Firefox 58 блокирует навигацию по URL-адресу данных верхнего уровня

Mozilla планирует запретить веб-страницам переход из окна верхнего уровня к URL-адресу данных в будущей стабильной версии Firefox 58.

Новая стабильная версия веб-браузера выйдет 23 января 2018 г. согласно графику выпуска Firefox.

Изменение уже нашло свое отражение в разрабатываемых версиях веб-браузера Firefox, таких как Firefox Nightly.

Кристоф Кершбаум (Christoph Kerschbaume), технический директор Mozilla по безопасности контента, отмечает в официальном блоге Mozilla Security, что URL-адреса данных используются злоумышленниками для обмана пользователей.

Однако большинство конечных пользователей не знакомы с концепцией URL-адреса данных, который может содержать строку законного адреса, заставляющую конечного пользователя думать, что он просматривает определенную веб-страницу. На самом деле URL-адреса данных, предоставленные злоумышленником, могут показывать замаскированный контент, обманным путем заставляя конечных пользователей предоставить свои учетные данные.

Mozilla заблокирует веб-страницам переход окна верхнего уровня к URL-адресам данных, чтобы защитить пользователей Firefox от фишинговых атак, которые злоупотребляют URL-адресами данных в Firefox 58.

Организация различает сценарии URL-адресов данных, которые заблокированы в Firefox 58, и сценарии, которые не заблокированы.

Следующие случаи заблокированы в Firefox 58 и более новых версиях веб-браузера:

• Переход к URL-адресу данных верхнего уровня с помощью: window.open, window.location или ссылок.
• Перенаправления на новый URL-адрес данных верхнего уровня с использованием перенаправления 302, перенаправления мета-обновления.
• Внешние программы, которые пытаются открыть URL-адреса данных в веб-браузере.

Firefox 58 не блокирует следующие сценарии загрузки данных:

• Когда пользователь вводит или вставляет данные: в адресную строку.
• Когда открываются файлы данных с обычным текстом.
• Когда data: image открывается в окнах верхнего уровня, если это не data: image / svg + xml.
• Когда открыты data: application / pdf или data: application / json.
• Когда данные скачиваются.

Firefox отображает запись журнала в консоли всякий раз, когда запрос данных блокируется в браузере. Вы можете загрузить консоль с помощью сочетания клавиш Ctrl-Shift-K или нажав клавишу F12 и переключившись на консоль, когда интерфейс инструментов разработчика открывается в браузере.

Google Chrome и другие веб-браузеры на основе Chromium также уже блокируют доступ к URL-адресам данных.