft, еще не все получили ранее зарезервированную копию новой операционной системы. Обновление происходит волнами, поэтому некоторым владельцам ПК на базе Windows 7 и Windows 8/8.1 придется подождать своей очереди от пары дней до нескольких недель.

Участники бета-тестирования также получат возможность бесплатного обновления до Windows 10. Для этого на компьютере должна быть установлена сборка операционной системы с номером 10130, а пользователю необходимо подключить свою учетную запись Microsoft. Поскольку программа Windows Insider продолжит свою работу после релиза RTM-версии, ее участникам придется испытывать на себе все новые функции Windows 10, даже если те могут привести к нестабильной работе компьютера.

Приведенная статистика выглядит обнадеживающе. Пользователи проявляют живой интерес к Windows 10, и такая тенденция не может не радовать производителей компьютеров. В то же время, запуск операционной системы прошел не без проблем - сложности с установкой драйверов и нестабильная работа некоторых приложений заставили часть обновившихся вернуться к предыдущим версиям Windows.

Тем временем в Microsoft сообщили, что для компаний бесплатный пробный период использования Windows 10 Enterprise составляет 90 дней.

Новая операционная система создана для работы на смартфонах, планшетах, настольных компьютерах, 84-дюймовом тачскрине Surface Hub для компаний, очках дополненной реальности HoloLens и носимых устройствах. При этом приложения для устройства на Windows 10 с одним размером экрана будет работать на устройстве с другим размером дисплея на Windows 10. В новую версию ОС включат новый браузер Edge, стандартные приложения, помощника Cortana, и другие обновления.

[mr.distryanov]

Вышел релиз Firefox 74: отключение TLS 1.0 и TLS 1.1, изоляция сайтов и не только



Mozilla выпустила обновлённую версию браузера Firefox 74 для десктопных ОС, а также новую мобильную версию Firefox 68.6 для Android. Это обновление сосредоточено на повышении безопасности и конфиденциальности.

В 74-й сборке для всех пользователей США сделали доступной функцию DNS over HTTPS. На выбор доступны провайдеры CloudFlare (по умолчанию) и NextDNS. Также разработчики отключили поддержку протоколов TLS 1.0 и TLS 1.1. Теперь для включения защищённого канала связи нужен TLS 1.2.

Также в новой версии добавили механизм изоляции RLBox для защиты от уязвимостей в сторонних библиотеках. Пока что он работает для библиотеки Graphite, отвечающей за отрисовку шрифтов. Защита работает за счёт того, что библиотека пересобирается в WebAssembly-модуль, а тот работает лишь в разрешённой ему зоне памяти.

Помимо этого, добавлена изоляция сайтов с помощью контейнеров. Расширение Facebook Container автоматически блокирует размещаемые на сторонних сайтах виджеты социальных сетей. Это позволяет использовать их, но при этом изолирует их от других открытых сайтов, затрудняя идентификацию пользователя.

Также появилось дополнение Multi-Account Containers, которое позволяет «загонять» в контейнеры разные данные, не создавая отдельных профилей.

Наконец, в 74-й версии прекратили поддержку дополнений, которые устанавливаются обходным путём и не привязаны к пользовательским профилям. Это позволяет защитить браузер от автоматически устанавливаемых дополнений с рекламой.

[студент]

дополнено:

Релиз Firefox 74
10.03.2020 18:27

Состоялся релиз web-браузера Firefox 74, а также мобильной версии Firefox 68.6 для платформы Android. Кроме того, сформировано обновление ветки с длительным сроком поддержки 68.6.0. В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 75, релиз которой намечен на 7 апреля (проект перешёл на 4-5-недельный цикл разработки). Для бета-ветки Firefox 75 началось формирование сборок для Linux в формате Flatpak.

Основные новшества:

В сборках для Linux задействован механизм изоляции RLBox, нацеленный на блокирование эксплуатации уязвимостей в сторонних библиотеках функций. На данном этапе изоляция включена только для библиотеки Graphite, отвечающей за отрисовку шрифтов. RLBox выполняет компиляцию C/C++ кода изолируемой библиотеки в низкоуровневый промежуточный код WebAssembly, который затем оформляется в виде WebAssembly-модуля, полномочия которого задаются в привязке только к этому модулю. Собранный модуль работает в отдельной области памяти и не имеет доступа к остальному адресному пространству. В случае эксплуатации уязвимости в библиотеке атакующий будет ограничен и не сможет обратиться к областям памяти основного процесса или передать управление вне изолированного окружения.

Режим DNS поверх HTTPS (DoH, DNS over HTTPS) включён по умолчанию для пользователей из США. В качестве DNS-провайдера по умолчанию предлагается CloudFlare (mozilla.cloudflare-dns.com занесён в списки блокировки Роскомнадзора), а в качестве опции доступен NextDNS. Изменить провайдера или включить DoH в странах, отличных от США, можно в настройках сетевого соединения. Подробнее о DoH в Firefox можно прочитать в отдельном анонсе.



Отключена поддержка протоколов TLS 1.0 и TLS 1.1. Для обращения к сайтам по защищённому каналу связи сервер должен предоставить поддержку как минимум TLS 1.2. По данным Google в настоящее время около 0.5% загрузок web-страниц продолжает осуществляться с использованием устаревших версий TLS. Отключение произведено в соответствии с рекомендациями IETF (Internet Engineering Task Force). Причиной отказа от поддержки TLS 1.0/1.1 является отсутствие поддержки современных шифров (например ECDHE и AEAD) и требование поддержки старых шифров, надёжность которых на современном этапе развития вычислительной техники поставлена под сомнение (например, требуется поддержка TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, для проверки целостности и аутентификации используется MD5 и SHA-1). При попытке использования TLS 1.0 и TLS 1.1 начиная с Firefox 74 будет выводиться ошибка. Вернуть возможность работы с устаревшими версиями TLS можно через настройку security.tls.version.enable-deprecated = true или при помощи кнопки на странице с ошибкой, выводимой при заходе на сайт со старым протоколом.



В примечании к выпуску рекомендовано дополнение Facebook Container, которое автоматически блокирует размещаемые на сторонних сайтах виджеты Facebook, применяемые для аутентификации, отправки комментариев и лайков. Параметры идентификации Facebook изолируются в отдельном контейнере, затрудняя отождествление пользователя с посещаемыми сайтами. Возможность работы с основным сайтом Facebook сохраняется, но производится его изоляция от остальных сайтов.

Для более гибкой изоляции произвольных сайтов предлагается дополнение Multi-Account Containers с реализацией концепции контекстных контейнеров. Контейнеры предоставляют возможность изоляции различных типов контента без создания отдельных профилей, что позволяет отделить между собой информацию отдельных групп страниц. Например, можно создать отдельные, изолированные друг от друга, области для персонального общения, работы, покупок и банковских операций или организовать одновременное использование разных аккаунтов пользователя на одном сайте. В каждом контейнере используются отдельные хранилища для Cookies, Local Storage API, indexedDB, кэша и содержимого OriginAttributes.

В about:config добавлена настройка "browser.tabs.allowTabDetach", позволяющая запретить отсоединение вкладок в новые окна. Случайное отсоединение вкладки является одной из самых раздражающих недоработок Firefox, устранения которой добивались 9 лет. Браузер позволяет мышью перетащить вкладку в новое окно, но при определённом стечении обстоятельств вкладка отсоединяется в отдельное окно и в процессе работы при неосторожном движении мыши во время клика на вкладку.

Прекращена поддержки дополнений, устанавливаемых обходным путём и не привязанных к пользовательским профилям. Изменение касается только установки дополнений в общие каталоги (/usr/lib/mozilla/extensions/, /usr/share/mozilla/extensions/ или ~/.mozilla/extensions/), обрабатываемые всеми экземплярами Firefox в системе (без привязки к пользователю). Подобный метод обычно применяется для предустановки дополнений в дистрибутивах, для непрошенной подстановки вместе со сторонними приложениями, для интеграции вредоносных дополнений или для обособленной поставки дополнения со своим инсталлятором. В Firefox 73 ранее принудительно установленные дополнения были автоматически перенесены из общего каталога в индивидуальные профили пользователей и теперь могут быть удалены через штатный менеджер дополнений.

Во входящем в состав браузера системном дополнении Lockwise, предлагающем интерфейс "about:logins" для управления сохранёнными паролями, появилась поддержка сортировки в обратном порядке (от Z к A).

В WebRTC повышена защита от утечки сведений о внутреннем IP-адресе во время голосовых и видеовызовов при помощи механизма "mDNS ICE", скрывающем локальный адрес за динамически генерируемым случайным идентификатором, определяемым через Multicast DNS.

Изменено расположение переключателя режима просмотра "картинка в картинке", который перекрывал кнопку перехода к следующему изображению в интерфейсе пакетной загрузки фотографий в Instagram.


В JavaScript добавлен оператор "?.", предназначенный для единовременной проверки всей цепочки свойств или вызовов. Например, указав "db?.user?.name?.length" теперь можно обратиться к значению "db.user.name.length" без предварительных проверок. Если какой-то элемент обработан как null или undefined на выходе будет выдано значение "undefined".
Прекращена поддержка на сайтах и в дополнениях метода Object.toSource() и глобальной функции uneval().
Добавлено новое событие languagechange_even и связанное с ним свойство onlanguagechange, которые позволяют вызвать обработчик при смене пользователем языка интерфейса.
Включена обработка HTTP-заголовка Cross-Origin-Resource-Policy (CORP), позволяющего сайтам запретить вставку ресурсов (например, изображений и скриптов), загружаемых с других доменов (cross-origin и cross-site). Заголовок может принимать два значения: "same-origin" (разрешает только запросы ресурсов с той же схемой, именем хоста и номером порта) и "same-site" (разрешает только запросы с того же сайта).

Cross-Origin-Resource-Policy: same-site

Включён по умолчанию HTTP-заголовок Feature-Policy, позволяющий управлять поведением API и включением определённых возможностей (например, можно отключить доступ к Geolocation API, камере, микрофону, переходу на полный экран, автовоспроизведению, encrypted-media, анимации, Payment API, синхронному режиму работы XMLHttpRequest и т.п.). Для блоков iframe отдельно предложен атрибут "allow", который может применяться в коде страницы для назначения прав для определённых блоков iframe.

<iframe src="https://example.com" allow="fullscreen"></iframe>

Feature-Policy: microphone 'none'; geolocation 'none'

В случае разрешения сайтом через атрибут "allow" работы с ресурсом для определённого iframe, и поступлении запроса из iframe на получения полномочий для работы с этим ресурсом, браузер теперь выводит диалог предоставления полномочий в контексте основной страницы и делегирует подтверждённые пользователем права в iframe (вместо отдельного подтверждения для iframe и основной страницы). Но, если основная страница не имеет полномочий на ресурс, запрошенный через атрибут allow, доступ для iframe к ресурсу сразу блокируется, без вывода диалога пользователю.

Включена по умолчанию поддержка CSS-свойства 'text-underline-position', определяющее позицию подчёркивания текста (например, при вертикальном отображении текста можно организовать подчёркивание слева или справа, а при горизонтальном не только снизу, но и сверху). Дополнительно в управляющих стилем подчёркивания CSS-свойствах text-underline-offset и text-decoration-thickness добавлена поддержка использования значений в процентах.

В CSS-свойстве outline-style, определяющем стиль линии вокруг элементов, по умолчанию разрешено использование значения "auto" (ранее было отключено из-за проблем в GNOME).

В отладчик JavaScript добавлена возможность отладки вложенных Web Worker-ов, выполнение которых может быть приостановлено и пошагово отлажено с применением точек останова.



В интерфейсе для инспектирования web-страниц обеспечено отображение предупреждений для CSS-свойств, зависящих от позиционируемых элементов z-index, top, left, bottom и right.



Для Windows и macOS реализована возможность импорта профилей из браузера Microsoft Edge на базе движка Chromium.

Кроме новшеств и исправления ошибок в Firefox 74 устранено 20 уязвимостей, из которых 10 (собраны под CVE-2020-6814 и CVE-2020-6815) помечены как потенциально способные привести к выполнению кода злоумышленника при открытии специально оформленных страниц. Напомним, что проблемы с памятью, такие как переполнения буферов и обращение к уже освобождённым областям памяти, с недавних пор помечаются как опасные, но не критические.

[mr.distryanov]

Firefox 76 для Linux получит аппаратное ускорение всех форматов видео

Разработчики браузера Firefox вовсю готовятся к релизу Firefox 76, где ожидается появление ускорения видео с помощью GPU. Для этого планируется использовать VA-API, который будет функционировать на Wayland.

На данный момент поддержка аппаратного ускорения есть только для видео, сжатого кодеком H.264, но в версии Firefox 76 она расширится на все существующие форматы видеокодеков. Например, недавно Мартин Странский (Martin Stránský) из компании Red Hat добавил поддержку декодирования VP9-видео с помощью VA-API.

Если всё пойдёт нормально, то релиз 76-й версии стоит ожидать примерно 5 мая. Впрочем, не исключены и коррекции.

Также отметим, что в 77-й сборке, намеченной на 2 июня, поддержка FTP будет по умолчанию отключена, но в about:config её всё ещё можно будет вернуть с помощью флага network.ftp.enabled. В ESR-сборках Firefox 78 поддержка FTP по умолчанию останется активной, а с 2021 года планируется полностью удалить связанный с FTP код.

Причиной отказа от протокола называют его незащищённость и большой ряд уязвимостей. В качестве замены поддержки FTP разработчики планируют использовать внешние приложения для обработки URL.

[mr.distryanov]

Браузер Mozilla Firefox лишится поддержки протокола FTP

Разработчики из компании Mozilla объявили о намерении убрать поддержку протокола FTP из своего браузера Firefox. Это означает, что в будущем пользователи популярного интернет-обозревателя не смогут загружать файлы и просматривать содержимое каких-либо ресурсов по протоколу FTP.



«Мы делаем это из соображений безопасности. FTP – это небезопасный протокол, и нет причин делать его более предпочтительным для загрузки файлов, чем HTTPS. Кроме того, часть кода FTP очень стара, небезопасна и достаточно сложна в обслуживании. В прошлом нам удалось обнаружить в этом коде немало уязвимых мест», — прокомментировал данный вопрос инженер-программист Mozilla Corporation Михал Новотны (Michal Novotny).

Согласно имеющимся данным, Mozilla лишит свой браузер поддержки FTP с выходом Firefox 77, что должно произойти в июне этого года. Стоит отметить, что у пользователей останется возможность загрузки файлов по FTP. Для этого им придётся самостоятельно включать поддержку протокола в меню настроек обозревателя, которое открывается, если в адресной строке ввести about:config. Но в будущем разработчики полностью уберут поддержку FTP из браузера. Ожидается, что это произойдёт в первой половине 2021 года. После этого пользователи Firefox не смогут использовать протокол FTP.

Стоит отметить, что ранее о намерении избавиться от поддержки протокола FTP объявили разработчики браузера Chrome. Представители Google сообщили об этом ещё в августе прошлого года. Поддержка FTP по умолчанию будет отключена в Chrome 81, выпуск которого задерживается из-за вспышки коронавируса, а уже в следующей после этого версии браузер полностью перестанет поддерживать FTP.

[студент]

Mozilla возвращает поддержку TLS 1.0/1.1 в Firefox
21.03.2020 21:05

Компания Mozilla приняла решение временно вернуть поддержку протоколов TLS 1.0/1.1, которые были отключены по умолчанию в Firefox 74. Поддержка TLS 1.0/1.1 будет возвращена без выпуска новой версии Firefox через систему экспериментов, применяемых для пробных внедрений новых возможностей. В качестве причины упоминаются то, что из-за пандемии коронавируса SARS-CoV-2 люди вынуждены работать из дома и не могут получить доступ к некоторым важным государственным сайтам, которые до сих пор не поддерживают TLS 1.2.

Напомним, что в Firefox 74 для обращения к сайтам по защищённому каналу связи сервер должен предоставить поддержку как минимум TLS 1.2. Отключение произведено в соответствии с рекомендациями IETF (Internet Engineering Task Force). Причиной отказа от поддержки TLS 1.0/1.1 является отсутствие поддержки современных шифров (например ECDHE и AEAD) и требование поддержки старых шифров, надёжность которых на современном этапе развития вычислительной техники поставлена под сомнение (например, требуется поддержка TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, для проверки целостности и аутентификации используется MD5 и SHA-1). Возможность работы с устаревшими версиями TLS определяется через настройку security.tls.version.enable-deprecated в about:config.

[mr.distryanov]

В Firefox 76 появится режим работы только по HTTPS


В ночные сборки Firefox, на основе которых 5 мая будет сформирован релиз Firefox 76, добавлен опциональный режим работы "HTTPS Only", при включении которого все выполняемые без шифрования обращения будут автоматически перенаправляться на защищённые варианты страниц ("http://" заменяется на "https://"). Для включения режима в about:config добавлена настройка "dom.security.https_only_mode".

Замена будет производиться как на уровне загружаемых на страницах ресурсов, так и при вводе в адресной строке. Новый режим решает проблему с открытием по умолчанию страниц с использованием "http://", без возможности поменять данное поведение. Несмотря на большую работу по продвижению HTTPS в браузерах, при наборе домена в адресной строке без указания протокола по умолчанию до сих пор продолжает использоваться "http://". Предложенная настройка меняет данное поведение, а также включает автоматическую замену на "https://" при явном вводе адреса с "http://".

Если обращение к первичным страницам (ввод домена в адресной строке) по https:// завершается таймаутом, пользователю будет показана страница с ошибкой, на которой будет присутствовать кнопка для выполнения запроса по http://. В случае сбоев при загрузке по "https://" cубресурсов, загружаемых при обработке страницы, подобные сбои будут игнорироваться, но в web-консоль будут выводиться предупреждения, которые можно посмотреть через инструменты для web-разработчика.

В Chrome также ведётся работа по блокировке незащищённой загрузки субресурсов. Например, в выпуске Chrome 81 ожидалась активация нового режима защиты от загрузки смешанного мультимедийного контента (когда на HTTPS-странице загружаются ресурсы по протоколу http://). На страницах, открытых по HTTPS, автоматически будут заменяться ссылки "http://" на "https://" при загрузке изображений (в Chrome 80 была добавлена замена для скриптов, iframe, звуковых и видео файлов). В будущих выпусках Chrome также намечен переход к блокировке загрузки файлов по HTTP.

[студент]

Mozilla тестирует сервис финансирования сайтов, продвигаемый как альтернатива рекламе
25.03.2020 12:31

В рамках программы Test Pilot компания Mozilla предложила пользователям Firefox протестировать новый сервис "Firefox Better Web with Scroll", экспериментирующий с альтернативными видами финансирования сайтов. Тестирование доступно только для пользователей настольных версий Firefox из США. Для подключения используется единая учётная запись Firefox, также применяемая для синхронизации. Для участия требуется установка в Firefox специального дополнения.

Основная идея проекта - использование платной подписки на сервис для финансирования создания контента, что позволяет владельцам сайтов обойтись без показа рекламы. Сервис организован совместно с проектом Scroll, развивающим модель, похожую на реализованную в браузере Brave - пользователь оплачивает подписку на сервис ($2.49 в месяц) и имеет возможность просмотра сайтов, присоединившихся к инициативе Scroll, без рекламных вставок. До 70% полученных от пользователей средств распределяется между владельцами сайтов-партнёров, в пропорции, соответствующей времени, проведённому подписанными на сервис пользователями на каждом сайте (данные о том, сколько времени проведено на сайтах сервис Scroll собирает при помощи JavaScript-кода, размещаемого на сайтах-партнёрах).

[mr.distryanov]

Twitter обнаружил баг в браузере Firefox, связанный с кешированием личных данных пользователей

Сегодня компания Twitter сообщила о баге в Mozilla Firefox: приватная информация о пользователе непреднамеренно хранится в папке кеша браузера целых семь дней. В браузерах Safari или Chrome такой угрозы безопасности данных нет.



На сайте сервиса микроблогов говорится, что Firefox кешировал эти временные файлы даже после того, как пользователь вышел из системы или закрыл Twitter. В наихудшем сценарии это позволяет злоумышленнику получить доступ к личной информации. Это может произойти, например, если пользователь вошел в Twitter с помощью общедоступного компьютера через Firefox и загрузил данные из Twitter или отправил мультимедийный файл через личные сообщения (Direct Message).

Компания Twitter говорит, что уже исправила проблему, внеся изменения в свой сервис, чтобы браузер Firefox не мог хранить личную информацию пользователей в своём кеше. Официально в компании отреагировали так: «Нам очень жаль, что это произошло. Мы признаём и ценим доверие, которое вы нам оказываете, и стремимся зарабатывать это доверие каждый день».

Twitter также предупреждает пользователей, использующих общедоступные рабочие места, о необходимости очищать кеш браузера перед выходом из системы.

[mr.distryanov]

В браузере Mozilla Firefox устранены две уязвимости нулевого дня

Разработчики компании Mozilla выпустили новые версии веб-обозревателей Firefox 74.0.1 и Firefox ESR 68.6.1. Пользователям рекомендуется обновить свои браузеры, поскольку в представленных версиях исправлены две уязвимости нулевого дня, которые используются хакерами на практике.

Речь идёт об уязвимостях CVE-2020-6819 и CVE-2020-6820, связанных с тем, как Firefox управляет своим пространством памяти. Они представляют собой так называемые уязвимости использования памяти после высвобождения и позволяют хакерам размещать произвольный код в памяти Firefox для дальнейшего его выполнения в контексте браузера. Такие уязвимости могут использоваться для удалённого выполнения кода на устройствах жертвы.

Подробная информация о реальных атаках с использованием упомянутых уязвимостей не раскрывается, что является обычной практикой среди поставщиков программного обеспечения и исследователей в сфере информационной безопасности. Это связано с тем, что все они обычно ориентируются на оперативное устранение обнаруженных проблем и доставку исправлений пользователям, а уже после этого осуществляется более детальное расследование атак.

Согласно имеющимся данным, расследование атак с использованием этих уязвимостей Mozilla будет проводить совместно с ИБ-компанией JMP Security и исследователем Франциско Алонсо (Francisco Alonso), который первым и обнаружил проблему. Исследователь предполагает, что устранённые в последнем обновлении Firefox уязвимости могут затрагивать другие браузеры, хотя случаев, когда ошибки эксплуатировались хакерами в разных веб-обозревателях, неизвестны.

[mr.distryanov]

Митчелл Бейкер заняла пост руководителя Mozilla Corporation



Митчелл Бейкер (Mitchell Baker), председатель совета директоров Mozilla Corporation и лидер Mozilla Foundation, утверждена советом директоров на пост руководителя (CEO) компании Mozilla Corporation. Должность руководителя оставалась вакантной с августа прошлого года, после ухода Криса Бирда (Chris Beard).

В течение восьми месяцев компания пыталась нанять на должность CEO внешнего кандадита, но после ряда собеседований совет директоров пришёл к заключению, что Митчелл Бейкер в настоящее время больше всего подходит на пост лидера. Стратегический план Mozilla продолжает фокусироваться на развитие и продвижении Firefox, но также охватывает и инвестирование в инновации, нацеленные на решение крупнейших проблем, стоящих перед Интернетом.

[mr.distryanov]

Mozilla увеличивает вознаграждения за баги в Firefox

Программа вознаграждения за обнаруженные уязвимости существует у Mozilla с 2004 года. В период с 2017 по 2019 год организация выплатила исследователям около миллиона долларов за 350 различных багов. Хотя средняя сумма награды за этот период составляет приблизительно 2700 долларов, наиболее часто присуждаемая сумма вознаграждения равняется 4000 долларов.


В конце 2019 года, в честь пятнадцатилетия браузера Firefox, Mozilla уже расширяла свою программу bug bounty, распространив ее на целый ряд новых сайтов и сервисов. Тогда выплаты за удаленное выполнение кода на критически важных сайтах были увеличены сразу втрое – до 15 000 долларов США.

Теперь же представители Mozilla сообщили, что в bug bounty вновь вносят приятные для исследователей изменения.

Так, отныне за обнаружение наиболее критических уязвимостей исследователи смогут получить до 10 000 долларов (если описание проблемы будет сопровождаться высококачественным отчетом). К таким уязвимостями относятся, к примеру, побег из песочницы или выполнение произвольного кода.

Другие серьезные проблемы, такие как нарушение целостности информации в памяти, обход same origin, приводящий к утечке пользовательских данных, и получение IP-адреса пользователя при настроенном прокси-сервере, теперь могут принести исследователям от 3000 до 5000 долларов.

Кроме того, Mozilla сообщает, что теперь багхантеры могут сообщать об один и тех же уязвимостях (независимо друг от друга), и никто не останется обиженным. Дело в том, что это весьма распространенная проблема среди исследователей: эксперты внимательно изучают сборки Firefox Nightly, и нередко несколько человек обнаруживают одни и те же уязвимости с разницей всего в нескольких часов. Теперь в Mozilla решили, что вознаграждение за такие ошибки будет делиться между всеми исследователями, которые сообщили о проблеме в течение 72 часов после подачи первого багрепорта.

[mr.distryanov]

Mozilla тестирует сервис анонимных email-адресов Firefox Private Relay

Компания Mozilla развивает сервис Firefox Private Relay, дающий возможность генерировать временные почтовые адреса для прохождения регистрации на сайтах, чтобы не афишировать свой реальный адрес. При помощи дополнения в один клик можно получить уникальный анонимный псевдоним, письма на который будут перенаправлены на реальный адрес пользователя. Для использования сервиса предлагается установить дополнение, которое в случае запроса email в web-форме будет предлагать кнопку для генерации нового email-псевдонима.

Сгенерированный email можно использовать для входа на сайты или в приложения, а также для подписок. Для каждого сайта можно сгенерировать отдельный псевдоним и в случае поступления спама станет ясно какой ресурс является источником утечки. В любой момент можно деактивировать полученный email и не получать больше сообщений через него. Кроме того, в случае взлома сервиса или утечки базы пользователей, злоумышленники не смогут связать указанный при регистрации email с фактическим адресом электронной почты пользователя.

[студент]

Корректирующее обновление Firefox 77.0.1


Опубликовано корректирующее обновление Firefox 77.0.1, в котором отключён автоматический выбор провайдера DNS over HTTPS (DoH) в процессе тестирования для последующего постепенного включения, чтобы не создавать пиковую нагрузку на провайдеров DoH. Реализованная в Firefox 77 тестовая проверка DoH с отправкой 10 пробных запросов каждым клиентом превратилось в подобие DDoS-атаки на сервис NextDNS, который не справился с нагрузкой.

[mr.distryanov]

Mozilla запустит собственный VPN-сервис в ближайшие недели

Организация Mozilla сообщает, что ее VPN-сервис наконец будет запущен официально, и произойдет это в ближайшие несколько недель.

Продукт был переименован и теперь называется не Firefox Private Network, а Mozilla VPN, и смена названия, по сути, связана со сменой курса разработки. Дело в том, что Mozilla решила отказаться от идеи создания VPN-расширения для Firefox и перешла к разработке полноценного VPN-клиента, способного справляться с трафиком всей ОС, включая другие браузеры.

В настоящее время сервис доступен для Windows, Chromebook, Android, iOS и Firefox, но в планах у разработчиков создание Mac-клиента и решения для Linux, которые хотят представить одновременно.

Когда Mozilla VPN выйдет из беты, сервис будет доступен только для пользователей из США. Запустить VPN в других странах и регионах обещают до конца текущего года.

Что касается стоимости, производитель заявил, что пока, в течение ограниченного периода времени, продолжит предлагать Mozilla VPN по текущим ценам, что позволит защищать до пяти устройств на Windows, Android и iOS по цене 4,99 долларов США в месяц.

Напомню, что проект Mozilla VPN стартовал осенью прошлого года. Бета-версия была доступна только для жителей США, но Mozilla сообщает, что пользователи более чем из 200 стран мира тоже зарегистрировались в списке ожидания.

VPN организации работает путем маршрутизации трафика через сеть доверенных прокси. Так, расширение для браузера использует серверы Cloudflare, тогда как полноценный VPN полагается в работе на серверы Mullvad и опенсорсный протокол WireGuard VPN, ранее в этом году добавленный в ядро ​​Linux.

После запуска бета-версии сервиса в прошлом году Mozilla столкнулась со множеством вопросов о том, как сервис будет работать. Теперь разработчики запустили специальные страницы FAQ и поддержки, как для расширения, так и для полнофункционального VPN, где пользователи могут найти ответы.

[студент]

Chrome, Firefox и Safari ограничат время жизни TLS-сертификатов 13 месяцами
28.06.2020 21:17

Разработчики проекта Chromium внесли изменение, прекращающее доверие к TLS-сертификатам, время жизни которых превышает 398 дней (13 месяцев). Компании Apple и Mozilla ранее приняли решение ввести аналогичное ограничение в Safari и Firefox. Ограничение будет действовать только для сертификатов, выписанных начиная с 1 сентября 2020 года. Для полученных до 1 сентября сертификатов с длительным сроком действия доверие будет сохранено, но ограничено 825 днями (2.2 года). Попытка открытия в браузере сайта с сертификатом, не соответствующим упомянутым критериям, будет приводить к отображению ошибки "ERR_CERT_VALIDITY_TOO_LONG".

В прошлом и позапрошлом годах изменение было выставлено на голосование участниками ассоциации CA/Browser Forum, которая используется как площадка для согласования совместных решений производителями браузеров и удостоверяющими центрами. Ранее производителям браузеров удалось отстоять сокращение времени жизни сертификатов вначале до 8, затем до 5, а потом и до 3 лет. В 2018 году была предпринята попытка сокращения действия до года, но, в конечном счёте, было утверждено компромиссное решение и срок был ограничен двумя годами. В прошлом году попытка повторилась, но решение по ограничению срока действия сертификатов до одного года не было утверждено из-за несогласия большинства удостоверяющих центров. В феврале 2020 года компания Apple решила ввести ограничения без согласования в CA/Browser Forum, в марте к инициативе присоединилась компания Mozilla, а теперь и Google.

Изменение может негативно отразиться на бизнесе удостоверяющих центров, продающих дешёвые сертификаты с длительным сроком действия, доходящим до 5 лет. По мнению производителей браузеров генерация подобных сертификатов создаёт дополнительные угрозы безопасности, мешает оперативному внедрению новых криптостандартов и позволяет злоумышленникам длительное время контролировать трафик жертвы или использовать для фишинга в случае незаметной утечки сертификата в результате взлома.