Mozilla ha publicado Firefox 95 con novedades en el apartado del rendimiento y la estabilidad, aunque lo más destacado llega del apartado de la seguridad con la nueva tecnología de sandboxing, RLBox. LBox, una sandbox para librerías de terceros. Firefox (y muchos otros antes) ya ejecuta en su propia sandbox el contenido de cada web y cada web a su vez en su propio proceso. 

RLBox en Firefox 95

RLBox es una nueva tecnología de sandboxing que Mozilla ha desarrollado en colaboración con investigadores de varias universidades estadounidenses. La probó hace tiempo en plataformas Linux y Mac y ahora está disponible para todas las versiones de Firefox, de escritorio y móviles.

La idea que subyace en esta tecnología es la conocida de estos «entornos aislados»: aislar los procesos más peligrosos para mejorar la seguridad. Lo vimos hace tiempo cuando repasamos el Windows Sandbox, que crea un entorno de escritorio temporal mediante una instalación reducida de Windows con un kernel separado y aislado del PC donde se ejecuta, y más recientemente en una aplicación específica como Sandboxie Plus.

También los navegadores principales ejecutan contenido web en su propio proceso de espacio aislado, en teoría evitando que aproveche una vulnerabilidad del navegador para poner en peligro las computadoras. En los sistemas operativos de escritorio, Firefox también aísla cada sitio en su propio proceso para proteger los sitios entre sí.  

Sin embargo, los creadores de malware atacan a los usuarios encadenando dos vulnerabilidades: una para comprometer el proceso de espacio aislado que contiene el sitio malicioso y otro para escapar del mismo. «Para mantener a nuestros usuarios seguros contra los adversarios mejor financiados, necesitamos múltiples capas de protección«, explican.

En Firefox 95, RLBox aisla cinco módulos diferentes (Graphite , Hunspell , Ogg , Expat y Woff2) tratados como código no confiable. En un futuro y «asumiendo que lo hicimos bien, incluso una vulnerabilidad de día cero en cualquiera de ellos no debería representar una amenaza para Firefox«, asegura Mozilla. Técnicamente, en lugar de convertir el código en un proceso separado, lo que hace Mozilla es compilar en WebAssembly para después trasladarlo a código nativo.

Dice Mozilla que esta tecnología abre nuevas oportunidades más allá de lo que ha sido posible con el sandboxing tradicional basado en procesos, y esperan expandir su uso y (con suerte) «verlo adoptado en otros navegadores y proyectos de software«.

RLBox no es la única mejora de seguridad en Firefox 95, ya que Mozilla dice que ha habilitado la función Site Isolation para todos los usuarios, lo que ayuda a proteger contra ataques de canal lateral en procesadores como Spectre.

Puede haber perdido cuota de mercado, pero la Fundación sigue desarrollando mejoras para su navegador. Gratuito y de código abierto, puedes descargar Firefox 95 desde su página web o si ya lo usas actualizar la versión desde el mismo navegador.

Entre sus otras novedades hay un cambio que mejora uno de los puntos que más me gustan del navegador: su Picture-in-Picture

Hasta la versión anterior, el botón de PiP aparecía a la derecha del vídeo siempre que había uno que se pudiera «despegar» de la ventana. A partir de Firefox 95 podremos decidir si ese botón aparece a la derecha o a la izquierda desde un nuevo menú que aparecerá cuando hagamos clic sobre un vídeo compatible

Novedades más destacadas de Firefox 95

• Disponible una versión en la Microsoft Store para Windows 10 y Windows 11.
• RLBox, una nueva tecnología que hace que Firefox sea más fuerte contra potenciales fallos de seguridad en librerías de terceros, está activada en todas las plataformas.
• Se ha reducido el uso de la CPU en macOS en Firefox y WindowServer durante el procesado de eventos.
• Se ha reducido el consumo de energía del software de descodificación de vídeo en macOS, sobre todo a pantalla completa. Esto hará que funcione mejor en servicios como Netflix o Amazon Prime Video.
• El botón de Picture-in-Picture se puede poner a la izquierda.
• Se ha activado el aislado de sitios (Site Isolation) para todos los usuarios con el objetivo de protegernos mejor contra ataques como los que se podían hacer con Spectre.
• Después de iniciar Firefox, los usuarios del lector de pantalla JAWS y del magnificador ZoomText ya no tendrán que cambiar de aplicación para acceder a Firefox.
• El estado de los controles que utilizan la función de cambio de ARIA ahora es informado correctamente por Mac OS VoiceOver.
• El inicio del proceso de contenido es más rápido en macOS.
• Mejoras en el asignador de memoria.
• Mejorado el rendimiento de la carga de la página mediante la compilación especulativa de JavaScript antes de tiempo.

Fuentes:

https://www.muycomputer.com/2021/12/08/firefox-95-seguridad-rlbox/

https://www.mozilla.org/en-US/firefox/95.0/releasenotes/

https://hacks.mozilla.org/2021/12/webassembly-and-back-again-fine-grained-sandboxing-in-firefox-95/