cles::blog

Firefox 54 からマルチプロセス機能 Electrolysis（E10S) が有効化されましたが、僕の環境の場合には「ヘルプ」メニュー→「トラブルシューティング情報 ...」から確認してみると、マルチプロセスウィンドウは「アドオンにより無効」という表示になっていて有効化されていません。

問題はどのアドオンが原因なのかということになりますが、これについては Add-on Compatibility Reporter を入れることで確認することができます。

具体的な手順はアドオンをインストールして、アドオンの一覧画面を開くだけ。そうするとアドオン名の脇にマルチプロセスの対応/非対応が Compatible with multiprocess / Not compatible with multiprocess というメッセージで表示されるようになります^*1。

これを見ると意外と非対応のプラグインが多いので、僕の場合は E10S への道のりは長そうです。もちろん無理やり有効化する方法もあるのですが、いろいろなところで不具合が出るのでオススメできません。

• ^*1: Help make add-ons multiprocess compatible with Add-on Compatibility Reporter | Mozilla Add-ons Blog

Firefox 54 がリリースされていたのでアップデート。このバージョンからFirefox 48 からテストされていたマルチプロセス機能が標準搭載になったようです。いつもどおりセキュリティアップデートもたくさんあるので、必ずアップデートしておきましょう。

マルチプロセス技術「E10S」を導入した「Firefox 54」リリース | OSDN Magazine

Firefoxチームは「過去最高のFirefox」と紹介している。本バージョンではマルチプロセス技術Electrolysis（E10S）が導入された。Mozillaによると、平均的なWebサイトは2.5MBであり、これまでは1つのタブで複雑なサイトを開いている場合、ほかのタブにも影響を与えていた。E10Sでは開いているタブに対し最大4プロセスを使って処理を実行でき、1つのタブで開いている重いWebページが他のタブのレスポンスや速度に与える影響が大きく軽減されるとしている。

• The Best Firefox Ever - The Mozilla Blog
• Security vulnerabilities fixed in Firefox 54 — Mozilla
• Firefox — Notes (54.0) — Mozilla

Firefox が 52 にアップデートされていたのでインストールしてみました。

今回の主要な変更点は、Flash 以外の NPAPI サポートが廃止^*1されたため、Silverlight や Java、Acrobat などのプラグインが動作しなくなったことと、HTTPS ではないパスワードフォームに値を入力しようとすると「この接続は安全ではありません」という警告が出るようになったこと^*2の2点でしょうか。目に見える部分以外では、いつも通りセキュリティ関連の修正はたくさん入っているので早めにアップデートした方が良さそうです。

• Firefox — Notes (52.0) — Mozilla
• Security vulnerabilities fixed in Firefox 52 — Mozilla

• ^*1: NPAPI Plugins in Firefox | Future Releases
• ^*2: Communicating the Dangers of Non-Secure HTTP | Mozilla Security Blog

先日、サーバを HSTS に対応させた時にHTTP Strict Transport Security (HSTS) Preload List にドメインが掲載されるように手続きをしましたが、それから約1ヶ月経ったので実際にドメインが Firefox に登録されたのか調べてみました。

リポジトリに入っている HSTS Preload リストである nsSTSPreloadList.inc を確認してみると、確かに cles.jp が収載されていることが確認できます。

具体的にいつコミットされたのかを詳しく見てみると日本時間の 2017-03-05 早朝の変更（mozilla-central: changeset 345843:84ef4d4530ee）で追加されたようです。これで対応ブラウザからは HTTP リクエストが飛んでこなくなるはずです。

サーバ移行を機にサイトを原則として HTTPS 運用することにして、HTTP Strict Transport Security (HSTS)をさらに一歩推し進めてプリロードに対応させてみました。

HSTS プリロードは、 HSTS 有効化している場合でも、最初の１度のアクセスは暗号化のない状態 ( HTTP ) で行われるという脆弱性を無くすために、ブラウザ側で HSTS に対応したドメインの一覧を持っておく（プリロード）ことで、最初の１度目のアクセスから HTTPS が使われるようになるという仕組みです。

プリロードの申請はドメイン単位（サブドメインは不可）なので、Apache HTTPd の場合にはドメインの全てのウェブサーバの設定に以下のような設定を追加しておきます。includeSubDomains を指定するとサブドメインの全てに HSTS が効きます。HTTP でしかアクセスができないサイトがあると接続エラーになってしまうので、そのようなサイトがないかどうかを良く確認してから設定を変更する必要があることに注意が必要です。

あとは HSTS Preload List への登録フォームを使って登録するだけです。
もしウェブサーバに設定の不備があれば、このフォームにドメイン名を入れた時点でエラーが出るので、修正してから登録作業を繰り返します。

• HSTS Preload List Submission

Firefox 51 がリリースされていたのでアップデート。
「Firefox について」で確認したときに 32 ビット版と 64 ビット版の区別が一目でつくようになりました。

• Firefox — Notes (51.0) — Mozilla
• Security Advisories for Firefox — Mozilla
• Security vulnerabilities fixed in Firefox 51 — Mozilla

遅ればせながらサイトを HTTP Strict Transport Security (HSTS) に対応させてみました。

HSTS とは httpd 側から特定のヘッダを送ることにより、ウェブブラウザに対して特定のドメインでは HTTP ではなく強制的に HTTPS を使わせる仕組みです。この仕組みの便利なところは、HTML の記述に左右されず、特定のドメイン単位で HTTPS を導入できるようになることです。

仕様については RFC 6797 で定められています。日本語の情報が良ければ Mozilla の「HTTP Strict Transport Security - Web セキュリティ | MDN」がわかりやすいと思います。

今回は単純に以下のようなヘッダを挿入しておきました。

いつの間にか Firefox 50 がリリースされていたのでアップデートしました。

なんかタイミングがちょっと変なので調べてみると、当初は 11/7 リリースだったものが、11/15 に延期^*1になっていたようです。

• Firefox 50.0 リリースノート
• Firefox セキュリティアドバイザリ

いつも通りセキュリティ関連の修正も入っているので、速やかにアップデートをしておきたいところです。

• ^*1: Firefox/Channels/Meetings/2016-10-27 - MozillaWiki

Firefox 49 がリリースされていたのでアップデートしてみました。

Firefox 48 から導入されたマルチプロセスウィンドウの対象者の範囲がさらに拡大されたようです。
実際に有効化されるかどうかは導入されているアドオンによって変化するとのこと。
その他にもいつも通りセキュリティ関連のアップデートが入っています。

• Firefox 49.0 リリースノート
• Firefox セキュリティアドバイザリ
• MFSA 2016-85: Firefox 49 で修正されたセキュリティ脆弱性

Chrome ではリリース当初から実装されていたマルチプロセスウィンドウですが、Firefox でも対応版がやっと一般向けのリリースに投入されました。Electrolysis (e10s) と呼ばれているこの機能ですが、変更の影響が大きいため、段階的にロールアウトされるようになっています。そんなわけで、現在は試験的にユーザーの 1% にだけしか有効化されていません。

「Firefox 48」、マルチプロセスウィンドウ機能がいよいよロールアウト - ITmedia ニュース

Mozillaが長年推進してきた、Firefoxの性能、安定性、セキュリティ強化プロジェクト「Electrolysis」の第一フェーズとして、Firefox 48のユーザーの一部で、ブラウザのインタフェースをWebコンテンツレンダリングと別のプロセスで実行できるようにした。

詳細については以下のリンクからたどって内容を読むのが一番ですが、自分のブラウザでも試してみたいという場合には about:config で browser.tabs.remote.force-enable というキーを作って、値を true にしてやれば Electrolysis を強制的に有効化することができます。

• Electrolysis - MozillaWiki
• 1198459 – Disable a11y in content when we detect e10s is enabled and disable e10s on startup if a11y recently loaded
• Firefox マルチプロセス化の今後 | Mozilla Developer Street (modest)