Форум: Новости
Автор: banbot

Опубликовано корректирующее обновление Firefox 68.0.2 в котором устранено несколько проблем:

•    Устранена уязвимость (CVE-2019-11733), позволяющая скопировать сохранённые пароли без ввода мастер-пароля. При использовании в диалоге Saved Logins ('Page Info/ Security/ View Saved Password)' предложенной в контекстном меню опции 'copy password', копирование в буфер обмена осуществляется без необходимости ввода пароля (диалог ввода пароля выводится, но данные копируются в буфер обмена независимо от правильности введённого пароля, при этом требуется, чтобы до этого в рамах текущего сеанса хоть один раз был правильно введён мастер-пароль);
  
•    Решена проблема с загрузкой изображений после перезагрузки страницы (ошибка проявлялась в том числе в  Google Maps);
  
•    Исправлена ошибка, приводившая к обрезанию некоторых спецсимволов в  конце поискового запроса в адресной строке (например, удалялись знак вопроса и символ "#");
  
•    Разрешено загружать шрифты через URL "file://" при открытии страницы с локального носителя;
  
•    Решена проблема с выводом на печать сообщений из web-приложения Outlook (ранее печатался только заголовок и нижний колонтитул);
  
•    Устранена ошибка, приводящая к сбою при запуске внешних приложений, настроенных как обработчики определённых URI.
  

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки

    Android (с Google Play)

        Android (ARMv7, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (ARMv7, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)

   Другие языки

Что нового в Firefox 68 для разработчиков
Примечания к выпуску для Windows, Mac and Linux
Примечания к выпуску для Android

Новость взята с сайта opennet.ru

Опубликовано корректирующее обновление Firefox 68.0.2 в котором устранено несколько проблем:

• Устранена уязвимость (CVE-2019-11733), позволяющая скопировать сохранённые пароли без ввода мастер-пароля. При использовании в диалоге Saved Logins ('Page Info/ Security/ View Saved Password)' предложенной в контекстном меню опции 'copy password', копирование в буфер обмена осуществляется без необходимости ввода пароля (диалог ввода пароля выводится, но данные копируются в буфер обмена независимо от правильности введённого пароля, при этом требуется, чтобы до этого в рамах текущего сеанса хоть один раз был правильно введён мастер-пароль);
• Решена проблема с загрузкой изображений после перезагрузки страницы (ошибка проявлялась в том числе в Google Maps);
• Исправлена ошибка, приводившая к обрезанию некоторых спецсимволов в конце поискового запроса в адресной строке (например, удалялись знак вопроса и символ "#");
• Разрешено загружать шрифты через URL "file://" при открытии страницы с локального носителя;
• Решена проблема с выводом на печать сообщений из web-приложения Outlook (ранее печатался только заголовок и нижний колонтитул);
• Устранена ошибка, приводящая к сбою при запуске внешних приложений, настроенных как обработчики определённых URI.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51284

В намеченном на 22 октября выпуске Firefox 70 решено запретить вывод запросов на подтверждение полномочий, инициированных из iframe-блоков, загруженных с другого домена (cross-origin). Изменение позволит блокировать некоторые злоупотребления и перейти к модели, при которой полномочия запрашиваются только из первичного для документа домена, который показывается в адресной строке.

Другим заслуживающим внимания изменением в Firefox 70 станет прекращение отрисовки содержимого файлов, загружаемых через ftp. При открытии ресурсов по FTP теперь принудительно будет инициироваться загрузка файла на диск, без учёта типа файла (например, при открытии через ftp перестанут отображаться изображения, README и html-файлы).

Кроме того, в новой версии в адресной строке появится индикатор предоставления доступа к местоположению, который позволит наглядно оценить активность Geolocation API и при необходимости отозвать у сайта право по его использованию. До сих пор индикатор отображался только до предоставления полномочий и в случае отклонения запроса, но исчезал при открытии доступа к Geolocation API. Теперь индикатор будет информировать пользователя о наличии подобного доступа.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51281

В выпуске Firefox 70, намеченном на 22 октября, пересмотрены методы отображения протоколов HTTPS и HTTP в адресной строке. Страницы, открытые по HTTP, будут снабжены значком небезопасного подключения, который также будет выводиться для HTTPS в случае проблем с сертификатами. Ссылка для http будет выводиться без указания протокола "http://", но для HTTPS отображение протокола пока оставлено. В адресной строке также больше не будет отображаться информация о компании при использовании на сайте верифицированного EV-сертификата.

Вместо кнопки "(i)" будет показан индикатор уровня безопасности соединения, который позволит оценить состояние режимов блокировки кода для отслеживания перемещений. Цвет символа замка для HTTPS будет заменён с зелёного на серый (вернуть зелёный цвет можно будет через настройку security.secure_connection_icon_color_gray).

В целом наблюдается переход браузеров от положительных индикаторов безопасности к выводу предупреждений о проблемах с безопасностью. Смысл отдельного выделения HTTPS теряется так как в современных реалиях подавляющее большинство запросов обрабатывается с использованием шифрования и воспринимается как данность, а не дополнительная защита. По статистике сервиса Firefox Telemetry общемировая доля запросов страниц по HTTPS составляет 79.27% (год назад 70.3%, два года назад 59.7%), а в США - 87.7%.

Информация об EV-сертификате будет убрана в выпадающее меню. Для возвращения показа сведений об EV-сертификате в адресной строке в about:config добавлена опция "security.identityblock.show_extended_validation". Переработка адресной строки в общем виде повторяет изменения, ранее утверждённые для Chrome, но в Firеfox пока не планируется скрывать по умолчанию поддомен "www" и добавлять механизм Signed HTTP Exchanges (SXG). Напомним, что SXG позволяет владельцу одного сайта при помощи цифровой подписи авторизовать размещения определённых страниц на другом сайте, после чего в случае обращения к этим страницам на втором сайте, браузер будет показывать пользователю URL исходного сайта, несмотря на то, что страница загружена с другого хоста.

Дополнение: Приведённая в начальном варианте новости информация о намерении скрыть "https://" не подтвердилась, но тикет с данным предложением переведён в состояние "task" и добавлен в сводный список задач по изменению отображения HTTPS в адресной строке.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51272

В ночные сборки Firefox, которые лягут в основу выпуска Firefox 70, добавлена поддержка режима строгой изоляции страниц, развиваемого под кодовым именем Fission. При активации нового режима страницы разных сайтов всегда будут размещаться в памяти разных процессов, в каждом из которых применяется своя изолированная песочница (sandbox). При этом разделение по процессам будет осуществляться не по вкладкам, а по доменам, что позволит дополнительно изолировать содержимое внешних скриптов и iframe-блоков. Для включения режима строгой изоляции следует запустить firefox с опцией "--enable-fission" или установить в about:config переменную "fission.autostart=true".

В Firefox 70 также отмечается переход на использование обновлённого логотипа и смена названия с Firefox Quantum на Firefox Browser.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51263

Решил написать о настройке Firefox для Linux. В интернете похожие статьи тоже есть, но в основном они по старым версиям браузера. Радикальных отличий в настройке Firefox для Linux или для Windows нет, однако есть свои особенности.
Читать дальше →

Разработчики Mozilla сообщили о проведении нового исследования в рамках подготовки к внедрению функции обращения к DNS поверх HTTPS (DoH, DNS over HTTPS). В ходе проводимого эксперимента на системах части пользователей релизов Firefox из США будет собрана статистика об использовании систем родительского контроля и корпоративных резолверов. Отказаться от участия в эксперименте можно через страницу "about:studies" (исследование представлено в списке как "Detection Logic for DNS-over-HTTPS").

Для исследования будут собраны обезличенные данные, включающие только счётчики, без указания конкретных адресов и доменов. Для выявления систем родительского контроля будет отправлен запрос на определение имени exampleadultsite.com и если он не совпадёт с фактическим IP, можно считать, что активна блокировка взрослого контента на уровне DNS. Также будут оценены IP-адреса возвращаемые для Google и YouTube, для проверки их подмены на restrict.youtube.com, forcesafesearch.google.com и restrictmoderate.youtube.com.

Для выявления использования внутренних корпоративных резолверов определяемые при открытии сайтов хосты будут проверены на предмет использования нетипичных доменов первого уровня (TLD) и возвращения для них интранет-адресов. Мотивом проведения эксперимента стали опасения, что включение по умолчанию DNS-over-HTTPS может нарушить работу функционирующих через DNS систем родительского контроля, а также создать проблемы для пользователей корпоративных сетей, которые используют DNS-серверы, отдающие сведения о внутренних доменах, не видимых во внешней сети.

Напомним, что DoH может оказаться полезным для исключения утечек сведений о запрашиваемых именах хостов через DNS-серверы провайдеров, борьбы с MITM-атаками и подменой DNS-трафика, противостояния блокировкам на уровне DNS или для организации работы в случае невозможности прямого обращения к DNS-серверам (например, при работе через прокси). Если в обычной ситуации DNS-запросы напрямую отправляются на определённые в конфигурации системы DNS-серверы, то в случае DoH запрос на определение IP-адреса хоста инкапсулируется в трафик HTTPS и отправляется на HTTP-сервер, на котором резолвер обрабатывает запросы через Web API. Существующий стандарт DNSSEC использует шифрование лишь для аутентификации клиента и сервера, но не защищает трафик от перехвата и не гарантирует конфиденциальность запросов.

Для включения DoH в about:config следует изменить значение переменной network.trr.mode, которая поддерживается начиная с Firefox 60. Значение 0 полностью отключает DoH; 1 - используется DNS или DoH, в зависимости от того, что быстрее; 2 - используется DoH по умолчанию, а DNS как запасной вариант; 3 - используется только DoH; 4 - режим зеркалирования при котором DoH и DNS задействованы параллельно. По умолчанию используется DNS-сервер CloudFlare, но его можно изменить через параметр network.trr.uri, например, можно установить "https://dns.google.com/experimental" или "https://9.9.9.9/dns-query".

Источник: http://www.opennet.ru/opennews/art.shtml?num=51204

Компания Mozilla опубликовала новый выпуск продукта WebThings Gateway 0.9, а также обновление библиотек WebThings Framework 0.12, образующих платформу WebThings, предоставляющую компоненты для обеспечения доступа к различным категориям потребительских устройств и использования универсального Web Things API для организации взаимодействия с ними. Наработки проекта распространяются под лицензией MPL 2.0.

Новый выпуск WebThings Gateway примечателен развитием пакетов на основе OpenWrt, которые позволяют использовать беспроводные маршрутизаторы не только для обеспечения сетевого доступа, но и в качестве узлов управления умным домом. В том числе подготовлен собственный дистрибутив на базе OpenWrt с интегрированной поддержкой Things Gateway, предоставляющий унифицированный интерфейс для настройки умного дома и беспроводной точки доступа. Сборки дистрибутива сформированы для открытого маршрутизатора Turris Omnia.

Прошивка на базе OpenWrt предоставляет интерфейс начальной настройки, позволяющий настроить устройство для работы в качестве беспроводной точки доступа или в качестве клиента для подключения к существующей беспроводной сети. Функциональность сборки пока ограничена и она по-прежнему позиционируется как экспериментальная, не способная в полной мере заменить существующие беспроводные маршрутизаторы.

Вторым важным новшеством является реализация поддержки платы Raspberry Pi 4, для которой, как и для других плат Raspberry Pi, подготовлены отдельные сборки на основе дистрибутива Raspbian.

Из функциональных улучшений отмечается реализация нового типа дополнений (Notifier), позволяющих расширить ранее доступную систему отправки сообщений через Push-уведомления в браузере. Notifier позволяет создавать обработчики и задавать правила отправки сообщений через различные каналы связи, например для отправки SMS или Email при срабатывании датчиков движения в доме. Возможно задание приоритета отправляемых уведомлений.

Напомним, что WebThings Gateway представляет собой универсальную прослойку для организации доступа к различным категориям потребительских и IoT-устройств, скрывающую за собой особенности каждой платформы и не требующую использования специфичных для каждого производителя приложений. Код проекта написан на языке JavaScript с использованием серверной платформы Node.js. Для взаимодействия шлюза с IoT-платформами можно использовать протоколы ZigBee и ZWave, WiFi или прямое подключение через GPIO. Прошивки с шлюзом подготовлены для различных моделей Raspberry Pi, также доступны пакеты для OpenWrt и Debian.

Шлюз можно установить на плату Raspberry Pi и получить систему управления умным домом, объединяющую все имеющиеся в доме IoT-устройства и предоставляющую средства для мониторинга и управления ими через Web-интерфейс. Платформа также позволяет создавать дополнительные web-приложения, которые могут взаимодействовать с устройствами через Web Thing API.

Таким образом, вместо установки своего мобильного приложения для каждого типа IoT-устройств, можно использовать единый унифицированный web-интерфейс. Для установки WebThings Gateway достаточно загрузить предоставленную прошивку на SD-карту, открыть в браузере хост "gateway.local", настроить подключение к WiFi, ZigBee или ZWave, найти имеющиеся IoT-устройства, настроить параметры для доступа извне и добавить самые востребованные устройства на домашний экран.

Шлюз поддерживает такие функции, как определение устройств в локальной сети, выбор web-адреса для соединения с устройствами из интернета, создание учётных записей для доступа к web-интерфейсу шлюза, подключение к шлюзу устройств, поддерживающих проприетарные протоколы ZigBee и Z-Wave, удалённое включение и выключение устройств из web-приложения, удалённый мониторинг за состоянием дома и видеонаблюдение. Кроме web-интерфейса и API в шлюзе также реализована экспериментальная поддержка голосового управления, позволяющая распознавать и выполнять голосовые команды (например, "включи свет на кухне").

WebThings Framework предоставляет набор заменяемых компонентов для создания IoT-устройств, которые могут напрямую взаимодействовать c использованием Web Things API. Подобные устройства могут автоматически определяться шлюзами на базе WebThings Gateway или клиентским ПО (используется mDNS) для последующего мониторинга и управления через Web. Реализации серверов для Web Things API подготовлены в форме библиотек на Python, Java, Rust, Arduino и MicroPython.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51178

Форум: Новости
Автор: banbot

Опубликовано корректирующее обновление Firefox 68.0.1 в котором устранено несколько проблем:

•   Сборки для  macOS подписаны ключом Apple, позволяющим использовать их в бета-выпусках macOS 10.15;
  
•   Решена проблема с отсутствием кнопки перехода в полноэкранный режим при просмотре видео в полноэкранном режиме HBO GO;
  
•   Исправлена ошибка, приводившая к появлению некорректных сообщений для некоторых локалей при попытке запроса с использованием Storage Access API;
  
•   Решена проблема со сменой поисковой системы по умолчанию в русскоязычных регионах;
  
•   Устранены проблемы с использованием встроенных поисковых движков при использовании некоторых локалей.
  

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки

Что нового в Firefox 68 для разработчиков
Примечания к выпуску для Windows, Mac and Linux

Новость взята с сайта opennet.ru

Опубликовано корректирующее обновление Firefox 68.0.1 в котором устранено несколько проблем:

• Сборки для macOS подписаны ключом Apple, позволяющим использовать их в бета-выпусках macOS 10.15;
• Решена проблема с отсутствием кнопки перехода в полноэкранный режим при просмотре видео в полноэкранном режиме HBO GO;
• Исправлена ошибка, приводившая к появлению некорректных сообщений для некоторых локалей при попытке запроса с использованием Storage Access API;
• Решена проблема со сменой поисковой системы по умолчанию в русскоязычных регионах;
• Устранены проблемы с использованием встроенных поисковых движков при использовании некоторых локалей.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51121

На проходящей в эти дни в Стокгольме встрече разработчиков Tor отдельная секция посвящена вопросам интеграции Tor и Firefox. Ключевые задачи сводятся к созданию дополнения, обеспечивающего работу через анонимную сеть Tor в штатном Firefox, а также к переносу разработанных для Tor Browser патчей в основной состав Firefox. Для отслеживания состояния переноса патчей подготовлен специальный сайт torpat.ch. Перенесено пока 13 патчей, а для 22 патчей заведены обсуждения в багтрекере Mozilla (всего предложено более сотни патчей).

Основная идея по интеграции с Firefox заключается в использовании Tor при работе в приватном режиме или в создании дополнительного суперприватного режима с Tor. Так как включение поддержки Tor в основой состав Firefox требует большой работы, решено начать с разработки внешнего дополнения. Дополнение будет поставляться через каталог addons.mozilla.org и будет включать кнопку для включения режима работы через Tor. Поставка в форме дополнения позволит оценить общую концепцию того, как может выглядеть встроенная поддержка Tor.

Код для работы с сетью Tor планируется не переписывать на JavaScript, а скомпилировать из Си в представление WebAssembly, что позволит включить все необходимые проверенные компоненты Tor в состав дополнения без привязки к внешним исполняемым файлам и библиотекам. Проброс в Tor будет организован через изменение настроек прокси и использование собственного обработчика в качестве прокси. При переходе в режим работы через Tor дополнение также будет менять некоторые настройки, связанные с безопасностью. В частности, будут применены похожие на Tor Browser настройки, нацеленные на блокирование возможных путей обхода прокси и противостоящие идентификации системы пользователя.

При этом для работы дополнения потребуются расширенные привилегии, выходящие за рамки обычных дополнений на базе API WebExtension и свойственные системным дополнениям (например, дополнение будет напрямую вызывать функции XPCOM). Подобные привилегированные дополнения должны быть заверены цифровой подписью Mozilla, но так как дополнение предлагается развивать совместно с Mozilla и поставлять от имени Mozilla, с получением дополнительных привилегий не должно возникнуть проблем.

Интерфейс Tor-режима пока обсуждается. Например, предлагается при клике на кнопку Tor открывать новое окно с отдельным профилем. В режиме Tor также предлагается полностью запретить отправку запросов по HTTP, так как содержимое незашифрованного трафика может быть перехвачено и модифицировано на выходящих узлах Tor. Защита от подстановки изменений в HTTP трафик через использование NoScript признана недостаточной, поэтому проще ограничить Tor режим только запросами через HTTPS.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51110

Разработчики Firefox представили план перехода Firefox к пометке всех страниц, открытых по HTTP, индикатором небезопасного соединения. Изменение планируется применить в выпуске Firefox 70, намеченном на 22 октября. В Chrome вывод индикатора, предупреждающего об установке небезопасного соединения, для открытых по HTTP страниц выводится начиная с выпуска Chrome 68, предложенного в июле прошлого года.

В Firefox 70 также планируется убрать кнопку "(i)" из адресной строки, ограничившись постоянным размещением индикатора уровня безопасности соединения, который также позволяет оценить состояние режимов блокировки кода для отслеживания перемещений. Для HTTP будет явно показан значок проблем с безопасностью, который также будет выводиться для FTP и в случаях проблем с сертификатами:

Предполагается, что отображения индикатора небезопасного соединения будет стимулировать владельцев сайтов переходить по умолчанию на HTTPS. По статистике сервиса Firefox Telemetry общемировая доля запросов страниц по HTTPS составляет 78.6% (год назад 70.3%, два года назад 59.7%), а в США - 87.6%. Некоммерческим удостоверяющим центром Let’s Encrypt, контролируемым сообществом и предоставляющим сертификаты безвозмездно всем желающим, выдано 106 млн сертификатов, охватывающих около 174 млн доменов (год назад было охвачено 80 млн доменов).

Переход к пометке HTTP небезопасным является продолжением ранее предпринятых попыток форсирования перехода на HTTPS в Firefox. Например, начиная с выпуска Firefox 51 в браузере был добавлен индикатор проблем с безопасностью, отображаемый в случае обращения без использования HTTPS к страницам, содержащим формы аутентификации. Также началось ограничение доступа к новым Web API - в Firefox 67 для страниц, открытых вне защищённого контекста, запрещён вывод системных уведомлений через API Notifications, а в Firefox 68 при незащищённых обращениях блокируются запросы к вызову getUserMedia() для получения доступа к источникам мультимедийных данных (например, камере и микрофону). В настройки about:config также ранее был добавлен флаг "security.insecure_connection_icon.enabled", позволяющий опционально включить пометку небезопасного соединения для HTTP.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51109

В ночных сборках Firefox, на базе которых формируется релиз Firefox 70, включено по умолчанию применение системы композитинга WebRender для видеокарт NVIDIA на Linux-системах с драйвером Nouveau и пакетом Mesa 18.2 или более новой версией. Конфигурации с проприетарными драйверами NVIDIA пока остаются без поддержки WebRender. WebRender для GPU AMD и Intel при использовании Mesa 18+ в ночных сборках был активирован ранее. Также отмечается возобновление поддержки WebGL в ночных сборках Firefox на системах с драйверами Nouveau, которая была случайно отключена в Firefox 68 (сейчас ограничение перенесено только на проприетарный драйвер NVIDIA).

Напомним, что система композитинга WebRender написана на языке Rust и выносит на сторону GPU операции отрисовки содержимого страницы. При использовании WebRender вместо встроенной в движок Gecko системы композитинга, обрабатывающей данные при помощи CPU, для выполнения операций сводной отрисовки элементов страницы используются шейдеры, выполняемые в GPU, что позволяет добиться существенного увеличения скорости отрисовки и снизить нагрузку на CPU.

В стабильных релизах WebRender пока включен только для платформы Windows 10 с видеокартами AMD и NVIDIA. Проверить активацию WebRender можно на странице about:support. Для принудительного включения в about:config следует активировать настройки "gfx.webrender.all" и "gfx.webrender.enabled" или запустив Firefox с выставленной переменной окружения MOZ_WEBRENDER=1.

Дополнительно можно отметить начало тестирования в Firefox 69 Beta и Developer Edition (пока только в сборках для Windows) функции просмотра видео в режиме "картинка в картинке" (Picture-in-Picture), позволяющем отсоединить видео в форме плавающего окна, которое остаётся на виду в процессе навигации в браузере. Для просмотра в данном режиме необходимо нажать на всплывающую подсказку или в контекстном меню, отображаемым при клике на видео правой кнопкой мыши, выбрать "Picture in picture" (в YouTube, который подставляет свой обработчик контекстного меню, следует два раза кликнуть правой кнопкой мыши или кликнуть с нажатой клавишей Shift).

Источник: http://www.opennet.ru/opennews/art.shtml?num=51092

Форум: Новости
Автор: banbot

Доступно обновление почтового клиента Thunderbird 60.8.0. Основные изменения в новой версии:

• Изменено: Календарь: проблемы при редактировании времени события, некоторые из которых связаны с настройкой AM/PM в не-английских локалях.
  
• Исправлено: Уязвимости в системе безопасности.
  

Загрузить:

    • Русская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Английская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Другие языки

Примечания к выпуску

Компания Mozilla поместила промежуточные сертификаты удостоверяющего центра DarkMatter в список отозванных сертификатов (OneCRL), использование которых приводит к выводу предупреждения в браузере Firefox.

Сертификаты заблокированы после четырёхмесячного разбора заявки DarkMatter на включение в поддерживаемый Mozilla список корневых сертификатов. До сих пор доверие к DarkMatter обеспечивалось промежуточными сертификатами, заверенными действующим удостоверяющим центром QuoVadis, но корневой сертификат DarkMatter пока не добавлен в браузеры. Находящийся на рассмотрении запрос DarkMatter на добавление корневого сертификата, а также все новые запросы от DigitalTrust (дочерняя компания DarkMatter, выделенная для ведения бизнеса удостоверяющего центра), рекомендовано отклонить.

В процессе анализа были выявлены проблемы с энтропией при генерации сертификатов и всплыли возможные факты использования сертификатов DarkMatter для организации слежки и перехвата HTTPS-трафика. Сообщения об использовании сертификатов DarkMatter для организации слежки поступили из нескольких независимых источников и, так как выдача сертификатов для подобных целей нарушает требования Mozilla к удостоверяющим центрам, было принято решение заблокировать промежуточные сертификаты DarkMatter.

В январе издание Reuters обнародовало сведения о причастности DarkMatter к операции "Project Raven", проводимой спецсужбами Объединённых Арабских Эмиратов для компрометации учётных записей журналистов, борцов за права человека и иностранных представителей. В ответ компания DarkMatter заявила, что указанная в статье информация не соответствует действительности.

В феврале организация EFF (Electronic Frontier Foundation) призвала Mozilla, Apple, Google и Microsoft не включать в свои корневые хранилища сертификатов DarkMatter и отозвать действующие промежуточные сертификаты. Представители EFF сравнили заявку DarkMatter на добавление в списки корневых сертификатов с попыткой лисы пробраться в курятник.

Аналогичные упоминания причастности DarkMatter к организации слежки позднее были упомянуты в расследовании, проведённом изданием The New York Times. При этом прямых доказательств так и не было представлено, а DarkMatter продолжал отрицать свою причастность к упоминаемым операциям спецслужб. В конечном счёте компания Mozilla взвесив позиции разных сторон пришла к выводу, что поддержание доверия к DarkMatter представляет значительный риск для пользователей.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51065

Форум: Новости
Автор: banbot

Выпущена версия Firefox со статусом длительного срока поддержки, предназначенная для предприятий. Обновления для этой версии будут выпускаться в течение года каждые 6 недель и будут включать в себя устранение серьёзных проблем безопасности и стабильности.

Жизненный цикл Firefox для предприятий с длительным сроком поддержки:

Загрузить Firefox 68 для предприятий с длительным сроком поддержки:

    • Русская версия:
        Windows (32-bit)
        Windows (64-bit)
        Windows (ARM 64-bit)
        Windows MSI (32 бит)
        Windows MSI (64 бит)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Английская версия:
        Windows (32-bit)
        Windows (64-bit)
        Windows (ARM 64-bit)
        Windows MSI (32 бит)
        Windows MSI (64 бит)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Другие языки

Что нового в Firefox 68 для разработчиков
Примечания к выпуску Firefox 68.0.2
Страница Firefox для предприятий с длительным сроком поддержки
Документация по Firefox для предприятий с длительным сроком поддержки

Форум: Новости
Автор: banbot

Представлен релиз web-браузера Firefox 68, а также мобильной версии Firefox 68 для платформы Android. Выпуск отнесён к категории веток с длительным сроком поддержки (ESR), обновления для которых выпускаются в течение года. Кроме того, сформировано обновление прошлой ветки с длительным сроком поддержки 60.8.0. В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 69, релиз которой намечен на 3 сентября.
Основные новшества:

• Включён по умолчанию новый менеджер дополнений (about:addons), полностью переписанный с использованием HTML/JavaScript и стандартных web-технологий в рамках инициативы по избавлению браузера от компонентов на базе XUL и XBL. В новом интерфейсе для каждого дополнения в форме вкладок обеспечена возможность просмотра полного описания, изменения настроек и управления правами доступа, не покидая основную страницу со списком дополнений. Вместо отдельных кнопок управления активацией дополнений предложено контекстное меню. Отключенные дополнения теперь явно отделены от активных и перечислены в отдельной секции.
  
  
  
  
  
  Добавлена новая секция с рекомендуемыми для установки дополнениями, состав которой выбирается в зависимости от установленных дополнений, настроек и статистики по работе пользователя. Дополнения принимаются в список контекстных рекомендаций только если они удовлетворяют требованиям Mozilla в области безопасности, полезности и удобства работы, а также качественно и эффективно решают актуальные задачи, интересные широкой аудитории. Предлагаемые дополнения проходят полное рецензирование безопасности каждого обновления;
  
  
  
  
  
  
• Добавлена кнопка для отправки в Mozilla сообщений о проблемах с дополнениями и темами оформления. Например, через преложенную форму можно предупредить разработчиков при выявлении вредоносной активности, возникновением проблем с отображением сайтов из-за дополнения, не соответствии заявленной функциональности, появления дополнения без действий пользователя или проблемах со стабильностью и производительностью.
  
  
  
  
  
  
• Включена новая реализация адресной строки Quantum Bar, которая внешне и по своим возможностям практически идентична старой адресной строке Awesome Bar, но отличается полной переработкой внутренностей и переписыванием кода с заменой XUL/XBL на стандартный Web API. Новая реализация существенно упрощает процесс расширения функциональности (поддерживается создание дополнений в формате WebExtensions), снимает жёсткие привязки к подсистемам браузера, позволяет легко подключать новые источники данных, обладает более высокой производительностью и отзывчивостью интерфейса. Из заметных изменений в поведении отмечается только необходимость использования комбинаций Shift+Del или Shift+BackSpace (раньше работало без Shift) для удаления записей истории просмотра из результата выводимой при начале ввода подсказки;
  
• Реализована полноценная тёмная тема для режима читателя (reader view), при включении которой все элементы оформления окна и панели также отображаются в тёмных оттенках (ранее переключение тёмного и светлого режима в Reader View касалось только области с текстовым содержимым);
  
  
  
  
  
  
• В строгом режиме блокировки нежелательного контента (strict), помимо всех известных систем отслеживания перемещений и всех сторонних Cookie теперь также блокируются JavaScript-вставки, осуществляющие майнинг криптовалют или отслеживающие пользователей с помощью методов скрытой идентификации. Ранее данные блокировки включались через явный выбор в настраиваемом режиме блокировки. Блокировка осуществляется по дополнительным категориям (fingerprinting и cryptomining) в списке Disconnect.me;
  
• Продолжено поэтапное включение системы композитинга Servo WebRender, написанной на языке Rust и выносящей на сторону GPU операции отрисовки содержимого страницы. При использовании WebRender вместо встроенной в движок Gecko системы композитинга, обрабатывающей данные при помощи CPU, для выполнения операций сводной отрисовки элементов страницы используются шейдеры, выполняемые в GPU, что позволяет добиться существенного увеличения скорости отрисовки и снизить нагрузку на CPU.
  
  Помимо пользователей с видеокартами NVIDIA начиная с Firefox 68 поддержка WebRender будет активирована для систем на базе Windows 10 с видеокартами AMD. Проверить активацию WebRender можно на странице about:support. Для принудительного включения в about:config следует активировать настройки "gfx.webrender.all" и "gfx.webrender.enabled" или запустив Firefox с выставленной переменной окружения MOZ_WEBRENDER=1. В Linux поддержка WebRender более-менее стабилизирована для видеокарт Intel c драйверами Mesa 18.2+;
  
• В меню "гамбургер" в правой части панели с адресной строкой добавлена секция для быстрого доступа к настойкам учётной записи в Firefox Account; In addition to providing color contrast information for individual elements of a page, Firefox now offers a full page color contrast audit that identifies all element on a page that fail color contrast checks.
  
• Добавлена новая встроенная страница "about:compat", на которой перечислены обходные пути и патчи, применяемые для обеспечения совместимости с отдельными сайтами, которые некорректно работают в Firefox. Вносимые для совместимости изменения в простейших случаях ограничиваются сменой идентификатора "User Agent", если сайт жестко привязывается к определённым браузерам. В более сложных ситуациях в контексте сайта запускается JavaScript-код, исправляющий проблемы с совместимостью;
  
  
  
  
  
  
• Из-за потенциальных проблем со стабильностью при переводе браузера в однопроцессный режим работы, при котором формирование интерфейса и обработка содержимого вкладок производится в одном процессе, из about:config удалены настройки "browser.tabs.remote.force-enable" и "browser.tabs.remote.force-disable", который можно было использовать для отключения многопроцессного режима работы (e10s). Кроме того, установка значения "false" в опции "browser.tabs.remote.autostart" не будет автоматически приводить к отключению многопроцессного режима на настольных версиях Firefox, в официальных сборках и при запуске без включения режима выполнения автоматизированных тестов.
  
• Реализован второй этап расширения числа вызовов API, которые доступны только при открытии страницы в защищённом контексте (Secure Context), т.е. при открытии по HTTPS, через localhost или из локального файла. Для страниц, открытых вне защищённого контекста, теперь будут блокироваться запросы к вызову getUserMedia() для получения доступа к источникам мультимедийных данных (например, камере и микрофону);
  
• Обеспечена автоматическая обработка ошибок при доступе по HTTPS, возникающих из-за активности антивирусного ПО. Проблемы проявляются при включении в антивирусах Avast, AVG, Kaspersky, ESET и Bitdefender модуля защиты Web, который анализирует HTTPS-трафик через подстановку своего сертификата в список корневых сертификатов Windows и подмену на него изначально используемых сертификатов сайтов. Firеfox использует собственный список корневых сертификатов и игнорирует системный список сертификатов, поэтому воспринимает подобную активность как MITM-атаку.
  
  Проблема решена через автоматическое включение настройки "security.enterprise_roots.enabled", при которой дополнительно импортируются сертификаты из системного хранилища. В случае использования сертификата из системного хранилища, а не встроенного в Firefox, в вызываемом из адресном строки меню с информацией о сайте добавлен специальный индикатор. Настройка автоматически включается при определении MITM-перехвата, после чего браузер пытается заново установить соединение и если проблема исчезла - настройка сохраняется. Утверждается, что подобная манипуляция не представляет угрозы, так как в случае компрометации системного хранилища сертификатов, атакующий может скомпрометировать и хранилище сертификатов Firefox (не учитываются возможная подстановка сертификатов производителей оборудования, которые могут применяться для осуществления MITM, но блокируются при использовании хранилища сертификатов Firefox).
  
• Открываемые в браузере локальные файлы теперь не смогут обращаться к другим файлам в текущем каталоге (например, при открытии в Firefox на платформе Android присланного по почте html-документа, JavaScript-вставка в данном документе могла просмотреть содержимого каталога с другими сохранёнными файлами);
  
• Изменён метод синхронизации настроек, изменённых через интерфейс about:config. Синхронизируются теперь только настройки, присутствующие в белом списке, который определён в секции "services.sync.prefs.sync". Например, для синхронизации параметра browser.some_preference требуется выставить в true значение "services.sync.prefs.sync.browser.some_preference". Для разрешения синхронизации всех настоек предусмотрен параметр "services.sync.prefs.dangerously_allow_arbitrary";
  
• Добавлен модуль Scroll Snap c реализацией CSS-свойств scroll-snap-*, позволяющих управлять точкой остановки ползунка при прокрутке и выравниванием сдвигаемого содержимого, а также выполнять привязку к элементам при инерционной прокрутке. Например, можно настроить прокрутку со сдвигом по границам изображения или с центрированием картинки;
  
• В JavaScript реализован новый числовой тип BigInt, позволяющий хранить целые числа произвольного размера, для которых недостаточно типа Numbers (например, идентификаторы и значения точного времени раньше приходилось хранить в виде строк);
  
• Добавлена возможность передачи опции "noreferrer" при вызове window.open() для блокирования утечки сведений о Referrer при открытии ссылки в новом окне;
  
• В средствах для разработчиков реализованы инструменты для аудита контрастности текстовых элементов, которые можно использовать для выявления элементов, которые могут некорректно восприниматься людьми с ослабленным зрением или нарушенным восприятием цветов;
  
  
  
  
  
  
• В режим инспектирования добавлена кнопка для эмуляции вывода на печать, позволяющая определить элементы, которые могут оказаться невидимыми при печати;
  
• В web-консоли расширена информация, выводимая вместе с предупреждениями о проблемах с CSS. В том числе добавлена ссылка на соответствующие узлы. В консоли также реализована возможность фильтрации вывода с использованием регулярных выражений (например, "/(foo|bar)/");
  
  
  
  
  
  
• В редакторе шрифтов добавлена возможность корректировки расстояния между буквами;
  
• В панели инспектирования сетевой активности добавлена возможность блокирования определённых запросов через выбор соответствующей опции в контекстном меню, выводимом при клике правой кнопкой мыши;
  
• При установке в Windows 10 обеспечено размещение ярлыка в панели задач. В Windows также добавлена возможность использования сервиса BITS (Background Intelligent Transfer Service) для продолжения загрузки обновлений, даже если браузер был закрыт;
  
• В версии для Android увеличена производительность отрисовки, добавлен API WebAuthn (Web Authentication API) для подключения к сайту с использованием аппаратного токена или сенсора отпечатков пальцев. В новых установках прекращена автоматическая загрузка плагина Cisco OpenH264 для WebRTC.
  

Кроме новшеств и исправления ошибок в Firefox 68 устранена серия уязвимостей, из которых несколько помечены как критические, т.е. могут привести к выполнению кода злоумышленника при открытии специально оформленных страниц. В настоящее время информация с подробностями об исправленных проблемах безопасности недоступна, ожидается, что перечень уязвимостей будет опубликован в течение нескольких часов.

Firefox 68 станет последним выпуском, вместе с которым будет сформировано обновление классической редакции Firefox для Android. Начиная с Firefox 69, который ожидается 3 сентября, новые релизы Firefox для Android выпускаться не будут, а исправления будут поставляться в форме обновлений ESR-ветки Firefox 68. На смену классического Firefox для Android придёт новый браузер для мобильных устройств, развиваемый в рамках проекта Fenix и использующий движок GeckoView и набор библиотек Mozilla Android Components. В настоящее время под именем Firefox Preview, для тестирования уже предложен первый предварительный выпуск нового браузера (сегодня опубликовано корректирующее обновление 1.0.1 данного предварительного выпуска, но оно ещё не размещено в Google Play).

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки
   
    Android (с Google Play)

        Android (ARMv7, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (ARMv7, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)

   Другие языки

Что нового в Firefox 68 для разработчиков
Примечания к выпуску для Windows, Mac and Linux
Примечания к выпуску для Android

Новость взята с сайта opennet.ru

Представлен релиз web-браузера Firefox 68, а также мобильной версии Firefox 68 для платформы Android. Выпуск отнесён к категории веток с длительным сроком поддержки (ESR), обновления для которых выпускаются в течение года. Кроме того, сформировано обновление прошлой ветки с длительным сроком поддержки 60.8.0. В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 69, релиз которой намечен на 3 сентября.

Основные новшества:

• Включён по умолчанию новый менеджер дополнений (about:addons), полностью переписанный с использованием HTML/JavaScript и стандартных web-технологий в рамках инициативы по избавлению браузера от компонентов на базе XUL и XBL. В новом интерфейсе для каждого дополнения в форме вкладок обеспечена возможность просмотра полного описания, изменения настроек и управления правами доступа, не покидая основную страницу со списком дополнений.

  Вместо отдельных кнопок управления активацией дополнений предложено контекстное меню. Отключенные дополнения теперь явно отделены от активных и перечислены в отдельной секции.

  

  Добавлена новая секция с рекомендуемыми для установки дополнениями, состав которой выбирается в зависимости от установленных дополнений, настроек и статистики по работе пользователя. Дополнения принимаются в список контекстных рекомендаций только если они удовлетворяют требованиям Mozilla в области безопасности, полезности и удобства работы, а также качественно и эффективно решают актуальные задачи, интересные широкой аудитории. Предлагаемые дополнения проходят полное рецензирование безопасности каждого обновления;

  
• Добавлена кнопка для отправки в Mozilla сообщений о проблемах с дополнениями и темами оформления. Например, через преложенную форму можно предупредить разработчиков при выявлении вредоносной активности, возникновением проблем с отображением сайтов из-за дополнения, не соответствии заявленной функциональности, появления дополнения без действий пользователя или проблемах со стабильностью и производительностью.
• Включена новая реализация адресной строки Quantum Bar, которая внешне и по своим возможностям практически идентична старой адресной строке Awesome Bar, но отличается полной переработкой внутренностей и переписыванием кода с заменой XUL/XBL на стандартный Web API. Новая реализация существенно упрощает процесс расширения функциональности (поддерживается создание дополнений в формате WebExtensions), снимает жёсткие привязки к подсистемам браузера, позволяет легко подключать новые источники данных, обладает более высокой производительностью и отзывчивостью интерфейса. Из заметных изменений в поведении отмечается только необходимость использования комбинаций Shift+Del или Shift+BackSpace (раньше работало без Shift) для удаления записей истории просмотра из результата выводимой при начале ввода подсказки;
• Реализована полноценная тёмная тема для режима читателя (reader view), при включении которой все элементы оформления окна и панели также отображаются в тёмных оттенках (ранее переключение тёмного и светлого режима в Reader View касалось только области с текстовым содержимым);
• В строгом режиме блокировки нежелательного контента (strict), помимо всех известных систем отслеживания перемещений и всех сторонних Cookie теперь также блокируются JavaScript-вставки, осуществляющие майнинг криптовалют или отслеживающие пользователей с помощью методов скрытой идентификации. Ранее данные блокировки включались через явный выбор в настраиваемом режиме блокировки. Блокировка осуществляется по дополнительным категориям (fingerprinting и cryptomining) в списке Disconnect.me;
• Продолжено поэтапное включение системы композитинга Servo WebRender, написанной на языке Rust и выносящей на сторону GPU операции отрисовки содержимого страницы. При использовании WebRender вместо встроенной в движок Gecko системы композитинга, обрабатывающей данные при помощи CPU, для выполнения операций сводной отрисовки элементов страницы используются шейдеры, выполняемые в GPU, что позволяет добиться существенного увеличения скорости отрисовки и снизить нагрузку на CPU.

  Помимо пользователей с видеокартами NVIDIA начиная с Firefox 68 поддержка WebRender будет активирована для систем на базе Windows 10 с видеокартами AMD. Проверить активацию WebRender можно на странице about:support. Для принудительного включения в about:config следует активировать настройки "gfx.webrender.all" и "gfx.webrender.enabled" или запустив Firefox с выставленной переменной окружения MOZ_WEBRENDER=1. В Linux поддержка WebRender более-менее стабилизирована для видеокарт Intel c драйверами Mesa 18.2+;

• В меню "гамбургер" в правой части панели с адресной строкой добавлена секция для быстрого доступа к настойкам учётной записи в Firefox Account;
• Добавлена новая встроенная страница "about:compat", на которой перечислены обходные пути и патчи, применяемые для обеспечения совместимости с отдельными сайтами, которые некорректно работают в Firefox. Вносимые для совместимости изменения в простейших случаях ограничиваются сменой идентификатора "User Agent", если сайт жестко привязывается к определённым браузерам. В более сложных ситуациях в контексте сайта запускается JavaScript-код, исправляющий проблемы с совместимостью;
• Из-за потенциальных проблем со стабильностью при переводе браузера в однопроцессный режим работы, при котором формирование интерфейса и обработка содержимого вкладок производится в одном процессе, из about:config удалены настройки "browser.tabs.remote.force-enable" и "browser.tabs.remote.force-disable", которые можно было использовать для отключения многопроцессного режима работы (e10s). Кроме того, установка значения "false" в опции "browser.tabs.remote.autostart" теперь не будет автоматически приводить к отключению многопроцессного режима на настольных версиях Firefox, в официальных сборках и при запуске без включения режима выполнения автоматизированных тестов;
• Реализован второй этап расширения числа вызовов API, которые доступны только при открытии страницы в защищённом контексте (Secure Context), т.е. при открытии по HTTPS, через localhost или из локального файла. Для страниц, открытых вне защищённого контекста, теперь будут блокироваться запросы к вызову getUserMedia() для получения доступа к источникам мультимедийных данных (например, камере и микрофону);
• Обеспечена автоматическая обработка ошибок при доступе по HTTPS, возникающих из-за активности антивирусного ПО. Проблемы проявляются при включении в антивирусах Avast, AVG, Kaspersky, ESET и Bitdefender модуля защиты Web, который анализирует HTTPS-трафик через подстановку своего сертификата в список корневых сертификатов Windows и подмену на него изначально используемых сертификатов сайтов. Firеfox использует собственный список корневых сертификатов и игнорирует системный список сертификатов, поэтому воспринимает подобную активность как MITM-атаку.

  Проблема решена через автоматическое включение настройки "security.enterprise_roots.enabled", при которой дополнительно импортируются сертификаты из системного хранилища. В случае использования сертификата из системного хранилища, а не встроенного в Firefox, в вызываемом из адресном строки меню с информацией о сайте добавлен специальный индикатор. Настройка автоматически включается при определении MITM-перехвата, после чего браузер пытается заново установить соединение и если проблема исчезла - настройка сохраняется. Утверждается, что подобная манипуляция не представляет угрозы, так как в случае компрометации системного хранилища сертификатов, атакующий может скомпрометировать и хранилище сертификатов Firefox (не учитываются возможная подстановка сертификатов производителей оборудования, которые могут применяться для осуществления MITM, но блокируются при использовании хранилища сертификатов Firefox);

• Открываемые в браузере локальные файлы теперь не смогут обращаться к другим файлам в текущем каталоге (например, при открытии в Firefox на платформе Android присланного по почте html-документа, JavaScript-вставка в данном документе могла просмотреть содержимого каталога с другими сохранёнными файлами);
• Изменён метод синхронизации настроек, изменённых через интерфейс about:config. Синхронизируются теперь только настройки, присутствующие в белом списке, который определён в секции "services.sync.prefs.sync". Например, для синхронизации параметра browser.some_preference требуется выставить в true значение "services.sync.prefs.sync.browser.some_preference". Для разрешения синхронизации всех настоек предусмотрен параметр "services.sync.prefs.dangerously_allow_arbitrary", который отключен по умолчанию;
• Реализована техника борьбы с назойливыми запросами на предоставление сайту дополнительных полномочий на отправку push-уведомлений (доступ к Notifications API). Отныне подобные запросы будут молча блокироваться, если не зафиксировано явное взаимодействие пользователя со страницей (клик мышью или нажатие клавиш);
• В окружении для предприятий (Firefox for Enterprise) добавлена поддержка дополнительных политик кастомизации браузера для сотрудников. Например, администратор теперь может добавить в меню раздел для связи с локальной службой поддержки, добавить ссылки на интранет-ресурсы на страницу открытия новой вкладки, отключить контекстные рекомендации при поиске, добавить ссылки на локальные файлы, настроить поведение при загрузке файлов, определить белый и чёрный списки допустимых и недопустимых дополнений, активировать определённые настройки;
• Решена проблема, которая могла привести к пропаданию настроек (повреждению файла prefs.js) при экстренном завершении процесса (например, при выключении питания без завершения работы или при крахе браузера);
  
  
  
• Добавлена поддержка Scroll Snap, набора CSS-свойств scroll-snap-*, позволяющих управлять точкой остановки ползунка при прокрутке и выравниванием сдвигаемого содержимого, а также выполнять привязку к элементам при инерционной прокрутке. Например, можно настроить прокрутку со сдвигом по границам изображения или с центрированием картинки;
• В JavaScript реализован новый числовой тип BigInt, позволяющий хранить целые числа произвольного размера, для которых недостаточно типа Numbers (например, идентификаторы и значения точного времени раньше приходилось хранить в виде строк);
• Добавлена возможность передачи опции "noreferrer" при вызове window.open() для блокирования утечки сведений о Referrer при открытии ссылки в новом окне;
• Добавлена возможность использования метода .decode() с HTMLImageElement для загрузки и декодирования элементов до их добавления в DOM. Например, данная возможность может применяться для упрощения мгновенной замены компактных изображений-заглушек на догружаемые позднее варианты с высоким разрешением, так как даёт возможность узнать о готовности браузера целиком отобразить новое изображение.
• В средствах для разработчиков реализованы инструменты для аудита контрастности текстовых элементов, которые можно использовать для выявления элементов, некорректно воспринимаемых людьми с ослабленным зрением или нарушенным восприятием цветов;
• В режим инспектирования добавлена кнопка для эмуляции вывода на печать, позволяющая определить элементы, которые могут оказаться невидимыми при печати;
• В web-консоли расширена информация, выводимая вместе с предупреждениями о проблемах с CSS. В том числе добавлена ссылка на соответствующие узлы. В консоли также реализована возможность фильтрации вывода с использованием регулярных выражений (например, "/(foo|bar)/");
• В редакторе шрифтов добавлена возможность корректировки расстояния между буквами;
• В режиме инспектирования хранилища добавлена возможность удаления записей из локального и сессионного хранилищ через выбор соответствующих элементов и нажатие клавиши Back Space;
• В панели инспектирования сетевой активности добавлена возможность блокирования определённых URL, повторной отправки запроса и копирования в буфер обмена HTTP-заголовков в формате JSON. Новые возможности доступны через выбор соответствующих опций в контекстном меню, выводимом при клике правой кнопкой мыши;
• Во встроенном отладчике появилась функция поиска во всех файлах текущего проекта через нажатие Shift + Ctrl + F;
• Изменена настройка для включения отображения системных дополнений: в about:debugging вместо devtools.aboutdebugging.showSystemAddons теперь предложен параметр devtools.aboutdebugging.showHiddenAddons;
• При установке в Windows 10 обеспечено размещение ярлыка в панели задач. В Windows также добавлена возможность использования сервиса BITS (Background Intelligent Transfer Service) для продолжения загрузки обновлений, даже если браузер был закрыт;
• В версии для Android увеличена производительность отрисовки. Добавлен API WebAuthn (Web Authentication API) для подключения к сайту с использованием аппаратного токена или сенсора отпечатков пальцев. Добавлен API Visual Viewport через который можно определить фактическую видимую область с учётом отображения экранной клавиатуры или масштабирования. В новых установках прекращена автоматическая загрузка плагина Cisco OpenH264 для WebRTC.

Кроме новшеств и исправления ошибок в Firefox 68 устранена серия уязвимостей, из которых несколько помечены как критические, т.е. могут привести к выполнению кода злоумышленника при открытии специально оформленных страниц. В настоящее время информация с подробностями об исправленных проблемах безопасности недоступна, ожидается, что перечень уязвимостей будет опубликован в течение нескольких часов.

Firefox 68 стал последним выпуском, вместе с которым сформировано обновление классической редакции Firefox для Android. Начиная с Firefox 69, который ожидается 3 сентября, новые релизы Firefox для Android выпускаться не будут, а исправления будут поставляться в форме обновлений ESR-ветки Firefox 68. На смену классического Firefox для Android придёт новый браузер для мобильных устройств, развиваемый в рамках проекта Fenix и использующий движок GeckoView и набор библиотек Mozilla Android Components. В настоящее время под именем Firefox Preview для тестирования уже предложен первый предварительный выпуск нового браузера (сегодня опубликовано корректирующее обновление 1.0.1 данного предварительного выпуска, но оно ещё не размещено в Google Play).

Источник: http://www.opennet.ru/opennews/art.shtml?num=51061

Компания Mozilla определила проекты, которые в первом полугодии 2019 года получат гранты в рамках инициативы по стимулированию исследований в области интернета. Размер гранта составляет 25 тысяч долларов, 10% из которых отчисляется в благотворительные фонды, занимающиеся уходом за детьми. Гранты присуждаются индивидуальным исследователям из университетов, исследовательских институтов и некоммерческих организаций из любых стран.

Среди получивших гранты разработок:

• Создание плагина для поддержки языка программирования Julia в платформе Iodide, нацеленной на предоставление интерактивного браузерного окружения для анализа данных и совместного проведения исследований с использование кода на различных языках программирования. В настоящее время в Iodide из отличных от JavaScript языков полноценно поддерживается только Python, (используется подготовленный в Mozilla Python-стек pyodide, скомпилированный в WebAssembly). Аналогичный стек запуска научных приложений в браузере планируется подготовить для Julia, используя имеющийся WASM-порт данного языка, который будет доработан средствами для автоматического преобразования типов данных между JavaScript и Julia;
• Изучение возможности использования технологий дополненной и виртуальной реальности для организации удалённого участия в локальных мероприятиях, таких как конференции, а также изучение средств для взаимодействия с 3D-контентом через плоские 2D-интерфейсы;
• Изучение влияния учёта предпочтений пользователей в рекламных сетях;
• Исследование восприятия и использования людьми online-экспериментов, запросов на сбор данных и других методов пассивного накопления сведений о работе пользователя;
• Разработка голосовых интерфейсов, учитывающих вопросы приватности, инклюзивности и широкой доступности (Accessibility) в Индии;
• Проектирование программных интерфейсов для контроля доступа в Wasmtime (runtime для обособленных WebAssembly-приложений);
• Оптимизация методов обработки и качества получения речевых данных, накапливаемых с использованием краудсорсинга и совместных процессов проверки;
• Исследование альтернативных форм монетизации разработки контента в Web. Разработка открытого стандарта для децентрализованного сбора микропожертвований для поддержки web-проектов;
• Разработка инструментария для измерения производительности обобщённых функций (Generic) в Rust (оценка насколько оправдана генерация специализированного кода для каждой реализации обобщённой функции и как можно улучшить компилятор);
• Создание безопасной модели для постоянно слушающих голосовых интерфейсов, не ограниченных реакцией на активирующие систему ключевые слова;
• Разработка системы машинного обучения Fathom для распознавания различных частей web-страниц и учёт вопросов сохранения приватности при её использовании;
• Изучение влияния использования протоколов HTTP/2 и HTTP/3 в Tor на производительность и анонимность в контексте разработки проекта по интеграции Tor в Firefox. При появлении встроенной поддержки Tor в Firefox ожидается значительное увеличение нагрузки на инфраструктуру Tor, в связи с чем предлагается исследовать возможные пути оптимизации и использования Tor поверх протоколов QUIC и DTLS.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51059

Компания Mozilla не планирует включать по умолчанию поддержку DNS-over-HTTPS для пользователей из Великобритании из-за давления со стороны Ассоциации провайдеров Великобритании (UK ISPA) и организации Internet Watch Foundation (IWF). Тем не менее, Mozilla работает над поиском потенциальных партнёров для более широкого применения технологии DNS-over-HTTPS в других странах Европы. Несколько дней назад организация UK ISPA номинировала Mozilla на звание "Злодей Интернета" в связи с работой по внедрению DNS-over-HTTPS.

Mozilla рассматривает DNS-over-HTTPS (DoH) как инструмент для обеспечения приватности и безопасности пользователей, который исключает утечки сведений о запрашиваемых именах хостов через DNS-серверы провайдеров, позволяет бороться с MITM-атаками и подменой DNS-трафика, противостоит блокировкам на уровне DNS и позволят работать в случае невозможности прямого обращения к DNS-серверам (например, при работе через прокси). Если в обычной ситуации DNS-запросы напрямую отправляются на определённые в конфигурации системы DNS-серверы, то в случае DoH запрос на определение IP-адреса хоста инкапсулируется в трафик HTTPS и отправляется в шифрованном виде на один из централизованных DoH-серверов, минуя DNS-серверы провайдера.

С позиции UK ISPA протокол DNS-over-HTTPS наоборот угрожает безопасности пользователей и разрушает принятые в Великобритании стандарты интернет-безопасности, так как упрощает обход блокировок и фильтров, устанавливаемых провайдерами в соответствии с требованиями регулирующих органов Великобритании или при организации систем родительского контроля. Во многих случаях подобные блокировки выполняются через фильтрацию запросов DNS и использование DNS-over-HTTPS сводит на нет эффективность данных систем.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51046

Компания Mozilla в рамках инициативы по созданию платных сервисов начала тестирование нового продукта для Firefox, позволяющего просматривать сайты без рекламы и продвигающего альтернативный способ финансирования создания контента. Стоимость использования сервиса составляет $4.99 в месяц.

Основная идея заключается в том, что пользователям сервиса не показывается реклама на сайтах, а финансирование создания контента осуществляется благодаря платной подписке. Полученные средства распределяются между участвующими в инициативе сайтами партнёров, в зависимости от их востребованности пользователями.

Дополнительно подписчикам также предоставляются аудиоверсии статей, синхронизируемые между устройствами закладки, система рекомендаций и приложение для поиска интересного контента. Например, пользователь может начать читать статью дома на ПК, после чего продолжить чтение в дороге на смартфоне, а если он за рулём, то переключиться на аудиовоспроизведение. Сервис развивается на базе платформы, развиваемой проектом Scroll, на сайте которого можно запросить приглашение на подключение.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51035

Компания Mozilla представила сервис Track THIS, позволяющий наглядно оценить методы работы рекламных сетей, отслеживающих предпочтения посетителей. Сервис позволяет через автоматизированное открытие около 100 вкладок симулировать четыре типовых профиля поведения в сети, после чего рекламные сети на несколько дней начинают предлагать контент, соответствующий выбранному профилю.

Например, если выбрать профиль очень богатого человека, в рекламе начнут фигурировать дорогие отели, люксовые автомобили, премиальные бренды и эксклюзивные клубы. При выборе профиля поведения хипстера в выдаче будут преобладать новейшие тенденции, эксклюзивные предложения, удобная одежда и последние музыкальные новинки. Для профиля параноика будут показываться ссылки на различные теории заговоров, сведения о создании бункеров и информацию о накоплении запасов на чёрный день. Для профиля манипулируемого потребителя будет выводиться реклама модной одежды и средств для ухода за кожей, показываться астрологические прогнозы и предложения, связанные с лайками и подписками.

Источник: http://www.opennet.ru/opennews/art.shtml?num=51028

В Firefox 68, выпуск которого намечен на 9 июля, вместо Awesome Bar планируется включить новую реализацию адресной строки - Quantum Bar. С точки зрения пользователя, за небольшими исключениями, всё осталось как раньше, но внутренности полностью переделаны и код переписан с заменой XUL/XBL на стандартный Web API.

Новая реализация существенно упрощает процесс расширения функциональности (поддерживается создание дополнений в формате WebExtensions), снимает жёсткие привязки к подсистемам браузера, позволяет легко подключать новые источники данных, обладает более высокой производительностью и отзывчивостью интерфейса. Из заметных изменений в поведении отмечается только необходимость использования комбинаций Shift+Del или Shift+BackSpace (раньше работало без Shift) для удаления записей истории просмотра из результата выводимой при начале ввода подсказки.

В дальнейшем ожидается процесс постепенной модернизации оформления адресной строки. Уже доступны макеты, в которых отражены некоторые идеи по дальнейшему развитию. В основном изменения касаются оттачивания мелочей и удобства работы. Например, предлагается при фокусе увеличивать размер адресной строки с выводом подсказок по мере ввода в блоке подогнанном под этот размер, без использования всей ширины экрана.

В предлагаемых по мере ввода результатах поиска планируется выделять не введённый пользователем текст, а предлагаемую часть поискового запроса. Firefox также будет запоминать состояния адресной строки при вводе и возвращать его после смещения фокуса вне адресной строки (например, список рекомендаций раньше терялся после временного переходе к другой вкладке, а сейчас будет восстанавливаться при возвращении). Для пиктограмм дополнительных поисковых движков предлагается добавить всплывающие пояснения.

На будущее также запланировано несколько экспериментов для оценки целесообразности реализации некоторых новых идей:

• Отображение при активации адресной строки (до начала ввода) 8 самых популярных сайтов из Activity Stream;
• Замена поисковых кнопок-переключателей на ярлыки для открытия поисковой системы;
• Удаление отдельной строки поиска из страниц Activity Stream и стартового экрана приватного режима;
• Вывод контекстных подсказок по работе с адресной строкой;
• Перехват специфичных для Firefox поисковых запросов для вывода пояснений по функциональности браузера.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50983

Компания Mozilla представила первый пробный выпуск браузера Firefox Preview, развиваемого под кодовым именем Fenix и нацеленного на начальное тестирование заинтересованными энтузиастами. Выпуск распространяется через каталог Google Play (для работы необходим Android 5 или новее), а код доступен на GitHub. После стабилизации проекта и реализации всей задуманной функциональности браузер заменит собой нынешнюю редакцию Firefox для Android, выпуск новых релизов которой будет прекращён начиная с сентябрьского выпуска Firefox 69 (будут публиковаться только корректирующие обновления ESR-ветки Firefox 68).

Firefox Preview использует движок GeckoView, построенный на базе технологий Firefox Quantum, и набор библиотек Mozilla Android Components, которые уже применяются для построения браузеров Firefox Focus и Firefox Lite. GeckoView является вариантом движка Gecko, оформленном в виде отдельной библиотеки, которую можно обновлять независимо, а Android Components включает библиотеки с типовыми компонентами, обеспечивающими работу вкладок, автодополнения ввода, поисковых подсказок и других возможностей браузера.

Основные возможности Firefox Preview:

• Высокая производительность: Firefox Preview до двух раз быстре классического Firefox для Android. Повышение производительности достигается благодаря применению на этапе компиляции оптимизаций на основе результатов профилирования кода (PGO - Profile-guided optimization) и за счёт включения JIT-компилятора IonMonkey для 64-разрядных систем ARM. Кроме ARM сборки GeckoView также теперь формируются и для систем x86_64;
• Включение по умолчанию защиты от отслеживания перемещений и различной паразитной активности;
• Универсальное меню, через которое можно получить доступ к настройкам, библиотеке (избранные страницы, история, загрузки, недавно закрытые вкладки), выбору режима отображения сайта (показ десктоп-версии сайта), поиску текста на странице, переходу в приватный режим, открытию новой вкладки и навигации между страницами;
• Многофункциональная адресная строка, в которой имеется универсальная кнопка для быстрого выполнения операций, таких как отправка ссылки на другое устройство и добавление сайта в список избранных страниц. При нажатии на адресной строке запускается полноэкранный режим подсказки, предлагающий релевантные варианты ввода на основе истории посещений и рекомендаций от поисковых систем;
• Применение вместо вкладок концепции коллекций, позволяющих сохранять, группировать и обмениваться избранными сайтами. После закрытия браузера остающиеся открытыми вкладки автоматически группируются в коллекцию, которую затем можно просмотреть и восстановить;
• На стартовой странице выводится адресная строка, совмещённая с функцией глобального поиска, и показывается список открытых вкладок или, если страницы не открыты, отображается список сеансов, в которых сгруппированы ранее открытые сайты в привязке к сеансам работы с браузером.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50982

Три недели назад я получил очень лестное письмо из Кембриджского университета с предложением выступить судьёй на премии Адама Смита по экономике:

Дорогой Роберт,

Меня зовут Грегори Харрис. Я один из Организаторов премии Адама Смита.

Каждый год мы обновляем команду независимых специалистов для оценки качества конкурирующих проектов: http://people.ds.cam.ac.uk/grh37/awards/Adam_Smith_Prize

Наши коллеги рекомендовали вас как опытного специалиста в этой области.

Нам нужна ваша помощь в оценке нескольких проектов для премии Адама Смита.

Ждём вашего ответа.

С наилучшими пожеланиями, Грегори Харрис

Я бы не назвал себя «экспертом» по экономике, но запрос университета не казался чем-то невероятным. У меня есть подписка на The Economist, и я понимаю — очень грубо — как и почему центральные банки устанавливают процентные ставки. Я читал «Капитал в двадцать первом веке» и в основном понял суть первой половины. Несколько постов в моём блоге помечены тегом «экономика». Возможно, я могу внести некий вклад в новую дисциплину вычислительной экономики. В целом казалось вполне вероятным, что организаторы премии Адама Смита захотят услышать мою точку зрения. Я предполагал много неоплачиваемой работы, но всё равно предложение было очень приятным.
Читать дальше →

Форум: Новости
Автор: banbot

Доступно обновление почтового клиента Thunderbird 60.7.2. Основные изменения в новой версии:

• Исправлено: Уязвимости в системе безопасности.
  

Загрузить:

    • Русская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Английская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Другие языки

Примечания к выпуску

Форум: Новости
Автор: banbot

Следом за выпусками Firefox 67.0.3 и 60.7.1 опубликованы дополнительные корректирующие релизы 67.0.4 и 60.7.2, в которых устранена вторая 0-day уязвимость (CVE-2019-11708), позволяющая обойти механизм sandbox-изоляции. Проблема использует манипуляцию с IPC-вызовом Prompt:Open для открытия в родительском процессе, в котором не применяется sandbox, web-контента, выбранного дочерним процессом. В сочетании с другой уязвимостью данная проблема позволяет обойти все уровни защиты и организовать выполнение кода в системе.

Выявленные в последних двух выпусках Firefox уязвимости до своего исправления были использованы для организации атаки на сотрудников биржи криптовалют Coinbase, а также применялись для распространения вредоносного ПО для платформы macOS (дополнение: выявлены следы распространения через указанные уязвимости и вредоносного ПО для Windows). Инженеры Coinbase выявили наличие уязвимости в Firefox в ходе анализа вредоносного кода на фишинг-странице, ссылки на которую были отправлены сотрудникам по электронной почте. Не исключается, что похожие атаки были проведены и на другие компании.

Интересно, что информация о первой уязвимости была направлена в Mozilla участником проекта Google Project Zero ещё 15 апреля и 10 июня была исправлена в бета-версии Firefox 68 (вероятно атакующие проанализировали опубликованное исправление и подготовили эксплоит, воспользовавшись ещё одной уязвимостью для обхода sandbox-изоляции).

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки
     
Что нового в Firefox 67 для разработчиков
Примечания к выпуску для Windows, Mac and Linux

Новость взята с сайта opennet.ru

Разработчики Mozilla опубликовали макеты грядущих улучшений элементов интерфейса, связанных с обеспечением сохранности конфиденциальных данных и блокировкой отслеживания перемещений. Среди новшеств выделяется новая опция для блокирования виджетов социальных сетей, отслеживающих перемещение пользователей на сторонних сайтах (например, кнопки Like от Facebook и вставки сообщений из Twitter). Для форм аутентификации через учётную запись в социальных сетях предусмотрена возможность временного отключения блокировки.

Среди других изменений можно отметить модернизацию панели для управления блокировками, которая отображается при клике на значке (i) в адресной строке. Кроме изменения оформления панели и добавления новых опций вместо значка (i) предложено несколько новых индикаторов, позволяющий сразу оценить активность тех или иных режимов блокировки.

В панели также обеспечен вывод информационных баннеров с подсказками и информации об отключении блокировки из-за присутствия сайта в белом списке (включаются сайты, блокировка счётчиков на которых приводит к проблемам с отображением информации на странице).

В панели появилась ссылка на полный отчёт о выполненных блокировках, в котором можно отследить число блокировок по дням недели и типам.

На макетах также встречается ещё не анонсированный новый продукт Firefox Proxy, про который известно только то, что он представляет собой новое дополнение для повышения защиты в публичных беспроводных сетях.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50923

Следом за выпусками Firefox 67.0.3 и 60.7.1 опубликованы дополнительные корректирующие релизы 67.0.4 и 60.7.2, в которых устранена вторая 0-day уязвимость (CVE-2019-11708), позволяющая обойти механизм sandbox-изоляции. Проблема использует манипуляцию с IPC-вызовом Prompt:Open для открытия в родительском процессе, в котором не применяется sandbox, web-контента, выбранного дочерним процессом. В сочетании с другой уязвимостью данная проблема позволяет обойти все уровни защиты и организовать выполнение кода в системе.

Выявленные в последних двух выпусках Firefox уязвимости до своего исправления были использованы для организации атаки на сотрудников биржи криптовалют Coinbase, а также применялись для распространения вредоносного ПО для платформы macOS (дополнение: выявлены следы распространения через указанные уязвимости и вредоносного ПО для Windows). Инженеры Coinbase выявили наличие уязвимости в Firefox в ходе анализа вредоносного кода на фишинг-странице, ссылки на которую были отправлены сотрудникам по электронной почте. Не исключается, что похожие атаки были проведены и на другие компании.

Интересно, что информация о первой уязвимости была направлена в Mozilla участником проекта Google Project Zero ещё 15 апреля и 10 июня была исправлена в бета-версии Firefox 68 (вероятно атакующие проанализировали опубликованное исправление и подготовили эксплоит, воспользовавшись ещё одной уязвимостью для обхода sandbox-изоляции).

Источник: http://www.opennet.ru/opennews/art.shtml?num=50913

Форум: Новости
Автор: banbot

Опубликованы корректирующие выпуски Firefox 67.0.3 и 60.7.1, в которых устранена критическая уязвимость (CVE-2019-11707), позволяющая вызвать крах браузера при выполнении вредоносного JavaScript-кода. Уязвимость вызвана проблемой с обработкой типов в методе Array.pop. Доступ к детальной информации пока ограничен. Также не ясно ограничивается ли проблема заявленным крахом или потенциально может быть использована для организации выполнения кода злоумышленника.

Дополнение: По данным Агентства кибербезопасности и безопасности инфраструктуры США (CISA) уязвимость позволяет атакующему получить контроль за системой и выполнить код с правами браузера. Более того, уже зафиксированы факты совершения атак с использованием данной уязвимости. Всем пользователям рекомендуется срочно установить выпущенное обновление.


Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки
   
     
    Android (с Google Play)

        Android (ARMv7, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (ARMv7, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)

   Другие языки

Что нового в Firefox 67 для разработчиков
Примечания к выпуску для Windows, Mac and Linux
Примечания к выпуску для Android

Новость взята с сайта opennet.ru

Опубликованы корректирующие выпуски Firefox 67.0.3 и 60.7.1, в которых устранена критическая уязвимость (CVE-2019-11707), позволяющая вызвать крах браузера при выполнении вредоносного JavaScript-кода. Уязвимость вызвана проблемой с обработкой типов в методе Array.pop. Доступ к детальной информации пока ограничен. Также не ясно ограничивается ли проблема заявленным крахом или потенциально может быть использована для организации выполнения кода злоумышленника.

Дополнение: По данным Агентства кибербезопасности и безопасности инфраструктуры США (CISA) уязвимость позволяет атакующему получить контроль за системой и выполнить код с правами браузера. Более того, уже зафиксированы факты совершения атак с использованием данной уязвимости. Всем пользователям рекомендуется срочно установить выпущенное обновление.

Дополнение: Следом доступен новый выпуск Tor Browser 8.5.2, в котором устранена вышеотмеченная уязвимость и обновлена версия NoScript 10.6.3.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50897

В ночные сборки Firefox, на базе которых 3 сентября будет сформирован релиз Firefox 69, добавлена реализация генератора паролей, для включения которой в about:config необходимо установить параметр "signon.generation.available". После активации в разделе управления паролями в конфигураторе, помимо опции для включения запроса на сохранение паролей, появится опция, позволяющая при заполнении форм регистрации выводить подсказку со сгенерированным автоматически надёжным паролем.

Подсказка пока выводится только для полей с атрибутом "autocomplete = new-password", но в дальнейшем рассматривается возможность её вывода и для других полей с паролями, например, через добавление вызова генератора паролей через контекстное меню.

Из других улучшений, развиваемых в процессе разработки Firefox 69, отмечается расширение возможности блокировки автоматического воспроизведения мультимедийного контента. Помимо ранее добавленной функции приглушения звука в автоматически воспроизводимом видео реализована возможность полной остановки воспроизведения видео, не ограничиваясь отключением звука. Например, если раньше рекламные видеоролики на сайтах показывались, но без звука, то в новом режиме, они без явного клика даже не начнут воспроизведение.

Для включения режима в настройки автовоспроизведения (Options > Privacy and Security > Permissions > Autoplay) добавлен новый пункт "Block audio and video", который дополнил собой выставляемый по умолчанию режим "Block audio".

Режим может быть выбран в привязке к конкретным сайтам через контекстное меню, выводимое при клике на кнопку "(i)" в адресной строке.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50891

Разработчики Mozilla отключили в ночных сборках Firefox возможность воспроизведения Flash-контента по умолчанию. Начиная с Firefox 69, намеченного на 3 сентября, из настроек плагина Adobe Flash Player будет убрана опция для постоянной активации Flash и оставлены только возможности отключения Flash и индивидуального включения для конкретных сайтов (активация явным кликом) без запоминания выбранного режима. В ESR-ветках Firefox поддержка Flash сохранится до конца 2020 года.

Аналогичное решение по прекращению поддержки Flash ранее было принято компанией Google и будет воплощено в Chrome 76. Поэтапное прекращение поддержки Flash производится в соответствии с ранее озвученным компанией Adobe планом прекращения сопровождения технологии Flash в 2020 году. Flash остаётся последним NPAPI-плагином, поддержка которого сохранялась в Firefox после перевода API NPAPI в разряд устаревших. Поддержка Silverlight, Java, Unity, Gnome Shell Integration и NPAPI-плагинов с поддержкой мультимедийных кодеков была прекращена ещё в Firefox 52, выпущенном в 2016 году.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50883

Форум: Новости
Автор: banbot

Доступно обновление почтового клиента Thunderbird 60.7.1. Основные изменения в новой версии:

• Исправлено: Не появлялся запрос на ввод PIN-кода для смарт-карты при установке электронной подписи в формате S/MIME
  
• Исправлено: Уязвимости в системе безопасности.
  

Загрузить:

    • Русская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Английская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Другие языки

Примечания к выпуску

В выпуск Firefox 68, который ожидается 9 июля, одобрено включение по умолчанию нового менеджера дополнений (about:addons), полностью переписаного с использованием HTML/JavaScript и стандартных web-технологий. Новый интерфейс для управления дополнениями подготовлен в рамках инициативы по избавлению браузера от компонентов на базе XUL и XBL. Для оценки работы нового интерфейса не дожидаясь Firefox 68 в about:config можно включить опцию extensions.htmlaboutaddons.enabled". В разработке также находится переписанный на HTML вариант страницы about:config.

В новом интерфейсе отдельные кнопки управления активацией дополнений заменены на контекстное меню. Для каждого дополнения в форме вкладок обеспечена возможность просмотра полного описания, изменения настроек и управления правами доступа, не покидая основную страницу со списком дополнений. Отключенные дополнения теперь явно отделены от активных и перечислены в отдельной секции. Поддерживаются как светлые, так и тёмные темы оформления.

Кроме того добавлена новая секция с рекомендуемыми для установки дополнениями, состав которой выбирается в зависимости от установленных дополнений, настроек и статистики по работе пользователя. Из новшеств также выделяется новая кнопка для отправки в Mozilla сообщений о проблемах с дополнениями, например, при выявлении вредоносной активности, возникновением проблем с отображением сайтов из-за дополнения, не соответствии заявленной функциональности, появления дополнения без действий пользователя или проблемах со стабильностью.

Было:

Стало:

Источник: http://www.opennet.ru/opennews/art.shtml?num=50873

Вступление от Voximplant

Да, мы не впервые пишем про AV1 – у нас уже был перевод про Chrome 70 с поддержкой кодека, и вот мы снова делимся новостями. В этот раз – слово Nathan Egge, старшему инженеру Mozilla и участнику фонда Xiph.org, который порадовал новостью про дефолтную поддержку AV1. Трудно переоценить важность этого кодека для современных стриминговых сервисов, равно как и для real-time приложения для аудио/видеосвязи. Почему dav1d, чем он отличается от первого декодера AV1, немного графиков из бенчмарков и прогноз на будущее – коротко и по делу, прошу под кат.
Читать дальше →

Сейчас 2019 год, и нам пора бы принять решение относительно GIF (нет, речь не об этом решении! Здесь мы никогда не договоримся! — тут речь о произношении в английском, для нас это не актуально — прим. перев.). GIFы занимают огромное количество места (обычно по несколько мегабайт!) что, если вы веб-разработчик, полностью противоречит вашим желаниям! Как веб-разработчик, вы хотите минимизировать вещи, которые пользователям нужно скачать, чтобы сайт загружался быстро. По той же причине вы минимизируете JavaScript, оптимизируете PNG, JPEG, а иногда и конвертируете JPEG в WebP. Но что же делать со старичком GIFом?

Читать дальше →

Форум: Новости
Автор: banbot

Доступно корректирующее обновление web-браузера Firefox 67.0.2. Основные изменения в новой версии:

• Устранена ​​ошибка JavaScript («TypeError: data is null in PrivacyFilter.jsm») в консоли, которая могла значительно снизить надежность и производительность сеансового хранилища (ошибка 1553413)
  
• Устранено постоянное появление диалогового окна «Аутентификация на прокси», запрашивающее ввод логина/пароля после обновления до Firefox 67 (ошибка 1548804)
  
• Pearson MyCloud ломался, если FIDO U2F не являлся реализацией Chrome (ошибка 1551282)
  
• Запуск в безопасном режиме в Linux или macOS заставлял Firefox при последующем запуске думать, что профиль является слишком новым для использования его с этой версией Firefox (ошибка 1556612)
  
• Пользователи Firefox из дистрибутивов Linux не могли легко установить/использовать дополнительные/разные языки с помощью встроенного интерфейса настроек пользователя (ошибка 1554744)
  
• Пользователи инструментов разработчика не могли копировать содержимое href/src из различных тегов HTML через контекстное меню в представлении разметки Инспектора (ошибка 1552275)
  
• Удаление данных при закрытии приложения приводило к неработоспособности настроенной домашней страницы  (ошибка 1554167)
  
• Устранено падение производительности для основанных на RAP приложений (ошибка 1555962)
  
• Устранено падение в MacOS 10.15 (ошибка 1556076)
  
• Не удавалось запустить параллельно две загрузки через <a download> (ошибка 1542912)
  

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки
   
    Android (с Google Play)

        Android (ARMv7, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (ARMv7, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)

   Другие языки

Что нового в Firefox 67 для разработчиков
Примечания к выпуску для Windows, Mac and Linux
Примечания к выпуску для Android

Компания Mozilla представила новое оформление логотипа Firefox и связанных с ним элементов брендинга, а также логотипы для сопутствующих проектов. Основной целью ребрендинга является создание общего узнаваемого бренда для всего семейства продуктов Firefox. В рамках проделанной работы также подготовлено базовое цветовое оформление бренда, фирменный шрифт для торговых марок и отдельные логотипы для разных сервисов.

Общий логотип не содержит изображения лисы, но абстрактно напоминает свёрнутый хвост и сохраняет узнаваемость бренда. На логотипе браузера Firefox лиса сохранена и по сравнению со старым логотипом в изображение внесены минимальные косметические изменения. Логотипы Firefox Send, Firefox Lockwise и Firefox Monitor не включают отсылок к лисе, но привязаны к общему бренду на уровне сочетания цветов.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50855

Представлен промежуточный выпуск Firefox 67.0.2, в котором устранена уязвимость (CVE-2019-11702), специфичная для платформы Windows и позволяющая открыть локальный файл в Internet Explorer через манипуляции со ссылками, в которых указан протокол "IE.HTTP:".

Кроме уязвимости в новом выпуске также устранено несколько не связанных с безопасностью проблем:

• Устранён вывод в консоли JavaScript-ошибки "TypeError: data is null in PrivacyFilter.jsm", которая могла негативно отразиться на надёжности и производительности восстановления сессии;
• Решена проблема c выводом всплывающего диалога аутентификации подключения через прокси;
• Решена проблема входа в сервис Pearson MyCloud при использовании FIDO U2F;
• Налажен запуск браузера в безопасном режиме (safe mode), который в Linux и macOS начиная с Firefox 67 давал сбой, так как браузер считал профиль слишком новым для текущей версии Firefox;
• Устранена невозможность установки и использования дополнительных языковых пакетов через интерфейс настройки в версиях Firefox, предоставляемых дистрибутивами Linux;
• В инструментах для разработчиков исправлена ошибка, не позволявшая из окна инспектирования скопировать ссылки и код HTML-тегов;
• Исправлена ошибка, приводившая к невозможности установить собственную стартовую страницу при установке в настройках опции очистки данных перед завершением работы;
• Решены проблемы с производительностью при выполнении web-приложений на базе фреймворка Eclipse RAP;
• Устранён крах при запуске в окружении macOS 10.15;
• Запрещён запуск двух параллельных загрузок через тег "a" с атрибутом "download".

Источник: http://www.opennet.ru/opennews/art.shtml?num=50850

Крис Бирд (Chris Beard), руководитель (CEO) компании Mozilla Corporation, рассказал в интервью немецкому изданию T3N о намерении запустить в октябре этого года премиальный сервис Firefox Premium (premium.firefox.com), в рамках которого будут предоставляться расширенные сервисы с оформлением платной подписки. Детали пока не афишируются, но в качестве примера, упоминаются сервисы, связанные с использованием VPN и online-хранилища пользовательских данных. Судя по приводимым в интервью замечаниям, какой-то объем трафика в VPN будет бесплатным, а платный сервис будет предлагаться тем, кому необходима дополнительная пропускная способность.

Предоставление платных сервисов поможет финансировать поддержание ресурсоёмких инфраструктур и даст возможность дополнительно диверсифицировать источники дохода, снизив зависимость от средств, получаемых за счёт контрактов с поисковыми системами. Соглашение об использовании в Firefox по умолчанию в США поисковой системы Yahoo истекает в конце этого года и пока не ясно, будет ли оно продлено, с учётом поглощения Yahoo компанией Verizon.

Тестирование платного VPN началось в Firefox ещё в октябре прошлого года и базируется на предоставлении встроенного в браузер доступа через VPN-сервис ProtonVPN, который был выбран из-за сравнительно высокого уровня защиты канала связи, отказа от ведения логов и общей ориентацией не на получение прибыли, а на повышение безопасности и приватности в Web. Компания ProtonVPN зарегистрирована в Швейцарии, имеющей жёсткое законодательство в области защиты частной жизни, не позволяющее спецслужбам контролировать информацию. ProtonVPN не входит в список 9 VPN-сервисов, которые планируют заблокировать в РФ из-за нежелания подключится к реестру запрещённой информации (в ProtonVPN требование от Роскомнадзора пока не поступало, но сервис изначально заявил, что игнорирует все подобные запросы).

Что касается online-хранилищ, начало положено в рамках сервиса Firefox Send, предназначенного для обмена файлами между пользователями с применением оконечного шифрования. В настоящее время сервис полностью бесплатный. Ограничение на размер загружаемого файла выставлено в 1 Гб в анонимном режиме и 2.5 Гб при создании зарегистрированной учётной записи. По умолчанию файл удаляется после первой загрузки или после истечения 24 часов (время жизни файла можно установить от одного часа до 7 дней). Возможно в Firefox Send будет введён дополнительный уровень для платных пользователей с расширенным лимитом на размер и время хранения.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50834

Форум: Новости
Автор: banbot

Представлен промежуточный выпуск Firefox 67.0.1, примечательный включением по умолчанию блокировки отслеживания перемещений, при которой отключается выставление Cookie для доменов, уличённых в отслеживании перемещений, несмотря на установку заголовка "Do Not Track". Блокировка осуществляется на основе чёрного списка disconnect.me.

Изменение применяется для стандартного режима, ранее включавшего блокировку только для окна приватного просмотра. От строго режима блокировки указанное изменение отличается отсутствием отключения загрузки внешнего кода для отслеживания перемещений. При этом блокировка Cookie трекеров по умолчанию пока активируется только для новых установок, а для старых пользователей остаются в силе прежние настройки. Переключение алгоритма блокировки для старых пользователей планируется осуществить в ближайшие несколько месяцев. До этого времени старые пользователи могут включить предложенный режим выбрав режим блокировки "Custom" и активировав опцию "Cookie/Third-party trackers".

Кроме того, отмечено обновление некоторых дополнений и сервисов Mozilla:

•   Опубликован выпуск дополнения Facebook Container 2.0 для блокировки отслеживания перемещений, производимого Facebook и Instagram при помощи виджетов, размещённых на различных сайтах. В новом выпуске улучшен код определения элементов и добавлена поддержка нижней всплывающей подсказки;
  
•   Доступен новый альфа-выпуск браузерного дополнения Lockwise, выпущенного под новым брендом (ранее дополнение поставлялось как Lockbox). Дополнение предлагает альтернативу встроенному в Firefox интерфейсу для управления сохранёнными паролями. При установке дополнения в панели появляется кнопка, через которую можно быстро просматривать учётные записи, сохранённые для текущего сайта, а также выполнять операции поиска и редактирования паролей.
  
•   Обновлено системное дополнение Firefox Monitor, которое обеспечивает вывод предупреждения в случае компрометации учётной записи (проверка по email) или попытке входа на ранее взломанный сайт. Проверка осуществляется через интеграцию с базой данных проекта haveibeenpwned.com. В новом выпуске добавлена возможность отслеживания нескольких email в рамках одной учётной записи в Firefox Account.
  
•   Улучшена работа сервиса Firefox Send, предоставляющем средства для обмена файлами между пользователями с применением оконечного шифрования. Ограничение на размер загружаемого файла по-прежнему выставляются в 1 Гб в анонимном режиме и 2.5 Гб при создании зарегистрированной учётной записи.
  
•   Опубликован первый бета-выпуск нового браузера для мобильных устройств, развиваемого в рамках проекта Fenix и призванного заменить редакцию Firefox для Android. Fenix использует движок GeckoView и набор библиотек Mozilla Android Components, которые уже применяются для построения браузеров Firefox Focus и Firefox Lite. GeckoView является вариантом движка Gecko, оформленном в виде отдельной библиотеки, которую можно обновлять независимо, а Android Components включает библиотеки с типовыми компонентами, обеспечивающими работу вкладок, автодополнения ввода, поисковых подсказок и других возможностей браузера.
  

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки

Что нового в Firefox 67 для разработчиков
Примечания к выпуску для Windows, Mac and Linux

Новость взята с сайта opennet.ru

Представлен промежуточный выпуск Firefox 67.0.1, примечательный включением по умолчанию блокировки отслеживания перемещений, при которой отключается выставление Cookie для доменов, уличённых в отслеживании перемещений, несмотря на установку заголовка "Do Not Track". Блокировка осуществляется на основе чёрного списка disconnect.me.

Изменение применяется для стандартного режима, ранее включавшего блокировку только для окна приватного просмотра. От строго режима блокировки указанное изменение отличается отсутствием отключения загрузки внешнего кода для отслеживания перемещений. При этом блокировка Cookie трекеров по умолчанию пока активируется только для новых установок, а для старых пользователей остаются в силе прежние настройки. Переключение алгоритма блокировки для старых пользователей планируется осуществить в ближайшие несколько месяцев. До этого времени старые пользователи могут включить предложенный режим выбрав режим блокировки "Custom" и активировав опцию "Cookie/ Third-party trackers".

Кроме того, отмечено обновление некоторых дополнений и сервисов Mozilla:

• Опубликован выпуск дополнения Facebook Container 2.0 для блокировки отслеживания перемещений, производимого Facebook и Instagram при помощи виджетов, размещённых на различных сайтах. В новом выпуске улучшен код определения элементов и добавлена поддержка нижней всплывающей подсказки;
• Доступен новый альфа-выпуск браузерного дополнения Lockwise, выпущенного под новым брендом (ранее дополнение поставлялось как Lockbox). Дополнение предлагает альтернативу встроенному в Firefox интерфейсу для управления сохранёнными паролями. При установке дополнения в панели появляется кнопка, через которую можно быстро просматривать учётные записи, сохранённые для текущего сайта, а также выполнять операции поиска и редактирования паролей.
• Обновлено системное дополнение Firefox Monitor, которое обеспечивает вывод предупреждения в случае компрометации учётной записи (проверка по email) или попытке входа на ранее взломанный сайт. Проверка осуществляется через интеграцию с базой данных проекта haveibeenpwned.com. В новом выпуске добавлена возможность отслеживания нескольких email в рамках одной учётной записи в Firefox Account.
• Улучшена работа сервиса Firefox Send, предоставляющем средства для обмена файлами между пользователями с применением оконечного шифрования. Ограничение на размер загружаемого файла по-прежнему выставляются в 1 Гб в анонимном режиме и 2.5 Гб при создании зарегистрированной учётной записи.
• Опубликован первый бета-выпуск нового браузера для мобильных устройств, развиваемого в рамках проекта Fenix и призванного заменить редакцию Firefox для Android. Fenix использует движок GeckoView и набор библиотек Mozilla Android Components, которые уже применяются для построения браузеров Firefox Focus и Firefox Lite. GeckoView является вариантом движка Gecko, оформленном в виде отдельной библиотеки, которую можно обновлять независимо, а Android Components включает библиотеки с типовыми компонентами, обеспечивающими работу вкладок, автодополнения ввода, поисковых подсказок и других возможностей браузера.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50808

Механизм Signed HTTP Exchanges (SXG)

Месяц назад на конференции для разработчиков компания Google предложила технологию «порталов», которая призвана обеспечить новый способ загрузки и навигации по веб-страницам. По сути, <portal> — это более продвинутая и современная версия <iframe>. Главная разница в том, что <portal> позволяет перемещаться внутри контента, который внедрён на страницу извне, а <iframe> не позволяет этого по соображениям безопасности. Более того, <portal> может изменять URL в адресной строке браузера, то есть этот тег полезнее в качестве инструмента навигации.

Для Google это очень важная технология, потому что позволяет удержать пользователей на поисковом сайте, загружая запрошенный контент с других сайтов через «порталы» в виде веб-пакетов.
Читать дальше →

Компания Mozilla представила приложение для управления паролями Firefox Lockwise, которое в процессе разработки развивалось под кодовым именем Lockbox. Lockwise включает в себя мобильные приложения для Android и iOS, позволяющие организовать доступ к сохранённым в Firefox паролям на любых устройствах пользователя, без необходимости установки на них Firefox. Поддерживается функция автозаполнения паролей в формах аутентификации любых мобильных приложений. Код проекта распространяется под лицензией MPL 2.0.

Для синхронизации паролей используется штатные возможности браузера Firefox и учётная запись в Firefox Account. Устройства с Lockwise подключаются к системе синхронизации по аналогии с подключением различных экземпляров браузера. Для защиты данных применяется блочный шифр AES-256-GCM и ключи на базе PBKDF2 и HKDF с хэшированием при помощи SHA-256. Для передачи ключей задействован протокол Onepw, который обеспечивает хранение ключа на стороне пользователя и применяет end-to-end шифрование без хранения расшифрованных данных или ключей на внешнем сервере. Ключ для шифрования задаются на основе указанного для аккаунта логина и пароля, сам аккаунт применяется только для транзитного хранения уже зашифрованных данных.

Кроме мобильных приложений проектом также развивается браузерное дополнение Lockwise, предлагающее альтернативу встроенному в Firefox интерфейсу для управления сохранёнными паролями. При установке дополнения в панели появляется кнопка, через которую можно быстро просматривать учётные записи, сохранённые для текущего сайта, а также выполнять операции поиска и редактирования паролей. В настоящее время дополнение имеет характер экспериментальной разработки (альфа-версия) и пока не может работать при установке в браузере мастер-пароля. Ведётся работа по включению Lockwise в основной состав Firefox в качестве системного дополнения.

Мобильные приложения Lockwise находятся на стадии бета-тестирования, но первый стабильный выпуск запланирован на следующую неделю. В приложениях по умолчанию включена отправка телеметрии с обобщённой информацией об особенностях работы с приложением.

Тем временем, в штатный менеджер паролей Firefox добавлена возможность обработки учётных записей в контексте домена первого уровня, что позволяет предлагать один пароль, сохранённый для всех поддоменов. Например, пароль, сохранённый для login.example.com теперь будет предлагаться для автозаполнения в формах сайта www.example.com. Изменение будет включено в состав Firefox 69.

В Firefox 69 также запланировано включение менеджера управления приоритетами процессов-обработчиков, который позволяет передавать операционной системе сведения о наиболее приоритетных процессах. Например, процессу обработки контента, обрабатывающему активную вкладку будет выставлен более высокий приоритет (выделено больше ресурсов CPU), чем процессу , связанному с фоновыми вкладками (если на них не воспроизводится видео и звук). Изменение пока планируется включить по умолчанию только для платформы Windows, для остальных систем потребуется активация опции dom.ipc.processPriorityManager.enabled в about-config.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50790

В каталоге дополнений к Firefox (AMO) зафиксирована массовая публикация вредоносных дополнений, прикрывающихся известными проектами. Например, в каталоге размещены вредоносные дополнения "Adobe Flash Player", "ublock origin Pro", "Adblock Flash Player" и т.п.

По мере удаления подобных дополнений из каталога злоумышленники сразу создают новый аккаунт и повторно размещают свои дополнения. Например, несколько часов назад была создана учётная запись Firefox user 15018635, под которой размещены дополнения "Youtube Adblock", "Ublock plus", "Adblock Plus 2019". Судя по всему описание к дополнениям формируется для обеспечения их вывода в топе при поисковых запросах "Adobe Flash Player" и "Adobe Flash".

При установке дополнения запрашивают полномочия для доступа ко всем данным просматриваемых сайтов. В процессе работы запускается кейлоггер, который передаёт на хост theridgeatdanbury.com сведения о заполнении форм и устанавливаемых Cookie. Имена установочных файлов дополнений имеют вид "adpbe_flash_player-*.xpi" или "player_downloader-*.xpi". Код скриптов внутри дополнений незначительно отличается, но выполняемые ими вредоносные действия очевидны и не скрываются.

Вероятно, отсутствие применения техник скрытия вредоносной активности и предельно простой код позволяют обойти автоматизированную систему предварительного рецензирования дополнений. При этом непонятно, как при автоматизированной проверке был игнорирован факт явной и нескрытой отправки данных из дополнения на внешний хост.

Напомним, что по мнению Mozilla введение проверки по цифровой подписи позволит блокировать распространение вредоносных и шпионящих за пользователями дополнений. Некоторые разработчики дополнений не согласны с такой позицией и считают, что механизм обязательной проверки по цифровой подписи лишь создаёт сложности для разработчиков и приводит к увеличению времени доведения до пользователей корректирующих выпусков, никак не влияя на безопасность. Существует множество тривиальных и очевидных приёмов для обхода системы автоматизированной проверки дополнений, позволяющих незаметно вставить вредоносный код, например, через формирование операции на лету путём соединения нескольких строк с последующим выполнением результирующей строки вызовом eval. Позиция Mozilla сводится к тому, что большинство авторов вредоносных дополнений ленивы и не будут прибегать к подобным техникам скрытия вредоносной активности.

В октябре 2017 года в каталоге AMO был введён новый процесс рецензирования дополнений. На смену ручной проверке пришёл автоматический процесс, который позволил избавиться от длительных ожиданий в очереди на прохождение проверки и увеличил оперативность доставки новых выпусков до пользователей. При этом ручная проверка полностью не упразднена, а выборочно проводится для уже размещённых дополнений. Дополнения для ручной проверки выбираются на основании вычисленных факторов риска.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50775

Разработчики Mozilla приняли решение отключить по умолчанию обработку файлов userContent.css и userChrome.css, позволяющих пользователю переопределить оформление сайтов или интерфейса Firefox. В качестве причины отключения по умолчанию называется работа по сокращению времени запуска браузера. Изменение поведения через userContent.css и userChrome.css выполняется пользователями крайне редко, а загрузка данных CSS потребляет дополнительные ресурсы (оптимизация убирает лишнее обращение к диску).

Для возвращения обработки userChrome.css и userContent.css в about:config добавлена настройка "toolkit.legacyUserProfileCustomizations.stylesheets". Изменение планируется применить в выпуске Firefox 69, намеченном на 3 сентября. В Firefox 68 дополнительно будет включена проверка, выполняющая автоматическое включение опции "toolkit.legacyUserProfileCustomizations.stylesheets" в случае наличия в каталоге с профилем одного из вышеупомянутых файлов. Таким образом пользователям, которые уже используют userChrome.css или userContent.css, не потребуется вносить какие-либо ручные изменения.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50743

Форум: Новости
Автор: banbot

Доступно обновление почтового клиента Thunderbird 60.7.0. Основные изменения в новой версии:

• Изменено: На панель вложений окна «Создание сообщения» больше не переводится фокус при прикреплении файлов с помощью сочетания горячих клавиш.
  
• Исправлено: Уязвимости в системе безопасности.
  

Загрузить:

    • Русская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Английская версия:
        Windows (32-bit)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    • Другие языки

Примечания к выпуску

После десяти месяцев разработки сформирован значительный релиз специализированного браузера Tor Browser 8.5, в котором продолжено развитие функциональности на базе ESR-ветки Firefox 60. Браузер сосредоточен на обеспечении анонимности, безопасности и приватности, весь трафик перенаправляется только через сеть Tor. Обратиться напрямую через штатное сетевое соединение текущей системы невозможно, что не позволяет отследить реальный IP пользователя (в случае взлома браузера, атакующие могут получить доступ к системным параметрам сети, поэтому для полного блокирования возможных утечек следует использовать такие продукты, как Whonix). Сборки Tor Browser подготовлены для Linux, Windows, macOS и Android.

Для обеспечения дополнительной защиты в состав входит дополнение HTTPS Everywhere, позволяющее использовать шифрование трафика на всех сайтах где это возможно. Для снижения угрозы от проведения атак с использованием JavaScript и блокирования по умолчанию плагинов в комплекте поставляется дополнение NoScript. Для борьбы с блокировкой и инспектированием трафика применяются fteproxy и obfs4proxy.

Для организации шифрованного канала связи в окружениях, блокирующих любой трафик кроме HTTP, предлагаются альтернативные транспорты, которые, например, позволяют обойти попытки блокировать Tor в Китае. Для защиты от отслеживания перемещения пользователя и от выделения специфичных для конкретного посетителя особенностей отключены или ограничены API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, Permissions, MediaDevices.enumerateDevices и screen.orientation, а также отключены средства отправки телеметрии, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect", модифицирован libmdns.

В новом выпуске:

• Проведена реорганизация панели и упрощён доступ к индикатору уровня защиты, который вынесен из меню Torbutton на основную панель. Кнопка Torbutton перенесена в правую часть панели. По умолчанию с панели убраны индикаторы дополнений HTTPS Everywhere и NoScript (можно вернуть в интерфейсе настройки панели).

  Индикатор HTTPS Everywhere убран так как он не несёт полезной информации и перенаправление на HTTPS всегда применяется по умолчанию. Индикатор NoScript убран так как браузером предоставляется переключение между базовыми уровнями зашиты, а кнопка NoScript часто вводит в заблуждение предупреждениями, возникающими из-за принятых в Tor Browser настроек. Кнопка NoScript также предоставляет доступ к обширным настройкам, без детального понимания которых изменение параметров может привести к проблемам с приватностью и несоответствию установленного в Tor Browser уровня безопасности. Контроль блокировки JavaScript для конкретных сайтов может быть произведён через секцию дополнительных полномочий в контекстном меню адресной строки (кнопка "i");

  
• Откорректирован стиль и обеспечена совместимость Tor Browser c новым оформлением Firefox, подготовленным в рамках проекта "Photon". Изменено и унифицировано для всех платформ оформление стартовой страницы "about:tor";
• Представлены новые логотипы Tor Browser.
• Обновлены версии компонентов браузера: Firefox 60.7.0esr, Torbutton 2.1.8, HTTPS Everywhere 2019.5.6.1, te OpenSSL 1.0.2r, Tor Launcher 0.2.18.3;
• Сборки сформированы с флагом "MOZILLA_OFFICIAL", применяемом для официальных сборок Mozilla.
• Подготовлен первый стабильный выпуск мобильной редакции Tor Browser для платформы Android, который построен на кодовой базе Firefox 60.7.0 для Android и допускает работу только через сеть Tor, блокируя любые попытки установки прямого сетевого соединения. В состав включены дополнения HTTPS Everywhere и Tor Button. По функциональности редакция для Android пока отстаёт от настольной версии, но обеспечивает практически тот же уровень защиты и конфиденциальности.

  Мобильная версия размещена в Google Play, но также доступна в форме APK-пакета с сайта проекта. В ближайшее время ожидается публикация в каталоге F-droid. Поддерживается работа на устройствах с Android 4.1 или более новая версией платформы. Разработчики Tor отмечают, что не намерены создавать версию Tor Browser для iOS из-за введённых компанией Apple ограничений и рекомендуют уже доступный для iOS браузер Onion Browser, развиваемый проектом Guardian.

  

Ключевые отличия Tor Browser для Android от Firefox для Android:

• Блокирование кода для отслеживания перемещений. Каждый сайт изолируется от перекрёстных запросов, а все Cookie автоматически удаляются после завершения сеанса;
• Защита от вмешательства в трафик и наблюдения за активностью пользователя. Всё взаимодействие с внешним миром происходит только через сеть Tor и в случае перехвата трафика между пользователем и провайдером атакующий может увидеть только то, что пользователь использует Tor, но не может определить какие сайты открывает пользователь. Защита от вмешательства особенно актуальна в условиях, когда некоторые операторы мобильной связи не считают зазорным вклиниваться в незашифрованный пользовательский HTTP-трафик и подставлять свои виджеты (Билайн) или рекламные баннеры (Теле2 и Мегафон);
• Защита от определения специфичных для конкретного посетителя особенностей и от отслеживания пользователей с помощью методов скрытой идентификации ("browser fingerprinting"). Все пользователи Tor Browser со стороны выглядят одинаково и неотличимы между собой при использовании расширенных методов косвенной идентификации. Например, кроме сохранения идентификатора через Cookie и API локального хранения данных для идентификации могут учитываться специфичные для пользователя список установленных дополнений, часовой пояс, список поддерживаемых MIME-типов, параметры экрана, список доступных шрифтов, артефакты при отрисовке с использованием canvas и WebGL, параметры в заголовках HTTP/2 и HTTPS, манера работы с клавиатурой и мышью;
• Применение многоуровневого шифрования. Помимо защиты HTTPS трафик пользователя при прохождении через Tor дополнительно шифруется как минимум три раза (применяется многослойная схема шифрования, при которой пакеты обёртываются в серию слоёв с применением шифрования по открытым ключам, при которых каждый узел Tor на своём этапе обработки раскрывает очередной слой и знает лишь следующий этап передачи, а лишь последний узел может определить адрес назначения);
• Возможность доступа к блокируемым провайдером ресурсам или централизованно цензурируемым сайтам. По статистике проекта Роскомсвобода 97% блокируемых ныне в РФ сайтов заблокировано неправомерно (находятся в одних подсетях с заблокированными ресурсами). Например, до сих пор остаются заблокированными 358 тысяч IP-адресов Digital Ocean, 25 тысяч адресов Amazon WS и 59 тысяч адресов CloudFlare. Под неправомерную блокировку в том числе подпадают многие открытые проекты, включая bugs.php.net, bugs.python.org, 7-zip.org, powerdns.com и midori-browser.org.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50719

Форум: Новости
Автор: banbot

Представлен релиз web-браузера Firefox 67, а также мобильной версии Firefox 67 для платформы Android. Кроме того, сформировано обновление ветки с длительным сроком поддержки 60.7.0. В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 68, релиз которой намечен на 9 июля.
Основные новшества:

• Реализована возможность автоматической выгрузки вкладок для высвобождения ресурсов. Функция активируется при нехватке памяти (менее 400 Мб свободной памяти) и в первую очередь вытесняет давно не используемые вкладки. При этом вкладки не исчезают, а переводятся в состояние готовности к загрузке (режим ожидания), аналогичное тому, что наблюдается после восстановления сеанса. Для управления работой режима в about:config добавлена опция "browser.tabs.unloadOnLowMemory";
  
• Ускорена загрузка страниц при наличии работ, интенсивно нагружающих процессор. Оптимизация реализована через снижение приоритета обработчиков событий таймеров setTimeout во время загрузки страницы (по аналогии с фоновыми вкладками уменьшен предоставляемый бюджет времени, который расходуется на выполнение обработчика событий таймера). Ограничение фоновых обработчиков позволяет выделить больше ресурсов основным обработчикам, влияющим на начальную отрисовку страницы. Например, основные скрипты Instagram, Amazon и Google благодаря добавленной оптимизации запускаются на 40-80% быстрее;
  
• На поздние стадии загрузки вынесены некоторые второстепенные обработчики. Например, сканирование альтернативных CSS-стилей теперь выполняется не во время, а после загрузки страницы. Загрузка модуля автодополнения ввода отложена до готовности форм ввода;
  
• Изменён подход к отрисовке во время загрузки страницы - вывод теперь начинается на более раннем этапе загрузки, но операции отрисовки вызываются реже;
  
• Инициализации некоторых подсистем браузера и связанных с изменением оформления дополнений отложена до окончания основной загрузки, что позволило сократить время между запуском браузера и его готовности к показу страниц;
  
• Реализована возможность блокирования JavaScript-вставок, осуществляющих майнинг криптовалют или отслеживающих пользователей с помощью методов скрытой идентификации ("browser fingerprinting"). Блокировка осуществляется по дополнительным категориям (fingerprinting и cryptomining) в списке Disconnect.me, включающим хосты, уличённые в использовании майнеров и кода для скрытой идентификации. По умолчанию новые режимы блокировки отключены, а для их активации в связанные с конфиденциальностью настройки добавлены новые опции "Cryptominers" и "fingerprinters". Проследить за срабатыванием блокировщика можно через контекстное меню сайта, отображаемое при клике на пиктограмму с изображением щита в адресной строке;
  
  
  
  
  
  
  
  
  
  
• В основное меню и диалог с рекомендациями заполнения форм входа добавлена возможность быстрого перехода к сохранённым для сайта паролям;
  
  
  
  
  
  
  
  
  
  
• В состав включена система композитинга Servo WebRender, написанная на языке Rust и выносящая на сторону GPU операции отрисовки содержимого страницы. При использовании WebRender вместо встроенной в движок Gecko системы композитинга, обрабатывающей данные при помощи CPU, для выполнения операций сводной отрисовки элементов страницы используются шейдеры, выполняемые в GPU, что позволяет добиться существенного увеличения скорости отрисовки и снизить нагрузку на CPU.
  
  По умолчанию WebRender пока активирован примерно для 4% пользователей Windows 10, у которых используются видеокарты NVIDIA. Включение для остальных пользователей будет зависеть от результатов тестирования. Если всё пройдёт гладко до 27 мая охват тестирования будет расширен до 25%, 30 мая до 50%, а в течение первой недели июня до 100%. Проверить активацию WebRender можно на странице about:support. Для принудительного включения в about:config следует активировать настройки "gfx.webrender.all" и "gfx.webrender.enabled" или запустив Firefox с выставленной переменной окружения MOZ_WEBRENDER=1. В Linux поддержка WebRender более-менее стабилизирована для видеокарт Intel c драйверами Mesa 18.2+;
  
  
• Переработан механизм работы с профилями: если раньше при установке нескольких разных экземпляров Firefox по умолчанию использовался один общий профиль с настройкам, дополнениями и информационными базами (закладки, история, сохранённые пароли, cookie и т.д.), то теперь для каждого параллельно установленного экземпляра будет создаваться собственный отдельный профиль. Например, при одновременной установке ESR, бета, ночных сборок, редакции Developer Edition и обычного выпуска Firefox, для них будут созданы раздельные профили.
  
  Основной причиной перехода к раздельным профилям являются возможные проблемы в случае использования профиля нового выпуска в более старой версии Firefox, а также при одновременном доступе к БД профиля из параллельно запущенных разных экземпляров Firefox, что потенциально может привести к повреждению данных. Для выбора существующего профиля как и раньше можно использовать интерфейс "firefox -ProfileManager". После завершения установки Firefox при обнаружении уже имеющегося в системе профиля выводится специальное предупреждение с предложением синхронизировать настройки через учётную запись в облачном сервисе Mozilla Sync.
  
  
• В основной состав включено системное дополнение Monitor, эксперименты по активации которого для ограниченного числа пользователей проводились начиная с Firefox 62, но финальная активация для всех пользователей произведена только сейчас. Дополнение Firefox Monitor обеспечивает вывод предупреждения в случае компрометации учётной записи (проверка по email) или попытке входа на ранее взломанный сайт. Проверка осуществляется через интеграцию с базой данных проекта haveibeenpwned.com, включающей сведения о 7.8 миллиардах учётных записей, похищенных в результате взломов 364 сайтов. Предупреждение выводится только для сайтов, информация о взломах которых добавлена в базу haveibeenpwned.com в течение последних 12 месяцев. В случае если с момента появления данных о взломе не прошло 2 месяца будет показано повторное предупреждение.
  
  
  
  
  
  
• Расширено число вызовов API, которые доступны только при открытии страницы в защищённом контексте (Secure Context), т.е. при открытии по HTTPS, через localhost или из локального файла. В Firefox 67 для страниц, открытых вне защищённого контекста, запрещён вывод системных уведомлений через API Notifications, показываемых вне окна браузера;
  
• Расширены возможности приватного режима просмотра. Добавлена возможность сохранять пароли в формах на сайтах, открываемых в приватном режиме. Реализованы средства управления активацией дополнений в приватном режиме - в менеджере дополнений пользователь теперь может определить какие дополнения включать в приватном режиме, а какие использовать только в основном сеансе. Для новых дополнений по умолчанию запрещается активация в приватном режиме (для включения требуется изменение настроек);
  
  
  
  
  
  
• Реализация поддержки видеокодека AV1 переведена на использование библиотеки dav1d, развиваемой сообществами VideoLAN и FFmpeg и ориентированной на достижение максимально возможной производительности декодирования и обеспечение качественной работы в многопоточном режиме. Отмечается, что формат AV1 начинает набирать популярность, если в феврале доля просматриваемых в бета-выпусках Firefox роликов AV1 составляя 0.85%, а в марте - 3%, то теперь этот показатель составляет 11.8%;
  
• Расширены возможности по управлению браузером при помощи клавиатуры - панелью и выпадающим меню теперь можно управлять только с клавиатуры, включая доступ к размещённым на панели кнопкам дополнений, не влезающим на экран элементам, индикатору загрузки, действиям со страницей и т.п. Навигация по элементам панели осуществляется при помощи клавиши Tab и стрелок на клавиатуре;
  
• На панель добавлен индикатор для оценки статуса синхронизации, подключения к учётной записи и совместного доступа к данным с нескольких устройств, а так же для быстрого доступа к операциям, использующим учётную запись в Firefox Account. Имеется возможность отображения вместо типовой пиктограммы своего аватара;
  
  
  
  
  
  
  
  
  
  
• Добавлена возможность закрепления вкладок (Pin Tabs) через меню в адресной строке. Закреплённые вкладки остаются всегда активны, запускаются автоматически и позволяют упростить доступ к постоянно используемым сайтам;
  
  
  
  
  
  
• Реализована система контекстных подсказок, рекомендующая пользователю те или иные возможности, учитывая контекст;
  
• В меню "File" добавлена новая кнопка для импорта настроек и данных из других браузеров (поддерживается импорт из Chrome и Chromium);
  
  
  
  
  
  
• Прекращена поддержка использования в URL протокола "webcal:", связанного с сервисом 30boxes.com;
  
• Убрана возможность загрузки скриншотов на сервер Firefox Screenshots и организация совместного доступа к скриншотам. В ближайшие месяцы сервер со скриншотами будет отключен и пользователям рекомендуется экспортировать с него имеющиеся данные;
  
• Обновлён включённый в поставку шрифт Twemoji. В новой версии добавлена поддержка спецификации Emoji 11.0;
  
• Дополнительным категориям пользователей предложено принять участие в экспериментах c выводом дополнительного информационного контента, рекомендованного сервисом Pocket, а также с изменением раскладки размещения информации на стартовой странице. Например, у некоторых пользователей будет изменён размер блоков и число рекомендаций, предложены новые тематические секции (Здоровье, Наука, Технологии и Развлечения). Для отказа от участия в эксперименте следует в верхнем правом углу страницы новой вкладки отключить опцию "Content Discovery";
  
• Запрещено использование дополнительных протоколов в URL, используемых в качестве источника для загрузки iframe. Речь ведётся о внешних протоколах, не возвращающих какие-либо данные, таких как "mailto:", "ircs://" и "itms://". Блокировка  предпринята для защиты от возможных DoS-атак, направленных на исчерпание имеющихся ресурсов при открытии страниц, содержащих большое число iframe-блоков, ссылающихся на внешние обработчики. Например, при указании конструкций вида ‹iframe src="mailto:support@example.com"› можно инициировать запуск большого числа экземпляров почтового клиента;
  
• В оптимизирующем компиляторе JavaScript добавлена поддержка устройств на базе архитектуры ARM64, работающих под управлением Windows;
  
• Включен по умолчанию API FIDO U2F, предназначенный для организации работы двухфакторной аутентификации в различных web-сервисах. Разрешено применение U2F для учётных записей Google;
  
• Добавлена поддержка динамического импорта модулей JavaScript при помощи выражения import;
  
• Реализован и включен по умолчанию метод String.prototype.matchAll() для сопоставления с использованием регулярных выражений. При использовании метода match с флагом "/g" возвращается простой массив строк, но при единичном сопоставлении (без флага "/g") выводится объект с расширенными свойствами. Метод matchAll отличается от выполнения метода match с флагом "/g" тем, что он возвращает массив объектов со свойствами всех совпадений, а не массив строк;
  
• В JavaScript-файлах реализована возможность использования комментария "#!" (hashbang), задаваемого в первой строке и определяющего интерпретатор для запуска. Например, по аналогии с другими скриптовыми языками файл JavaScript может начинаться со строки "#!/usr/bin/env node";
  
• Добавлены свойства InputEvent.data (строка  DOMString с введёнными символами) и InputEvent.dataTransfe (объект DataTransfer с информацией о текстовых данных, добавленных или удалённых из формы редактирования);
  
• Реализована поддержка HTTP-заголовка Cross-Origin-Opener-Policy;
  
• В HTML-теги input добавлено свойство "autocomplete=new-password",  позволяющее запретить использование ранее сохранённых паролей для автозаполнения поля;
  
• В CSS реализовано ключевое слово "revert", которое сбрасывает значение свойства к унаследованному значению или к значению, устанавливаемому браузером по умолчанию;
  
• В CSS-свойстве "word-break" добавлена поддержка значения "break-word" ("word-break: break-word"), разрешающего разрывать  слова в произвольной позиции, если они не вмещаются в ширину блока и отсутствует возможность корректного разрыва содержимого строки (например, когда встречается очень длинное слово, занимающее всю строку);
  
• Добавлено media-свойство prefers-color-scheme, позвляющее через CSS определить использование тёмной или светлой темы оформления;
  
• В CSS запрещено использование пользовательских курсоров, размером больше 32 пикселей;
  
• В средствах для web-разработчиков обеспечена поддержка копирования изменённого CSS из панели "Changes", на которой отражается история всех изменений CSS, произведённых через панель Rules в рамках текущего сеанса работы в инструментах для разработчиков;
  
  
  
  
  
  
• Заметно расширены возможности встроенного отладчика JavaScript.  Добавлена возможность сопоставления разных представлений кода (source map), позволяющая просматривать переменные из оригинальных исходных текстов при отладке итоговых модулей (например, можно в процессе отладки сгенерированного JavaScript работать с изначальным кодом на Babel, Webpack, TypeScript, vue.js). Примерно на 30% увеличена производительность и скорость запуска отладчика, значительно снижены накладные расходы при работе отладчика. Добавлена панель Threads с инструментами для отладки Web Worker-ов.
  
  
  
  
  
  Улучшено качество обработки выставляемых в коде (inline) точек останова - добавлена возможность установки точек останова в привязке к отдельным частям сложных выражений в строке (column breakpoint), например, в цепочке вызовов функций;
  
  
  
  
  
  Добавлена поддержка точек журналирования (Log points), позволяющих сбрасывать информацию о номере строки в коде и значениях выбранных переменных в web-консоль в момент срабатывания метки, но в отличие от точек останова без приостановки выполнения скрипта;
  
  
  
  
  
  
• В режиме инспектирования сети (Network monitor) обеспечена пометка ресурсов, связанных с известными сервисами отслеживания перемещений. В списке сетевых запросов добавлена поддержка сортировки по заданным столбцам и управления отображением столбцов. В контекстное меню добавлен элемент для сброса параметров сортировки в значение по умолчанию;
  
• Удалены отладчик Canvas, редактор шейдеров и редактор WebAudio, которые ранее были объявлены устаревшими. В разряд устаревших переведены WebIDE и страница "Connect";
  
• В версии для платформы Android поведение, связанное с обработкой параметров видимой области (Viewport), приведено в соответствие с другими браузерами. Добавлена возможность добавления на домашний экран поискового виджета Firefox с функциями голосового ввода. Прекращена поддержка гостевого сеанса (Guest Session), вместо которого рекомендуется использовать режим приватного просмотра.
  

Кроме новшеств и исправления ошибок в Firefox 67 устранена серия уязвимостей, из которых несколько помечены как критические, т.е. могут привести к выполнению кода злоумышленника при открытии специально оформленных страниц. В настоящее время информация с подробностями об исправленных проблемах безопасности недоступна, ожидается, что перечень уязвимостей будет опубликован в течение нескольких часов. Дополнение: устранено 25 критических уязвимостей  (8 под CVE-2019-9814 и 17 под CVE-2019-9800).

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Windows (ARM 64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки
   
    Android (с Google Play)

        Android (ARMv7, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (ARMv7, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)

   Другие языки

Что нового в Firefox 67 для разработчиков
Примечания к выпуску для Windows, Mac and Linux
Примечания к выпуску для Android

Новость взята с сайта opennet.ru

Представлен релиз web-браузера Firefox 67, а также мобильной версии Firefox 67 для платформы Android. Кроме того, сформировано обновление ветки с длительным сроком поддержки 60.7.0. В ближайшее время на стадию бета-тестирования перейдёт ветка Firefox 68, релиз которой намечен на 9 июля.

Основные новшества:

• Реализована возможность автоматической выгрузки вкладок для высвобождения ресурсов. Функция активируется при нехватке памяти (менее 400 Мб свободной памяти) и в первую очередь вытесняет давно неиспользуемые вкладки. При этом вкладки не исчезают, а переводятся в состояние готовности к загрузке (режим ожидания), аналогичное тому, что наблюдается после восстановления сеанса. Для управления работой режима в about:config добавлена опция "browser.tabs.unloadOnLowMemory";
• Ускорена загрузка страниц при наличии работ, интенсивно нагружающих процессор. Оптимизация реализована через снижение приоритета обработчиков событий таймеров setTimeout во время загрузки страницы (по аналогии с фоновыми вкладками уменьшен предоставляемый бюджет времени, который расходуется на выполнение обработчика событий таймера). Ограничение фоновых обработчиков позволяет выделить больше ресурсов основным обработчикам, влияющим на начальную отрисовку страницы. Например, основные скрипты Instagram, Amazon и Google благодаря добавленной оптимизации запускаются на 40-80% быстрее;
• На поздние стадии загрузки вынесены некоторые второстепенные обработчики. Например, сканирование альтернативных CSS-стилей теперь выполняется не во время, а после загрузки страницы. Загрузка модуля автодополнения ввода отложена до готовности форм ввода;
• Изменён подход к отрисовке во время загрузки страницы - вывод теперь начинается на более раннем этапе загрузки, но операции отрисовки вызываются реже;
• Инициализация некоторых подсистем браузера и связанных с изменением оформления дополнений отложена до окончания основной загрузки, что позволило сократить время между запуском браузера и его готовностью к показу страниц;
• Реализована возможность блокирования JavaScript-вставок, осуществляющих майнинг криптовалют или отслеживающих пользователей с помощью методов скрытой идентификации ("browser fingerprinting"). Блокировка осуществляется по дополнительным категориям (fingerprinting и cryptomining) в списке Disconnect.me, включающим хосты, уличённые в использовании майнеров и кода для скрытой идентификации. По умолчанию новые режимы блокировки отключены, а для их активации в связанные с конфиденциальностью настройки добавлены новые опции "Cryptominers" и "fingerprinters". Проследить за срабатыванием блокировщика можно через контекстное меню сайта, отображаемое при клике на пиктограмму с изображением щита в адресной строке;
• В основное меню и диалог с рекомендациями заполнения форм входа добавлена возможность быстрого перехода к сохранённым для сайта паролям;
• В состав включена система композитинга Servo WebRender, написанная на языке Rust и выносящая на сторону GPU операции отрисовки содержимого страницы. При использовании WebRender вместо встроенной в движок Gecko системы композитинга, обрабатывающей данные при помощи CPU, для выполнения операций сводной отрисовки элементов страницы используются шейдеры, выполняемые в GPU, что позволяет добиться существенного увеличения скорости отрисовки и снизить нагрузку на CPU.

  По умолчанию WebRender пока активирован примерно для 4% пользователей Windows 10, у которых используются видеокарты NVIDIA. Включение для остальных пользователей будет зависеть от результатов тестирования. Если всё пройдёт гладко то 27 мая охват тестирования будет расширен до 25%, 30 мая до 50%, а в течение первой недели июня до 100%. Проверить активацию WebRender можно на странице about:support. Для принудительного включения в about:config следует активировать настройки "gfx.webrender.all" и "gfx.webrender.enabled" или запустив Firefox с выставленной переменной окружения MOZ_WEBRENDER=1. В Linux поддержка WebRender более-менее стабилизирована для видеокарт Intel c драйверами Mesa 18.2+;

• Переработан механизм работы с профилями: если раньше при установке нескольких разных экземпляров Firefox по умолчанию использовался один общий профиль с настройкам, дополнениями и информационными базами (закладки, история, сохранённые пароли, cookie и т.д.), то теперь для каждого параллельно установленного экземпляра будет создаваться собственный отдельный профиль. Например, при одновременной установке ESR, бета-версий, ночных сборок, редакции Developer Edition и обычного выпуска Firefox, для них будут созданы раздельные профили.

  Основной причиной перехода к раздельным профилям являются возможные проблемы в случае использования профиля нового выпуска в более старой версии Firefox, а также при одновременном доступе к БД профиля из параллельно запущенных разных экземпляров Firefox, что потенциально может привести к повреждению данных. Для выбора существующего профиля как и раньше можно использовать интерфейс "firefox -ProfileManager". После завершения установки Firefox при обнаружении уже имеющегося в системе профиля выводится специальное предупреждение с предложением синхронизировать настройки через учётную запись в облачном сервисе Mozilla Sync. При попытке использования профиля из более старой версии Firefox теперь будет выводиться ошибка, обойти которую можно через указание опции "-allow-downgrade";

• В основной состав включено системное дополнение Firefox Monitor, эксперименты по активации которого для ограниченного числа пользователей проводились начиная с Firefox 62, но финальная активация для всех пользователей произведена только сейчас. Дополнение Firefox Monitor обеспечивает вывод предупреждения в случае компрометации учётной записи (проверка по email) или попытке входа на ранее взломанный сайт. Проверка осуществляется через интеграцию с базой данных проекта haveibeenpwned.com, включающей сведения о 7.8 миллиардах учётных записей, похищенных в результате взломов 364 сайтов. Предупреждение выводится только для сайтов, информация о взломах которых добавлена в базу haveibeenpwned.com в течение последних 12 месяцев. В случае если с момента появления данных о взломе не прошло 2 месяца будет показано повторное предупреждение.
  
• Расширено число вызовов API, которые доступны только при открытии страницы в защищённом контексте (Secure Context), т.е. при открытии по HTTPS, через localhost или из локального файла. В Firefox 67 для страниц, открытых вне защищённого контекста, запрещён вывод системных уведомлений через API Notifications, показываемых вне окна браузера;
• Расширены возможности приватного режима просмотра. Добавлена возможность сохранять пароли в формах на сайтах, открываемых в приватном режиме. Реализованы средства управления активацией дополнений в приватном режиме - в менеджере дополнений пользователь теперь может определить какие дополнения включать в приватном режиме, а какие использовать только в основном сеансе. Для новых дополнений по умолчанию запрещается активация в приватном режиме (для включения требуется изменение настроек);
• Реализация видеокодека AV1 переведена на использование библиотеки dav1d, развиваемой сообществами VideoLAN и FFmpeg и ориентированной на достижение максимально возможной производительности декодирования и обеспечение качественной работы в многопоточном режиме. По умолчанию активирован декодировщик AV1 в сборках для Linux. Отмечается, что формат AV1 начинает набирать популярность, если в феврале доля просматриваемых в бета-выпусках Firefox роликов AV1 составляя 0.85%, а в марте - 3%, то теперь этот показатель составляет 11.8%;
• Расширены возможности по управлению браузером при помощи клавиатуры - панелью и выпадающим меню теперь можно управлять только с клавиатуры, включая доступ к размещённым на панели кнопкам дополнений, не влезающим на экран элементам, индикатору загрузки, действиям со страницей и т.п. Навигация по элементам панели осуществляется при помощи клавиши Tab и стрелок на клавиатуре;
• На панель добавлен индикатор для оценки статуса синхронизации, подключения к учётной записи и совместного доступа к данным с нескольких устройств, а так же для быстрого доступа к операциям, использующим учётную запись в Firefox Account. Имеется возможность отображения вместо типовой пиктограммы своего аватара;
• Добавлена возможность закрепления вкладок (Pin Tabs) через меню в адресной строке. Закреплённые вкладки остаются всегда активны, запускаются автоматически и позволяют упростить доступ к постоянно используемым сайтам;
• Реализована система контекстных подсказок, рекомендующая пользователю те или иные возможности, учитывая контекст;
• В меню "File" добавлена новая кнопка для импорта настроек и данных из других браузеров (поддерживается импорт из Chrome и Chromium);
• Прекращена поддержка использования в URL протокола "webcal:", связанного с сервисом 30boxes.com;
• Убрана возможность загрузки скриншотов на сервер Firefox Screenshots и организации совместного доступа к скриншотам через сервер Mozilla. В ближайшие месяцы сервер со скриншотами будет отключен и пользователям рекомендуется экспортировать с него имеющиеся данные;
• Обновлён включённый в поставку шрифт Twemoji. В новой версии добавлена поддержка спецификации Emoji 11.0;
• Дополнительным категориям пользователей предложено принять участие в экспериментах c выводом дополнительного информационного контента, рекомендованного сервисом Pocket, а также с изменением раскладки размещения информации на стартовой странице. Например, у некоторых пользователей будет изменён размер блоков и число рекомендаций, предложены новые тематические секции (Здоровье, Наука, Технологии и Развлечения). Для отказа от участия в эксперименте следует в верхнем правом углу страницы новой вкладки отключить опцию "Content Discovery";
• Запрещено использование дополнительных протоколов в URL, используемых в качестве источника для загрузки iframe. Речь ведётся о внешних протоколах, не возвращающих какие-либо данные, таких как "mailto:", "ircs://" и "itms://". Блокировка предпринята для защиты от возможных DoS-атак, направленных на исчерпание имеющихся ресурсов при открытии страниц, содержащих большое число iframe-блоков, ссылающихся на внешние обработчики. Например, при указании конструкций вида ‹iframe src="mailto:support@example.com"› можно инициировать запуск большого числа экземпляров почтового клиента;
• В оптимизирующем компиляторе JavaScript добавлена поддержка устройств на базе архитектуры ARM64, работающих под управлением Windows;
  
  
  
• Включен по умолчанию API FIDO U2F, предназначенный для организации работы двухфакторной аутентификации в различных web-сервисах. Разрешено применение U2F для учётных записей Google;
• Добавлена поддержка динамического импорта модулей JavaScript при помощи выражения import;
• Реализован и включен по умолчанию метод String.prototype.matchAll() для сопоставления с использованием регулярных выражений. При использовании метода match с флагом "/g" возвращается простой массив строк, но при единичном сопоставлении (без флага "/g") выводится объект с расширенными свойствами. Метод matchAll отличается от выполнения метода match с флагом "/g" тем, что он возвращает массив объектов со свойствами всех совпадений, а не массив строк;
• В JavaScript-файлах реализована возможность использования комментария "#!" (hashbang), задаваемого в первой строке и определяющего интерпретатор для запуска. Например, по аналогии с другими скриптовыми языками файл JavaScript может начинаться со строки "#!/usr/bin/env node";
• Добавлены свойства InputEvent.data (строка DOMString с введёнными символами) и InputEvent.dataTransfer (объект DataTransfer с информацией о текстовых данных, добавленных или удалённых из формы редактирования);
• Реализована поддержка HTTP-заголовка Cross-Origin-Opener-Policy;
• В HTML-теги input добавлено свойство "autocomplete=new-password", позволяющее запретить использование ранее сохранённых паролей для автозаполнения поля;
• В CSS реализовано ключевое слово "revert", которое сбрасывает значение свойства к унаследованному значению или к значению, устанавливаемому браузером по умолчанию;
• В CSS-свойстве "word-break" добавлена поддержка значения "break-word" ("word-break: break-word"), разрешающего разрывать слова в произвольной позиции, если они не вмещаются в ширину блока и отсутствует возможность корректного разрыва содержимого строки (например, когда встречается очень длинное слово, занимающее всю строку);
• Добавлено media-свойство prefers-color-scheme, позвляющее через CSS определить использование тёмной или светлой темы оформления;
• В CSS запрещено использование пользовательских курсоров, размером больше 32 пикселей;
  
  
  
• В средствах для web-разработчиков обеспечена поддержка произвольного выделения строк и копирования в буфер обмена содержимого из панели "Changes", на которой отражается история всех изменений CSS, произведённых через панель Rules в рамках текущего сеанса работы в инструментах для разработчиков;
• Заметно расширены возможности встроенного отладчика JavaScript. Добавлена возможность сопоставления разных представлений кода (source map), позволяющая просматривать переменные из оригинальных исходных текстов при отладке итоговых модулей (например, можно в процессе отладки сгенерированного JavaScript работать с изначальным кодом на Babel, Webpack, TypeScript, vue.js). Примерно на 30% увеличена производительность и скорость запуска отладчика, значительно снижены накладные расходы при работе отладчика. Добавлена панель Threads с инструментами для отладки Web Worker-ов.

  Улучшено качество обработки выставляемых в коде (inline) точек останова - добавлена возможность установки точек останова в привязке к отдельным частям сложных выражений в строке (column breakpoint), например, в цепочке вызовов функций;

  

  Добавлена поддержка точек журналирования (Log points), позволяющих сбрасывать информацию о номере строки в коде и значениях выбранных переменных в web-консоль в момент срабатывания метки, но в отличие от точек останова без приостановки выполнения скрипта;

  
• В режиме инспектирования сети (Network monitor) обеспечена пометка ресурсов, связанных с известными сервисами отслеживания перемещений. В списке сетевых запросов добавлена поддержка сортировки по заданным столбцам и управления отображением столбцов. В контекстное меню добавлен элемент для сброса параметров сортировки в значение по умолчанию;
• Удалены отладчик Canvas, редактор шейдеров и редактор WebAudio, которые ранее были объявлены устаревшими. В разряд устаревших переведены WebIDE и страница "Connect";
• В версии для платформы Android поведение, связанное с обработкой параметров видимой области (Viewport), приведено в соответствие с другими браузерами. Добавлена возможность добавления на домашний экран поискового виджета Firefox с функциями голосового ввода. Прекращена поддержка гостевого сеанса (Guest Session), вместо которого рекомендуется использовать режим приватного просмотра.

Кроме новшеств и исправления ошибок в Firefox 67 устранена серия уязвимостей, из которых несколько помечены как критические, т.е. могут привести к выполнению кода злоумышленника при открытии специально оформленных страниц. В настоящее время информация с подробностями об исправленных проблемах безопасности недоступна, ожидается, что перечень уязвимостей будет опубликован в течение нескольких часов. Дополнение: устранено 25 критических уязвимостей (8 под CVE-2019-9814 и 17 под CVE-2019-9800).

Источник: http://www.opennet.ru/opennews/art.shtml?num=50717

Инженеры из компаний Cloudflare, Mozilla, Facebook и Bloomberg предложили новый формат BinaryAST для ускорения доставки и обработки JavaScript-кода при открытии сайтов в браузере. BinaryAST выносит фазу синтаксического разбора на сторону сервера и поставляет уже сформированное абстрактное синтаксическое дерево (AST). При получении BinaryAST браузер сразу может перейти на стадию компиляции, минуя парсинг исходного кода JavaScript.

Для тестирования подготовлена эталонная реализация, поставляемая под лицензий MIT. Для парсинга используются компоненты Node.js, а код для оптимизации и формирования AST написан на языке Rust. На стороне браузера поддержка BinaryAST уже доступна в ночных сборках Firefox. Кодировщик в BinaryAST может применяться как на уровне инструментария конечного сайта, так и для упаковки скриптов внешних сайтов на стороне прокси или сети доставки контента. В настоящее время уже начался процесс стандартизации BinaryAST рабочей группой ECMA TC39, после завершения которого формат сможет сосуществовать с существующими методами сжатия отдаваемого контента, такими как gzip и brotli.

Значительное время при обработке JavaScript занимает фаза загрузки и синтаксического разбора кода. С учётом того, что объём загружаемого JavaScript на многих популярных сайтах приближается к 10 Мб (например для LinkedIn - 7.2 Мб, Facebook - 7.1 Мб), первичная обработка JavaScript вносит существенную задержку. Стадия парсинга на стороне браузера также замедляется из-за невозможности полноценного построения AST на лету по мере загрузки кода (браузеру приходится ожидать завершения загрузки блоков, например конца функций, для получения недостающей для разбора текущих элементов информации).

Частично проблему пытаются решить через распространение кода в минимизированном и сжатом виде, а также при помощи кэширования браузером сгенерированного байткода. На современных сайтах код обновляется достаточно часто, поэтому кэширование лишь частично решает проблему. Выходом мог бы стать WebAssembly, но он требует использования явной типизации в коде и плохо подходит для ускорения обработки уже существующего кода на JavaScript.

Другим вариантом является доставка готового скомпилированного байткода вместо JavaScript-скриптов, но разработчики браузерных движков выступают против, так как сторонний байткод трудно верифицировать, его прямая обработка может привести к расслоению Web, возникают дополнительные угрозы безопасности и требуется разработка формата универсального байткода.

BinaryAST позволяет вписаться в текущую модель разработки и доставки кода без создания нового формата байткода и без изменения языка JavaScript. Размер данных в формате BinaryAST сопоставим со сжатым минифицированным JavaScript-кодом, а скорость обработки за счёт исключения фазы парсинга исходных текстов заметно увеличивается. Также формат BinaryAST позволяет выполнять компиляцию в байткод по мере загрузки, не ожидая завершения получения всех данных. Более того, парсинг на стороне сервера позволяет исключить из отдаваемого представления BinaryAST неиспользуемые функции и лишний код, на который при парсинге на стороне браузера тратится время, как на разбор, так и на передачу лишнего трафика.

Особенностью BinaryAST также является возможность восстановления читаемого JavaScript - не один в один совпадающего с исходным вариантом, но семантически эквивалентного и включающего те же имена переменных и функций (BinaryAST сохраняет имена, но не сохраняет информацию о позициях в коде, форматировании и комментариях). Обратной стороной медали является появление новых векторов для атак, но по мнению разработчиков они значительно меньше и более контролируемы, чем при применении альтернатив, таких как распространение байткода.

Тесты кода facebook.com показали, что на разбор JavaScript тратится 10-15% ресурсов CPU и на парсинг уходит больше времени, чем на генерацию байткода и начальное формирование кода для JIT. В движке SpiderMonkey время полного построения AST занимает 500-800 мс и применение BinaryAST позволило сократить этот показатель на 70-90%. В целом, для большинства web-фреймворков при применении BinaryAST время парсинга JavaScript сокращается на 3-10% в режиме без оптимизации и на 90-97% при включении режима игнорирования неиспользуемых функций. При выполнении тестового JavaScript-набора, размером 1.2 Мб, применение BinaryAST позволило ускорить время начала запуска с 338 до 314 мс на настольной системе (Intel i7) и с 2019 до 1455 мс на мобильном устройстве (HTC One M8).

Источник: http://www.opennet.ru/opennews/art.shtml?num=50701

Разработчики Mozilla объявили об удалении из кодовой базы Firefox доступных пользователю настроек для отключения многопроцессного режима работы (e10s). В качестве причины прекращения поддержки возврата в однопроцессный режим отмечается его низкая безопасность и потенциальные проблемы со стабильностью из-за отсутствия полного охвата при тестировании. Однопроцессный режим отмечен как непригодный для повседневного использования.

Начиная c Firefox 68 из about:config будут удалены настройки "browser.tabs.remote.force-enable" и "browser.tabs.remote.force-disable", управляющие включением e10s. Кроме того, установка значения "false" в опции "browser.tabs.remote.autostart" не будет автоматически приводить к отключению многопроцессного режима на настольных версиях Firefox, в официальных сборках и при запуске без включения режима выполнения автоматизированных тестов.

В сборках для мобильных устройств, при проведении тестов (при активной переменной окружения MOZ_DISABLE_NONLOCAL_CONNECTIONS или опции "--disable-e10s") и в неофициальных сборках (без MOZ_OFFICIAL) опция "browser.tabs.remote.autostart" по-прежнему сможет применяться для отключения e10s. Для разработчиков также добавлен обходной путь для отключения e10s, реализуемый через установку переменной окружения "MOZ_FORCE_DISABLE_E10S" перед запуском браузера. Начиная с Firefox 66 по молчанию число запускаемых по умолчанию процессов-обработчиков контента увеличено с 4 до 8 (опционально можно выбрать и один процесс, но это не отключает многопроцессный режим, а подразумевает, что помимо процесса для формирования интерфейса будет запущен дополнительный процесс для обработки содержимого вкладок).

Дополнительно можно отметить публикацию плана прекращения поддержки TLS 1.0 и 1.1 в Firеfox. В марте 2020 года возможность установки защищённого соединения с использованием TLS 1.0 и 1.1 будет удалена и попытка открытия сайтов не поддерживающих TLS 1.2 или TLS 1.3 будет приводить к выводу ошибки. В ночных сборках поддержка устаревших версий TLS будет отключена в октябре 2019 года.

Прекращение поддержки скоординировано с разработчиками других браузеров и возможность использования TLS 1.0 и 1.1 в это же время будет прекращена в Safari, Firefox, Edge и Chrome. Администраторам сайтов рекомендуется обеспечить поддержку как минимум версии TLS 1.2, а желательно TLS 1.3. В основном сайты уже перешли на TLS 1.2, например, из миллиона проверенных хостов лишь 8000 не поддерживают TLS 1.2.

Кроме того, напомним, что из-за инцидента с отключением дополнений выпуск Firefox 67 отложен на неделю и выйдет только 21 мая. Сдвига графика подготовки остальных релизов не будет.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50691

Раньше сертификаты часто истекали из-за того, что их нужно было обновлять вручную. Люди просто забывали это сделать. С появлением Let’s Encrypt и автоматической процедуры обновления вроде бы проблема должна быть решена. Но недавняя история с Firefox показывает, что на самом деле она по-прежнему актуальна. К сожалению, сертификаты продолжают истекать.

Если кто-то пропустил эту историю, в полночь 4 мая 2019 года внезапно прекратили работать почти все расширения Firefox.
Читать дальше →

Об авторе. Эрик Рескорла — технический директор группы Firefox в Mozilla

Недавно в Firefox произошёл инцидент, когда большинство дополнений (расширений, аддонов) перестали работать. Это связано с ошибкой с нашей стороны: мы не заметили, что истёк срок действия одного из сертификатов, который используется для подписи дополнений, что привело к отключению подавляющего большинства из них. Теперь, когда мы исправили проблему, и большинство дополнений восстановлены, я хотел бы подробно рассказать, что произошло, почему и как мы всё починили.

Для справки: расширения и их подпись

Хотя многие используют Firefox как есть из коробки, браузер также поддерживает мощный механизм расширений. Они добавляют в Firefox сторонние функции, расширяющие возможности, которые мы предлагаем по умолчанию. В настоящее время существует более 15 000 дополнений Firefox: от блокировки рекламы до управления сотнями вкладок.
Читать дальше →

Форум: Новости
Автор: banbot

По горячим следам опубликованы дополнительные корректирующие выпуски Firefox 66.0.5 и 60.6.3 ESR, в которых продолжена работа по восстановлению дополнений, отключенных из-за просроченного промежуточного сертификата. В частности, решена проблема с обновлением промежуточного сертификата в случае установки мастер-пароля, через который контролируется доступ к базе сохранённых учётных записей. Так как для замены сертификата требуется, чтобы мастер-пароль был введён, в качестве обходного пути решения проблемы можно совершить любое действие, при котором необходим ввод мастер-пароля (например, запросить просмотр сохранённых паролей или инициировать автозаполнение запомненной формы входа).
Кроме того, можно отметить несколько недавних событий, связанных с Firefox:

• В Firefox 67 и 68 решено расширить число вызовов API, которые будут доступны только при открытии страницы в защищённом контексте (Secure Context), т.е. при открытии по HTTPS, через localhost или из локального файла. В Firefox 67 для страниц, открытых вне защищённого контекста, будет запрещён вывод системных уведомлений через API Notifications, показываемых вне окна браузера. В Firefox 68 при незащищённых обращениях будут  блокироваться запросы к вызову getUserMedia() для получения доступа к источникам мультимедийных данных (например, камере и микрофону). Следует отметить, что данные ограничения  уже применяются начиная с Chrome 62 и 47.
  
• В ночных сборках, на основе которых формируется релиз Firefox 68, заменена реализация адресной строки. На смену Awesome Bar пришёл Quantum Bar. С точки зрения пользователя, за небольшими исключениями, всё осталось как раньше, но внутренности полностью переделаны и код переписан с заменой XUL/XBL на стандартный Web API. Новая реализация существенно упрощает процесс расширения функциональности (поддерживается создание дополнений в формате WebExtensions), снимает жёсткие привязки к подсистемам браузера, позволяет легко подключать новые источники данных, обладает более высокой производительностью и отзывчивостью интерфейса.
  Из заметных изменений в поведении отмечается только необходимость использования комбинаций Shift+Del или Shift+BackSpace (раньше работало без Shift) для удаления записей истории просмотра из результата выводимой при начале ввода подсказки.
  
• Начался процесс вытеснения классической редакции Firefox для Android новым браузером для мобильных устройств, развиваемым в рамках проекта Fenix и использующим движок GeckoView и  набор библиотек Mozilla Android Components, которые уже применяются для построения браузеров Firefox Focus и Firefox Lite. GeckoView является вариантом движка Gecko, оформленном в виде отдельной библиотеки, которую можно обновлять независимо,  а Android Components включает библиотеки с типовыми компонентами, обеспечивающими работу вкладок, автодополнения ввода, поисковых подсказок и других возможностей браузера. Firefox 68 станет последним выпуском, вместе с которым будет сформировано обновление классической редакции Firefox для Android. Начиная с Firefox 69, который ожидается 3 сентября, новые релизы Firefox для Android выпускаться не будут, а исправления будут поставляться в форме обновлений  ESR-ветки Firefox 68. В настоящее время Fenix находится на стадии подготовки к началу бета-тестирования и по функциональности пока отстаёт от Firefox для Android. В июне ожидается первый стабильный выпуск Fenix 1.0, а до середины августа планируется выпустить браузер Fenix 2.0.
  

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки
   
    Android (с Google Play)

        Android (ARMv7, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (ARMv7, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)

   Другие языки

Что нового в Firefox 66 для разработчиков
Примечания к выпуску для Windows, Mac and Linux
Примечания к выпуску для Android

Новость взята с сайта opennet.ru

По горячим следам опубликованы дополнительные корректирующие выпуски Firefox 66.0.5 и 60.6.3 ESR, в которых продолжена работа по восстановлению дополнений, отключенных из-за просроченного промежуточного сертификата.

В частности, решена проблема с обновлением промежуточного сертификата в случае установки мастер-пароля, через который контролируется доступ к базе сохранённых учётных записей. Так как для замены сертификата требуется, чтобы мастер-пароль был введён, в качестве обходного пути решения проблемы можно совершить любое действие, при котором необходим ввод мастер-пароля (например, запросить просмотр сохранённых паролей или инициировать автозаполнение запомненной формы входа).

Кроме того, можно отметить несколько недавних событий, связанных с Firefox:

• В Firefox 67 и 68 решено расширить число вызовов API, которые будут доступны только при открытии страницы в защищённом контексте (Secure Context), т.е. при открытии по HTTPS, через localhost или из локального файла. В Firefox 67 для страниц, открытых вне защищённого контекста, будет запрещён вывод системных уведомлений через API Notifications, показываемых вне окна браузера. В Firefox 68 при незащищённых обращениях будут блокироваться запросы к вызову getUserMedia() для получения доступа к источникам мультимедийных данных (например, камере и микрофону). Следует отметить, что данные ограничения уже применяются начиная с Chrome 62 и 47.
• В ночных сборках, на основе которых формируется релиз Firefox 68, заменена реализация адресной строки. На смену Awesome Bar пришёл Quantum Bar. С точки зрения пользователя, за небольшими исключениями, всё осталось как раньше, но внутренности полностью переделаны и код переписан с заменой XUL/XBL на стандартный Web API.

  Новая реализация существенно упрощает процесс расширения функциональности (поддерживается создание дополнений в формате WebExtensions), снимает жёсткие привязки к подсистемам браузера, позволяет легко подключать новые источники данных, обладает более высокой производительностью и отзывчивостью интерфейса. Из заметных изменений в поведении отмечается только необходимость использования комбинаций Shift+Del или Shift+BackSpace (раньше работало без Shift) для удаления записей истории просмотра из результата выводимой при начале ввода подсказки.

• Начался процесс вытеснения классической редакции Firefox для Android новым браузером для мобильных устройств, развиваемым в рамках проекта Fenix и использующим движок GeckoView и набор библиотек Mozilla Android Components, которые уже применяются для построения браузеров Firefox Focus и Firefox Lite. GeckoView является вариантом движка Gecko, оформленном в виде отдельной библиотеки, которую можно обновлять независимо, а Android Components включает библиотеки с типовыми компонентами, обеспечивающими работу вкладок, автодополнения ввода, поисковых подсказок и других возможностей браузера.

  Firefox 68 станет последним выпуском, вместе с которым будет сформировано обновление классической редакции Firefox для Android. Начиная с Firefox 69, который ожидается 3 сентября, новые релизы Firefox для Android выпускаться не будут, а исправления будут поставляться в форме обновлений ESR-ветки Firefox 68. В настоящее время Fenix находится на стадии подготовки к началу бета-тестирования и по функциональности пока отстаёт от Firefox для Android. В июне ожидается первый стабильный выпуск Fenix ​​1.0, а до середины августа планируется выпустить браузер Fenix ​​2.0.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50647

Опубликованы полноценные корректирующие выпуски Firefox 66.0.4 и 60.6.2 ESR, в которых предложено исправление для замены просроченного промежуточного сертификата и восстановления отключенных дополнений. Тем не менее, отмечается наличие нескольких нерешённых побочных эффектов:

• Некоторые дополнения, например Epubreader, не восстанавливаются в about:addons после обновлении сертификата или остаются в состоянии неподдерживаемых (unsupported). Проблема касается дополнений без идентификатора в файле manifest.json, которые удалялись в случае ошибки проверки цифровой подписи. Такие дополнения рекомендовано переустановить (данные восстановятся, так как они остаются в каталоге с профилем);
• Наблюдается потеря данных и настроек в дополнениях, использующих функциональность контекстных контейнеров (Containers), например, в дополнениях Multi-Account Containers и Facebook Container. Пользователям рекомендовано с нуля перенастроить данные дополнения в about:addons;
• Не восстанавливаются темы оформления. Пользователям рекомендовано повторно активировать их в менеджере дополнений;
• Сбрасываются в значения по умолчанию изменённые дополнениями настройки домашней страницы и поисковых движков. Пользователю требуется заново настроить домашнюю страницу и поисковый движок.

Для старых версий (Firefox 56.0.2 и старее), не включающих normandy (компонент для поддержки исследований, проведения опроса и внеплановой активации новых возможностей), энтузиастами предложено решение проблемы путём извлечения сертификата из XPI-файла с исправлением. Извлечённый сертификат следует записать в pem-файл и импортировать этот файл через диалог "Options/ Privacy & Security/ Certifcates/ View Certifcates/ Authorities/ Import".

Кроме того, можно отметить обсуждение вопроса зависимости Tor Browser от инфраструктуры Mozilla. Напомним, что у пользователей Tor Browser из-за проблемы с сертификатом отключились поставляемые в комплекте дополнения NoScript и HTTPS-Everywhere, обеспечивающие дополнительный уровень защиты. Для восстановления достаточно установить настройку xpinstall.signatures.required = false в about:config, но вызывает вопросы сам факт зависимости установленных у пользователей экземпляров Tor Browser от третьего лица, действия которого могут отключить дополнительные уровни обеспечения анонимности.

Источник: http://www.opennet.ru/opennews/art.shtml?num=50633

Форум: Новости
Автор: banbot

Доступен корректирующий выпуск Firefox 66.0.4, в котором исправлена цепочка сертификатов для включения ранее отключённых из-за истечения срока действия сертификата расширений.

Загрузить:

    Русская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

    Английская версия:
        Windows (32-bit) (установка через Интернет)
        Windows (32-bit) (установка в автономном режиме)
        Windows (64-bit) (установка в автономном режиме)
        Mac OS X (32-bit/64-bit)
        Linux (32-bit)
        Linux (64-bit)

   Другие языки
   
    Android (с Google Play)

        Android (ARMv7, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (мультиязычная версия с сайта Mozilla)
        Android (ARMv7, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)
        Android (x86, 4.1 Jelly Bean и выше) (английская версия с сайта Mozilla)

   Другие языки

Что нового в Firefox 66 для разработчиков
Примечания к выпуску для Windows, Mac and Linux
Примечания к выпуску для Android

Здравствуйте, уважаемые хабровчане!

Сразу хочу предупредить, что это — моя первая публикация, так что прошу сразу оповещать обо всех замеченных проблемах, опечатках и прочем.

Утром, как обычно, я включил ноутбук и начал неспешный сёрфинг в своем любимом Firefox (релизный 66.0.3 x64). Внезапно утро перестало быть томным — в один непрекрасный момент выскочило сообщение о том, что некоторые аддоны не могут быть проверены и были отключены. «Чудесно!» подумал я и полез в панель управления аддонами.

И что же я там увидел?