Mozila Firefox

viasiljev

Дата: Воскресенье, 31.03.2019, 18:40 | Сообщение # 31

Генералиссимус

Группа: Пользователи

Сообщений: 3206

Репутация: 716

Статус: Offline

Mozilla представила возможность использования WebAssembly вне браузера

Специалисты из Mozilla представили проект WASI (WebAssembly System Interface), который подразумевает разработку API для создания обычных приложений, выполняемых вне браузера. При этом речь изначально идёт о кроссплатформенности и высоком уровне безопасности таких приложений.

Как отмечается, они запускаются в специальной «песочнице» и имеют доступ к файлам, файловой системе, сетевым сокетам, таймерам и так далее. При этом программа может выполнять только заведомо разрешённые действия.

Учитывая, что псевдокод WebAssembly является платформонезависимым вариантом языка Assembler, использование JIT позволит добиться высокой производительности кода, на уровне нативных приложений. На данный момент представлена реализация базовых POSIX API (файлы, сокеты и т. п.), но в нём пока нет поддержки блокировок и асинхронного ввода/вывода. В будущем ожидается появление модулей для криптографии, работы с 3D-графикой, датчиками и мультимедиа.

Также следует отметить, что проект Fastly представил компилятор Lucet для WebAssembly-приложений. Он позволяет безопасно выполнять сторонние программы на WebAssembly внутри других приложений, например, это подходит для плагинов. Сам компилятор написан на языке Rust, при этом он поддерживает код на С, Rust и TypeScript.

Разумеется, остаётся ещё немало вопросов к безопасности такого подхода. Выполнение кода в «песочнице» весьма странно сочетается с доступом к функциям основной системы, так что этот вопрос ещё нуждается в прояснении. Кроме того, не ясно, какие именно программы должны работать в таком режиме и как нужно будет отслеживать их поведение.

Robor

Дата: Четверг, 11.04.2019, 01:06 | Сообщение # 32

Генералиссимус

Группа: Пользователи

Сообщений: 16528

Репутация: 3150

Статус: Offline

Firefox усилит защиту от шпионов и майнеров

Создатели браузера Firefox продолжают работать над сохранением конфиденциальности пользователей. Новая версия приложения получит улучшенную защиту от слежения и блокировщик майнеров. Сайты и рекламодатели способны отследить пользователя по мельчайшим подробностям конфигурации его системы и браузера. Размеры, тип шрифта, разрешение экрана и другие настройки могут позволить злоумышленникам создать уникальный портрет пользователя и отслеживать его в сети даже после того, как почищены куки.

Новая функция, которую собираются интегрировать в Firefox специалисты по безопасности, блокирует эту возможность. Помимо улучшенной блокировки слежения, новая версия браузера Firefox сможет ещё эффективнее бороться с майнерами, использующими ресурсы компьютеров для добычи криптовалюты без ведома пользователя.

Совместно с разработчиками расширения Disconnect Mobile в Mozilla составили список доменов, уличённых в скрытом майнинге и сборе информации о пользователях. В новых версиях Firefox пользователи получат возможность самостоятельно блокировать оба вида вредоносных сценариев. Новые средства защиты уже доступны в Firefox Nightly 68 и Beta 67. По умолчанию они отключены, но их можно активировать в настройках.

Robor

Дата: Пятница, 12.04.2019, 01:57 | Сообщение # 33

Генералиссимус

Группа: Пользователи

Сообщений: 16528

Репутация: 3150

Статус: Offline

Mozilla выпустила первую бета-версию Firefox для Windows 10 на ARM

Несколько месяцев назад компания Mozilla пообещала поддержать инициативу Microsoft по выпуску компьютеров на Windows 10 с процессорами Snapdragon и представить Firefox с нативной поддержкой этой архитектуры. Сегодня разработчики наконец выполнили обещанное, выпустив первую бета-версию Firefox для ARM64.

Скачать новый браузер могут все владельцы Windows 10-компьютеров, сердцем которых выступает процессор Snapdragon 835 или новее. Поддержка ARM64 пока что доступна в бета-канале, поэтому пользователям стабильного релиза придется еще немного подождать. В разработке браузера Mozilla тесно сотрудничала с Qualcomm, а значит новая версия должна выдавать хорошую производительность на восьмиядерных процессорах Snapdragon, сохраняя при этом совместимость с веб-стандартами.

Firefox и старый Edge будут не единственными браузерами с поддержкой ARM. В ближайшем будущем Chromium обзаведется соответствующими оптимизациями для ARM-процессоров. Сейчас Microsoft тестирует первые версии Edge на движке от Google, который в будущем должен появиться также на Windows 8, Windows 7, macOS и ARM.

Если у вас есть компьютер на Snapdragon и вам интересно пересесть с Edge на что-то более мейнстримное, перейдите по ссылке, чтобы скачать бета-версию Firefox с поддержкой ARM64.

Robor

Дата: Четверг, 09.05.2019, 19:52 | Сообщение # 34

Генералиссимус

Группа: Пользователи

Сообщений: 16528

Репутация: 3150

Статус: Offline

Mozilla введет запрет на расширения с запутанным кодом

Компания Mozilla предупредила об ужесточении правил каталога расширений к Firefox с целью противодействия размещению вредоносных дополнений. В частности, разработчик запретит размещение в каталоге расширений с обфусцированным (запутанным) кодом. Нововведение начнет действовать с 10 июня 2019 года.

Мы больше не будем принимать расширения, содержащие обфусцированный код. Минимизированный, каскадный или иным способом сгенерированный код допускается при условии наличия исходного кода», - указывается в блоге компании.

Разработчикам, использующим приемы запутывания кода, рекомендуется удалить такой код из своих приложений и опубликовать новые версии программ до 10 июня, в противном случае они будут отклонены либо заблокированы.

Кроме того, Mozilla намерена сделать политику блокировки более прозрачной для лучшего понимания, почему установленные пользователями расширения или ПО от сторонних разработчиков блокируются в браузере.

Компания продолжит блокировать расширения, нарушающие политики организации, и приложения, содержащие проблемы безопасности. Mozilla также рассматривает возможность принятия мер в отношении расширений, компрометирующих конфиденциальность или выполняющих действия без согласия или контроля пользователей.

Напомним, в минувшем году компания Google ввела в каталоге Chrome Web Store похожий запрет на размещение дополнений с обфусцированным кодом. По данным компании, порядка 70% расширений для Chrome, блокируемых Google, содержат обфусцированный код.

Robor

Дата: Вторник, 14.05.2019, 23:43 | Сообщение # 35

Генералиссимус

Группа: Пользователи

Сообщений: 16528

Репутация: 3150

Статус: Offline

Security Week 20: отключение расширений Firefox

Информационная безопасность, Блог компании «Лаборатория Касперского»

Четвертого мая в четыре часа утра по Москве (или чуть позже, в зависимости от везения) у пользователей браузера Firefox перестали работать все установленные расширения, а установка новых дополнений стала невозможной. Проблема была на стороне браузера — истек срок действия промежуточного сертификата, которым подписываются все расширения. Данное событие к информационной безопасности имеет косвенное отношение — незадача возникла вследствие вполне логичного желания разработчиков обезопасить пользователей от вредоносных расширений (начиная с 2015 года) и из-за того, что никто не заметил, что срок действия сертификата скоро истечет.

Тем не менее, это интересная история с умеренно счастливым концом: достаточно нетривиальную проблему удалось решить в течение 12 часов. Это еще и подробно задокументированный инцидент, с массой информации как от разработчиков, так и с невероятными объемами драмы со стороны пользователей. В процессе возникла и проблема приватности, которая была вполне эффективно решена.

Первые сообщения о проблемах с расширениями появились еще до истечения срока действия сертификата, 3 мая. На Reddit есть как минимум одно такое обсуждение. У автора треда на компьютере была установлена неверная дата, благодаря чему о баге он узнал одним из первых (и «починил» его установкой правильной даты, но ненадолго). Чуть позже проблема появилась у всех пользователей, но в разное время: проверка валидности сертификатов, которыми подписываются расширения, проводится один раз в 24 часа. Дальнейшая история с разной степенью детализации описывается здесь: новость, баг-репорт, техподдержка, блогпост с техническими деталями, и рассказ об инциденте от имени CTO Firefox.

Вот так выглядит процесс подписи расширений в Firefox. Корневой сертификат на вершине цепочки находится в оффлайновом хранилище, и один раз в несколько лет с его помощью создается промежуточный сертификат, которым уже подписываются расширения. Именно срок действия промежуточного сертификата истек четвертого мая. Первым временным решением со стороны разработчиков Firefox был выпуск патча, который на время останавливает проверку валидности сертификатов расширений. Если такой патч прилетел к вам до проверки, то проблема вас миновала. Дальше у разработчиков было два пути: выпустить либо новый релиз Firefox, либо новый сертификат, который сделает валидными подписи расширений в текущей версии. Переподписать все дополнения (более 15 тысяч) было невозможно. Точнее, возможно, но это заняло бы очень много времени.

Учитывая сжатые сроки (о проблеме в Firefox узнали вечером 3 мая, конечно же, в пятницу!), было решено исследовать оба варианта. Технически возможность выпустить новый сертификат была, требовалось а) сгенерировать этот самый сертификат и б) доставить его пользователям как можно быстрее. Первая часть осложнялась тем, что корневой сертификат хранится в аппаратном модуле, до которого еще надо доехать (в лес? в банковскую ячейку?). Кроме того, когда разработчики добрались до корневого сертификата, сгенерировать новый промежуточный получилось не сразу, и это каждый раз приводило к потере часа или двух на необходимые тесты. Как доставить? Для этого использовался механизм Firefox Studies — по сути, система рассылки аддонов «от разработчика браузера», в обычных случаях предназначенная для экспериментального кода. Так выходило быстрее, чем собрать новый билд и разослать апдейт по обычным каналам.

Но тут возникла та самая проблема приватности. Firefox Studies как экспериментальная система включается только вместе с отправкой информации об использовании браузера обратно разработчикам Firefox. Это логично для бета-тестирования, но немного странно выглядит в контексте доставки патча, который нужен вообще всем пользователям. Эта проблема была решена элегантно: в Firefox решили удалить всю телеметрию, полученную с 4 по 11 мая.

Это было не идеальное решение. Тем, у кого телеметрия отключена (и Studies), нужно было вручную включить эти опции. В некоторых билдах этой опции и вовсе нет. Версия браузера для Android не поддерживает Studies. Перманентно пострадали пользователи старых версий Firefox, которые не хотят обновляться, но пользуются аддонами. Восьмого мая были выпущены версии Firefox 66.0.5 и Firefox ESR 60.6.3, в которых проблема с сертификатом решена окончательно, и Studies с телеметрией более включать не нужно. Запланированы апдейты более старых версий браузера, начиная с Firefox 52. Проблема была решена, но для многих пользователей она не прошла бесследно — имеются случаи потери данных и настроек в расширениях.

Выводов из этой истории было сделано два. Во-первых, в Firefox пообещали наладить систему отслеживания «бомб с часовым механизмом» в инфраструктуре, чтобы не допустить подобное в будущем. Во-вторых, стало ясно, что даже более-менее современная система рассылки апдейтов, с разными способами доставки патчей пользователям, не так эффективна, как хотелось бы. По словам CTO Firefox, пользователи браузера должны иметь возможность получать обновления и хотфиксы, даже если они пожелают отключить любые другие экспериментальные фичи и/или телеметрию. Это история со счастливым концом, которая, возможно, приведет к улучшению механизма апдейтов Firefox, редкого мейнстримного браузера, не привязанного к какой-либо крупной IT-компании. Но не стоит забывать, что началась она с аллегорической стрельбы по собственным ногам.

Robor

Дата: Среда, 22.05.2019, 01:33 | Сообщение # 36

Генералиссимус

Группа: Пользователи

Сообщений: 16528

Репутация: 3150

Статус: Offline

Вышел Firefox 67 для всех платформ: ускорение работы и защита от майнинга

Компания Mozilla официально выпустила обновление браузера Firefox 67 для Windows, Linux, Mac и Android. Эта сборки вышла на неделю позже ожидаемого и получила многочисленные улучшения по части производительности, а также новые функции. Сообщается, что Mozilla внесла несколько внутренних изменений, в числе которых отметим «заморозку» неиспользуемых вкладок, снижение приоритета функции setTimeout во время загрузки веб-страниц и так далее.

Однако важнее всего — появление встроенной защиты от криптомайнеров на веб-страницах. Подобная функция уже давно реализована в Opera. Если Firefox вдруг начинает использовать слишком много памяти и ресурсов процессора, то следует активировать защиту в «Пользовательских настройках» и перезапустить браузер.

Появилась поддержка высокопроизводительного декодера dav1d AV1 и регистрация с помощью FIDO U2F API. А функция WebRender теперь включена по умолчанию для всех пользователей Windows 10, у которых есть компьютер с видеокартой NVIDIA.

В этом выпуске также улучшен режим приватного просмотра, который теперь позволяет пользователям сохранять пароли для веб-сайтов, а также выбирать расширения, которые они не хотят включать на «приватных» вкладках. Из мелочей отметим, что теперь панель инструментов, меню, загрузки и прочее доступны с клавиатуры.

Были сделаны и визуальные изменения. В частности, теперь стало проще получать доступ к списку сохранённых учётных данных веб-сайтов. Упрощён импорт закладок и прочего из основного меню.

В мобильной версии под Android появился виджет с голосовым вводом для поиска. А вот функцию гостевого входа наоборот убрали. Вместо этого рекомендуется приватный режим.

viasiljev

Дата: Четверг, 06.06.2019, 23:32 | Сообщение # 37

Генералиссимус

Группа: Пользователи

Сообщений: 3206

Репутация: 716

Статус: Offline

В Firefox 69 будет улучшена работа вкладок

Стабильная сборка Firefox 69 ожидается в конце этого года.В появится новая функция под названием Process Priority Manager.

На данный момент её тестируют в Firefox Nightly.

Идея состоит в том, чтобы снизить потребление ресурсов системы за счёт «заморозки» неактивных вкладок. Активная вкладка получит дополнительные ресурсы. Фоновые процессы браузера притормаживаться не будут, потому можно не бояться, что система снизит качество звука и видео, воспроизводимого в фоне.

В «ночной» сборке Firefox эту функцию уже можно протестировать. По данным Mozilla, Process Priority Manager не оказывает ощутимого влияния на время загрузки страницы, скорость переключения вкладок и другие функции браузера. Эти тесты, похоже, проводились на мощных ПК, потому особой разницы и не было заметно. В случае дефицита процессорного времени или оперативной памяти - это может помочь.

Firefox Nightly представляет собой раннюю версию, которая может работать нестабильно. Потому её использование каждый день не рекомендуется. Её стоит запускать лишь тем, кому нужны или просто не терпится попробовать самые новые возможности.

viasiljev

Дата: Понедельник, 10.06.2019, 23:57 | Сообщение # 38

Генералиссимус

Группа: Пользователи

Сообщений: 3206

Репутация: 716

Статус: Offline

Переход на тёмную сторону: Mozilla до конца года запустит платный сервис Firefox Premium

В течение нескольких лет компания Mozilla всячески пыталась бороться с монетизацией своих продуктов. Для этого предпринимались альтернативные усилия по сбору средств. К примеру, предлагалось брать плату за продвижение ProtonVPN или спонсирование через контент в Pocket. Но теперь, как заявил гендиректор компании Крис Бёрд (Chris Beard), планируется что-то совершенно новое.

По словам Бёрда, речь идёт о новом пакете услуг под названием Firefox Premium. Этот набор включает в себя облачное хранилище и VPN. Отмечается, что будет и бесплатная версия, но с низкой скоростью, а также премиальная без таких ограничений.

Бёрд отметил, что запуск сервиса запланирован на октябрь, однако пока не озвучил ни точной даты, ни полного перечня услуг, ни стоимости подписки. При этом отметим, что браузер Opera предлагает VPN бесплатно, потому шансы на успешный запуск такой возможности довольно зыбкие. Пользователям проще будет перейти на альтернативный браузер с более широкими возможностями.

Не исключено, что в Mozilla реализуют не просто VPN, а полноценный защищённый канал с оконечным шифрованием ли чем-то подобным. В таком случае преимущество у «рыжего» браузера однозначно будет.

Напомним, что в будущей сборке Firefox 69 компания-разработчик намерена уделить внимание оптимизации и скорости работы. Речь идёт о «заморозке» активности на фоновых вкладках, кроме воспроизведения аудит и видеоконтента. Это позволит экономить ресурсы на слабых ПК.

viasiljev

Дата: Четверг, 20.06.2019, 19:40 | Сообщение # 39

Генералиссимус

Группа: Пользователи

Сообщений: 3206

Репутация: 716

Статус: Offline

Внеплановое обновление Firefox устраняет критическую уязвимость

Если вы используете популярный браузер Mozilla Firefox, то вам следует обновить его до последней версии прямо сейчас. Разработчики из компании Mozilla выпустили внеплановые обновления безопасности Firefox 67.0.3 и Firefox ESR 60.7.1, установка которых позволяет исправить критическую уязвимость, которая, по словам представителей компании, активно используется хакерами для получения контроля над уязвимыми системами.

Стоит сказать о том, что Агентство по кибербезопасности и безопасности инфраструктуры США также выпустило предупреждение, в котором настоятельно рекомендовало пользователям и системным администраторам ознакомиться с рекомендациями Mozilla для обеспечения должного уровня безопасности. Ещё в ведомстве рекомендуют прислушаться к рекомендациям Mozilla и следовать опубликованным инструкциям по обновлению браузера.

Что касается критической ошибки, то обновление устраняет уязвимое место, используемое злоумышленниками для удалённого выполнения кода. В соответствии с официальным описанием проблемы, разработчики столкнулись с уязвимостью «type confusion» (несоответствие используемых типов данных). Использование этой уязвимости делает возможным вызов эксплуатируемого сбоя в работе программы в процессе выполнения вредоносного кода JavaScript. Проще говоря, злоумышленники могут внедрить код в атакуемую систему, используя для этого вредоносные веб-страницы. Это позволит злоумышленникам получить контроль над системой, в которой используется старая версия браузера.

Чтобы пользователи могли продолжить взаимодействие с защищённым браузером, им настоятельно рекомендуется как можно быстрее установить последние обновления.

viasiljev

Дата: Суббота, 22.06.2019, 16:57 | Сообщение # 40

Генералиссимус

Группа: Пользователи

Сообщений: 3206

Репутация: 716

Статус: Offline

В Firefox исправлена вторая за неделю опасная уязвимость

В браузере Firefox на этой неделе исправлена уже вторая уязвимость нулевого дня. Проблема, получившая идентификатор CVE-2019-11708, представляет собой обход песочницы и связана с ранее исправленной уязвимостью (CVE-2019-11707) типа type confusion (несоответствие используемых типов данных).

CVE-2019-11708 позволяет злоумышленнику удаленно выполнить произвольный код на системе жертвы, заманив ее на вредоносный сайт. «По причине недостаточной проверки параметров в сообщениях Prompt:Open IPC между дочерним и родительским процессами родительский процесс за пределами песочницы может открывать web-контент, выбранный скомпрометированным дочерним процессом», - сообщается в уведомлении безопасности компании Mozilla.

О первой исправленной на этой неделе уязвимости производителю стало известно еще в апреле нынешнего года от исследователя из Google Project Zero. Тем не менее, о второй проблеме Mozilla узнала лишь на прошлой неделе, когда киберпреступники стали эксплуатировать ее в связке с первой для атак на пользователей криптовалютной платформы Coinbase.

Исследователь безопасности Патрик Уордл также выявил отдельную кампанию с использованием первой уязвимости в атаках на пользователей macOS.

Сложно сказать, обнаружили ли киберпреступники уязвимость самостоятельно, и атаки просто совпали с публикацией отчета о ней, или же они взяли ее на вооружение, каким-то образом заполучив в свои руки отчет.

Обе вышеупомянутые уязвимости исправлены в версиях Firefox 67.0.4 и Firefox ESR 60.7.2. В базирующемся на Firefox браузере Tor первая проблема устранена в версии 8.5.2. Ожидается, что в скором времени выйдет еще одно обновление, исправляющее уже второй баг.