В бета-версию Firefox 67 встроен (https://blog.mozilla.org/futurereleases/2019/04/09/protectio.../) код для блокирования JavaScript-вставок, осуществляющих майнинг криптовалют или отслеживающих пользователей с помощью методов скрытой идентификации ("browser fingerprinting"). Блокировка осуществляется (https://bugzilla.mozilla.org/show_bug.cgi?id=1515806) по дополнительным категориям (https://github.com/mozilla-services/shavar-list-creation-config) (fingerprinting (https://github.com/mozilla-services/shavar-prod-lists/blob/7...) и cryptomining (https://github.com/mozilla-services/shavar-prod-lists/blob/7...)) в списке Disconnect.me, включающим хосты, уличённые в использовании майнеров и кода для скрытой идентификации.
Код для майнинга криптовалют, который приводит к существенному увеличению нагрузки на процессор в системе пользователя, как правило, внедряется на сайты в результате взломов (https://www.opennet.me/opennews/art.shtml?num=49941) или используется на сомнительных сайтах как метод монетизации. Под скрытой идентификацией подразумевается хранение идентификаторов в областях, не предназначенных для постоянного хранения информации ("Supercookies"), а также генерация идентификаторов на основе косвенных данных, таких как разрешение экрана (https://www.opennet.me/opennews/art.shtml?num=46046), список поддерживаемых MIME-типов, специфичные параметры в заголовках (HTTP/2 (https://www.opennet.me/opennews/art.shtml?num=47821) и HTTPS (https://www.opennet.me/opennews/art.shtml?num=42943)), анализ установленных плагинов и шрифтов (https://www.opennet.me/opennews/art.shtml?num=26635), доступность определённых Web API, специфичные для видеокарт особенности (https://www.opennet.me/opennews/art.shtml?num=48736) отрисовки при помощи WebGL и Canvas, манипуляции (https://www.opennet.me/opennews/art.shtml?num=47902) с CSS, анализ особенностей работы с мышью (https://www.opennet.me/opennews/art.shtml?num=44027) и клавиатурой (https://www.opennet.me/opennews/art.shtml?num=42685).
По умолчанию новые режимы блокировки отключены, а для их активации в связанные с конфиденциальностью настройки добавлены новые опции "Cryptominers" и "fingerprinters". Через какое-то время планируется включить по умолчанию представленные режимы для небольшой контрольной группы пользователей, после чего активировать для всех в одном из будущих выпусков.Проследить за срабатыванием блокировщика можно через
контекстное меню сайта, отображаемое при клике на пиктограмму с изображением щита в адресной строке. В меню также добавлена ссылка
быстрой отправки разработчикам отчёта о возникающих проблемах.Из других недавних событий, связанных с Firefox, также можно упомянуть:
- Анонсирована (https://blog.mozilla.org/addons/2019/04/08/recommended-exten.../) программа рекомендованных дополнений, в рамках которой летом будет предложен список дополнений, которые удовлетворяют требованиям Mozilla в области безопасности, полезности и удобства работы. Дополнения из списка будут продвигаться через систему контекстных рекомендаций в различных продуктах Mozilla и на сайтах проекта. Для принятия в список дополнение должно качественно и эффективно решать актуальные задачи, интересные широкой аудитории, активно развиваться автором и проходить полное рецензирование безопасности каждого обновления.- Рассматривается (https://bugzilla.mozilla.org/show_bug.cgi?id=1543217) возможность включения в Linux-сборках Firefox системы композитинга Servo WebRender (https://github.com/servo/webrender), написанной на языке Rust и выносящей на сторону GPU операции отрисовки содержимого страницы. При использовании WebRender вместо встроенной в движок Gecko системы композитинга, обрабатывающей данные при помощи CPU, для выполнения операций сводной отрисовки элементов страницы используются шейдеры, выполняемые в GPU, что позволяет добиться существенного увеличения скорости отрисовки и снизить нагрузку на CPU. В Linux WebRender на первом этапе предлагается включить только для видеокарт Intel c драйверами Mesa 18.2.8 и новее. Активировать (https://wiki.mozilla.org/Platform/GFX/Quantum_Render) WebRender вручную на системах с другими видеокартами можно через переменную "gfx.webrender.all.qualified" в about:config или запустив Firefox с выставленной переменной окружения MOZ_WEBRENDER=1.
- В бета-версии Firefox 67 в контекстное меню сайта и диалог с рекомендациями заполнения форм входа добавлена (https://bugzilla.mozilla.org/show_bug.cgi?id=1534447) возможность быстрого перехода к сохранённым для сайта паролям,
- В настройки добавлена (https://bugzilla.mozilla.org/show_bug.cgi?id=1526075) кнопка для перезагрузки всех вкладок после изменения правил обработки Cookie от сторонних ресурсов;
- Добавлены (https://bugzilla.mozilla.org/show_bug.cgi?id=1532338) ограничения на интенсивность вывода сайтом диалога аутентификации;
- В ночные сборки добавлена (https://bugzilla.mozilla.org/show_bug.cgi?id=1482608) новая реализация кода для синхронизации закладок, переписанная на языке Rust (включается через services.sync.bookmarks.buffer.enabled в about:config).
URL: https://blog.nightly.mozilla.org/2019/04/05/these-weeks-in-f.../
Новость: https://www.opennet.me/opennews/art.shtml?num=50490
еще раз добавили?Ой, оказывается любая новость про фф подается в нескольких экземплярах: "планируют сделать", "сделали в альфе", "сделали в бете", "выпущен релиз с этой же фичей".
> Ой, оказывается любая новость про фф подается в нескольких экземплярах: "планируют сделать", "сделали в альфе", "сделали в бете", "выпущен релиз с этой же фичей".Еще "Исправлена ошибка" и "Закрыта уязвимость"
> Еще "Исправлена ошибка" и "Закрыта уязвимость"И всё это - про ту самую пресловутую фичу.
Это претензия кому? Файер фоксу, сайту или посетителям?
А как вам такая новость на главной яндекса: "Кожевникова требует от Собчак извинений за скандал с трусами"? Кто пробивает дно - Собчак, яндекс или потребители инфо-мусора?
Да в общем-то - все...
в данном случае пробивают дно журналюшки.
Для таких новостей они не нужны - их за так на коленке за 5 минут пишут пачками.
Никто дно не пробивает. Дно давно пробито, идёт падение в бездонную пропасть.
NoScript блокирует скрытые скрипты для майнинга?
Годнота. Смогли добавить в браузер около 100 коротких строчек, которые уже есть в списке фильтров любого блокировщика рекламы. Надо было под это дело браузер переписать или хотя бы на 10 поднять мажорную версию, раз уж такие весомые изменения внесли.
Что там слышно о переходе на новый, безопасный и быстрый движок Servo? Или они окончательно забили на это. Когда уже можно будет установить бета-версию "Firefox Servo Beta"? Или они решили, что-то переписать на rust, а остальное оставить всё, как есть?
Они не переписывают на rust'е только ради переписывания на rust'е. Когда они переписывают что-то, они часто переписывают на rust'е. Но даже это не обязательно: сосуществование C++ кода и rust кода сложнее, чем C и rust. Прогресс можно отследить здесь: https://wiki.mozilla.org/Oxidation и если ты обратишь внимание там для каждого куска переписанного/переписываемого на rust'е выписана отдельная аргументация в пользу rust'а: почему этот кусок стоит переписывать на rust'е, а не допилить C++ реализацию. Эти комментарии позволяют получить представление об общей идее выбора кода для переписывания на rust'е.> Когда уже можно будет установить бета-версию "Firefox Servo Beta"?
Я думаю никогда. Из servo код заимствуется кусками, и при таком подходе не будет такого момента, когда вчера firefox был не на servo, а сегодня стал на servo. Но webrender они фактически запилили в ff, там как я понимаю основные проблемы со стабильностью и прохождением тестов.
>> Когда уже можно будет установить бета-версию "Firefox Servo Beta"?
> Я думаю никогда. Из servo код заимствуется кусками, и при таком подходе
> не будет такого момента, когда вчера firefox был не на servo,
> а сегодня стал на servo.Всё-таки мне кажется, что это ошибочный путь. Было бы логичным заморозить текущую кодовую базу и сделать Firefox LTS, а в дальнейшем выпускать только фиксы безопасности к LTS ветке. А все освободившиеся ресурсы бросить на развитие новой ветки "Firefox Servo" и постепенно наращивать функционал с учётом современных тенденций в развитии веба. Запилить, наконец, аппаратное ускорение видео, нормальный многопоток, сэндбокс изоляцию и т.д.
А через два года обнаружить, что индустрия уже ушла вперед, а ты сидишь у разбитого корыта с наполовину написанным браузером.
> А через два года обнаружить, что индустрия уже ушла вперед,Вы сделали 9 ошибок в слове "гугл" (ну а кто по факту сейчас диктует вектор развития веба, стандартов и прочего и прочем и все чаще "кладет большой и толстый" на всех несогласных?).
Однако, сдается мне, все это "works as intended" (для гугла, естественно).
>Всё-таки мне кажется, что это ошибочный путьЛюбой путь ошибочный :)
А если конкретно, то дуракаваляние с переписыванием все на Ржавчину, выявление новых багов, новая борьба с утечками памяти и пр. При полном отсутствии нового функционал выбесит любого манагера.
> Было бы логичным заморозить текущую кодовую базу и сделать Firefox LTS, а в дальнейшем выпускать только фиксы безопасности к LTS ветке.И получить ещё один долгострой типа Wayland.
> все освободившиеся ресурсы бросить на развитие новой ветки "Firefox Servo"ктож тогда будет за права меньшинств бороться, вы что?!!
Ещё предложите вместо манагеров программистов набрать!
Про права меньшинств я чаще слышу от анонимов опеннета, чем от менагеров Mozilla.
Интересно, а можно в Firefox как-то выключить все эти встроенные блокировщики, чтобы он был просто браузером? Из немного связанного я знаю только про browser.safebrowsing.downloads.enabled=false, но хотелось бы в принципе выключить всё подобное.
Какие блокировшики?В настройках - Приватность и защита - Блокировка содержимого - Персональная - снять все галочки
Вы серьёзно? Сёрф без блокировщиков рекламы ныне опасен для морального здоровья.
Нее, но желательно всё же отключить встроенный блокировщик, что бы например поставить свой...Если была бы во встроенном функция добавления своих фильтров, то тогда б другое дело и сторонний блокировщик был бы не особо нужен
Я думаю скоро будет апи для своих списков. Вот бы еще функционал umatrix увидеть в firefox
Зачем, если есть сам umatrix?
Я про те блокировщики, что пытаются встроить браузер. Мне как-то надоело, что вокруг всё больше блокируется без моего ведома. Tсли я сам хочу что-то блокировать, то сам и установлю что захочу.
Пресечение слива данных на сервера GoogleС настройками по умолчанию Google должен защищать вас от вирусов и фишинга. Это зачастую полезная функция, но если вы знаете, что делаете, и не хотите, чтобы Google за этим наблюдал, то можете и избавиться от этого пристального внимания
user_pref("browser.safebrowsing.allowOverride", false);
user_pref("browser.safebrowsing.blockedURIs.enabled", false);
user_pref("browser.safebrowsing.downloads.enabled", false);
user_pref("browser.safebrowsing.downloads.remote.block_dangerous", false);
user_pref("browser.safebrowsing.downloads.remote.block_dangerous_host", false);
user_pref("browser.safebrowsing.downloads.remote.block_potentially_unwanted", false);
user_pref("browser.safebrowsing.downloads.remote.block_uncommon", false);
user_pref("browser.safebrowsing.downloads.remote.enabled", false);
user_pref("browser.safebrowsing.malware.enabled", false);
user_pref("browser.safebrowsing.phishing.enabled", false);
user_pref("browser.safebrowsing.downloads.remote.url", "");
user_pref("browser.safebrowsing.provider.google.advisoryName", "");
user_pref("browser.safebrowsing.provider.google.advisoryURL", "");
user_pref("browser.safebrowsing.provider.google.gethashURL", "");
user_pref("browser.safebrowsing.provider.google.reportMalwareMistakeURL", "");
user_pref("browser.safebrowsing.provider.google.reportPhishMistakeURL", "");
user_pref("browser.safebrowsing.provider.google.reportURL", "");
user_pref("browser.safebrowsing.provider.google.updateURL", "");
user_pref("browser.safebrowsing.provider.google4.advisoryName", "");
user_pref("browser.safebrowsing.provider.google4.advisoryURL", "");
user_pref("browser.safebrowsing.provider.google4.dataSharingURL", "");
user_pref("browser.safebrowsing.provider.google4.gethashURL", "");
user_pref("browser.safebrowsing.provider.google4.reportMalwareMistakeURL", "");взято отсюда http://www.spy-soft.net/firefox-privacy/
нужно ли оставлять это включенным, если пользуешься юблоком и юматриксом? Или дублирование функционала?
Нативный должен как-то побыстрее пробегаться. Но у него список мал. А дальше дорежется расширением. Есть ли в этом смысл - а фиг его знает.
Наоборот. Сперва работают расширения, после них вступает нативный контент-блокинг. И это правильно, так суррогаты юблока не ломаются.
А что, там будет нативность а не как всегда жс?
Придется идентифицировать пользователей по особенностям GPU.
Какие молодцы!
кому придется ? (упущен субъект)я идентифицирую пользователя по логину пользователя и паролю пользователя.
всегда так делаю.
Кому надо - тому и придется. Кому интересна скрытая идентификация.