Firefox i sigurnost [Arhiva]

Ilija Studen

14. 02. 2006., 11:38

Nije mi namera da se pokreće jedna do FF vs IE ili sličnih diskusija, već samo da linkujem na jedan zanimljiv tekst.

Svi znate priču da "IE ima rupa, ali ih ima i FF". Mnogi koriste ovaj argument protiv Firefoxa u raznim VS diskusijama iako ne iznose nikakve brojke koje pokazuju koliko su stvarno korisnici FFa ugroženi i koliko napada je ciljano na te propuste. Takođe, niko ne spominje koliko su ti propusti kritični (za IE znamo da mogu biti prilično veliki).

U jednoj studiji su iznesene brojke koje pokazuju broj prepoznatih napada na browsere (IE i FF) i njihova ozbiljnost. Više ovde:

http://weblogs.mozillazine.org/asa/archives/2006/02/real_world_brow.html

degojs

14. 02. 2006., 16:55

A da to možda ne potvrdjuje da je IE mnooogo popularniji pa je zato i više meta napada?

Ma jok, gde bi to bilo..

Tom logikom, ne znam što si se uhvatio za FF. Još sigurnije je koristiti Operu, zar ne? Ili neki četvrti browser - još manje ćeš biti meta napada. Još ga stavi na neki OS tip BašMojBSD pa ćeš da budeš još sigurniji.. itd.

Stvar je u tome da MS i pored izuzetne popularnosti Windowsa i IE (a samim tim tu je i OGROMAN broj ljudi koji klikću YES i OK kad god mogu), sasvim lepo rešava probleme u istim poslednjih godina. Ne znam za tebe ali ja se ne sećam kad sam zakačio virus ili spyware.

bojan_bozovic

14. 02. 2006., 17:25

Tom logikom, ne znam što si se uhvatio za FF. Još sigurnije je koristiti Operu, zar ne? Ili neki četvrti browser - još manje ćeš biti meta napada. Još ga stavi na neki OS tip BašMojBSD pa ćeš da budeš još sigurniji.. itd.

Ali ta je logika OK, nije li? Cini mi se da je US DoD koristi bar 30 godina.
Normalno se koristi na Internetu (skrivanje verzije webservera, verzije DNS servera), ako bas zelis, mozes lepo da stavis hakerima na tacnu ono sto im najvise treba - tacna verzija OS i SW koji koristis, ali nemoj da kukas posle.
Primer je Windows WMF parser bug je postojao od 1990 na svim verzijama Windowsa, ali je bio irelevantan dok nije otkriven. Isto rtako, mozda libpng ima neke bagove koji se mogu zloupotrebiti - dok ih ne otkrijes ne mozes ni da ih koristis.

degojs

14. 02. 2006., 17:57

Pa ne kazem da nije bojane, samo sto onda ljudi kao Ilija ne koriste npr. lynx i OpenBDS.. Ako je vec do sigurnosti.

Firefox uveo autoupdate u verziji 1.5, treba biti strasno pametan pa videti zasto.. Ma jok, gde bi to bilo zbog krpljenja, to onako..

bojan_bozovic

14. 02. 2006., 18:00

@degojs

Pa naravno... samo... ne treba izgubiti u vidu da je covek najslabija karika. ;)

bluesman

14. 02. 2006., 18:15

Ja se slažem sa degojs da je ova statistika biased, što nije smelo da se desi. Ako ništa drugo, onda je protumačena na najgori mogući način.

Ja koristim FF odavno, ali aman-zaman više. Relatvno odnos broja korisnika IE prema broju korisnika FF (koji su uz to prosečno bolje tehnički potkovani) daje za pravo "hackerima" da ne gube vreme izradom exploita za FF, već za ono što je majority.

Ilija Studen

14. 02. 2006., 18:27

Ideja ove teme NIJE da istakne FF kao apsolutno siguran browser ili da popljuje IE već samo da napokon linkuje na neke brojke.

Iz navedenih podataka se vidi da je mnogo više sajtova koji napadaju IE i da su bugovi koje napadaju ozbiljniji kod IEa. Nigde se ne kaže da će tako ostati doveka već da je trenutno tako. Uzroke tome i spekulacije ostavimo po strani. Mlatili smo o tome mnogo ranije...

U ovoj priči poenta nije u uzrocima, već u posledicama.

ivanhoe

14. 02. 2006., 18:53

samo sto onda ljudi kao Ilija ne koriste npr. lynx i OpenBDS..

pa to je bar jasno, ne koriste lynx iz vrlo prostog razloga sto mogu da koriste firefox, da imaju odlican browser i da se uz to osecaju dovoljno sigurni :)

Niko ne kaze da je firefox najsigurnija stvar u svemiru, samo da je sigurniji od IE...

A inace, kad spomenu kako se tebi nikad nije desilo nista sa IE, mom kolegi sa bivseg posla, java programeru koji se kompjuterima bavi od spektruma na ovamo, na masini sa ukljucenim windows updateom, je warez sajt u IE 6 instalirao neki auto-dialer i krenuo da okrece neka egzoticna ostrva, ali srecom masina nije imala modem, pa je covek provalio sta se desava.. i pri tome cisto da napomenem da ga nista niko nije pitao, niti je on kliknuo negde bezveze.. to nije nikakva urbana legenda, bio sam prisutan kad se to desilo, sedeo sam za stolom pored....da li treba da ti napominjem da taj decko sad koristi FF kad ide na takve sajtove i nikad mu se to nije ponovilo u firefoxu ?

Firefox uveo autoupdate u verziji 1.5, treba biti strasno pametan pa videti zasto..

Kao prvo nije ga uveo u verziji 1.5, skidanje postoji odavno, bar od 0.7, samo sad iskace prozor, a ranije se pojavljivala ikonica u gornjem desnom uglu (lepse resenje ako mene pitas...)

A kao drugo, to sto postoji auto-update je samo plus.. svaki software koji se razvija ima propusta, ali oni ih u FF resavaju izuzetno brzo, za par dana najvise... MS je donekle popravio vreme, ali i dalje prodje po nedelju i vise dana od objavljivanja exploita do kada se pojavi windows update...

dinke

14. 02. 2006., 19:32

Oh ne, advocacy... FF vs. IE ... Ne ponovo preklinjem vas!

borstale

14. 02. 2006., 19:39

Jedan od razloga što sam ES izbacio iz bookmarks je ova tema... al kako hoćete...

nixa

14. 02. 2006., 19:53

če da radi katanac :p

degojs

14. 02. 2006., 22:09

to nije nikakva urbana legenda, bio sam prisutan kad se to desilo, sedeo sam za stolom pored....da li treba da ti napominjem da taj decko sad koristi FF kad ide na takve sajtove i nikad mu se to nije ponovilo u firefoxu

A sad nagradno pitanje: a šta radi taj tvoj kolega po warez sajtovima? Skida nešto? A kad skine onda možda instalira?

Koji đavo da se mučiš da stavljaš exploit na samu stranicu, kad lepo možeš da ga upakuješ u program koji će tvoj kolega sami da skine i instaliraja..

FF će da te zaštiti?

Ma daj pali bre..

Izgleda da sam ja jedini na svetu koji nema problema sa IE. Doduše, onomad se na ES javilo baš dosta ljudi koji su potvrdili da praktično nikad niti su popili virusa ni spyware. Otkud znam..

degojs

14. 02. 2006., 22:15

Niko ne kaze da je firefox najsigurnija stvar u svemiru, samo da je sigurniji od IE...

Pa ne kažem ni ja da je npr. Opera majka, ali recimo čini mi se da je FF tropa u odnosu na istu :)

Eto, vidiš, to je taj mentalitet..

Nije bitno da ni mi ne prolazimo tamo neki ACID2 test, ili kako se već zove, bitno da .. Nije bitno da smo sigurni i da nas ne krpe svake dve nedelje, bitno je da..

Ilija Studen

14. 02. 2006., 22:42

FF vs IE (vs Opera se takođe spominje) je jedna prilično besmislena diskusija kojoj se ljudi uvek vraćaju i nije uopšte bila poenta da se ova tema pretvori u jednu takvu. Sorry :( Mislio sam da će nekom biti interesantne same brojke (posebno ovo da više od 1% obrađenih zahteva pokušava nešto da utrpa).

PS: Da li ćemo opet imati FF vs IE temu zavisi mnogo od učesnika na istoj ;)

oliver78

14. 02. 2006., 23:12

Ova tema je OK, ali mislim da nije potrebno navijati.
Od navijanja nema leba. Nego dajte ko ima nekih iskustva, informacija o propustima u nekom browseru. Činjenice, a ne lične preference. Sve ostalo je suvišna priča, tako da su rasprave, kao što Ilija kaže besmislene.

bluesman

14. 02. 2006., 23:17

Mislim da tema treba po dobije ton: Ne moze da ti pomogne ni najbolji software ako ne pomognes sam sebi :)

degojs, preterujes, FF je vrlo dobar browser, a to sto ima puno zakrpa i sto izlazi nova verzija svaki mesec... bolje da ne pokazem moj "Add/remove programs" i razne hotfix-ove :) Samo za Media Player imam 4 hotifix-a, pa opet mislim da je to sjajan software.

Ja se slazem sa degojs da ni najbolji software ne moze da te zastiti ako si neoprezan (neozbiljan) pa ides na warez sajtove i skidas i instaliras sta god ti padne pod ruku. Opet, drugi je problem ako odes na neki sajt, pa cak i warez, i nesto ti se instalira bez tvog znanja. To je jednostavno nedopustivo.

Na kraju, ja sam vrlo oprezan cak i sa Firefox ekstenzijama. Ko zna ko je to radio i zarad cega. Ako imas firewall i podesio si da firefox moze da pristupi webu, onda i svaka ekstenzija moze da posalje autoru ekstenzije bilo koje informacije.

Sam naslov teme je Firefox i security, hajde da pricamo o tome, a ne da pretvorimo u "the battle of the beasts".

Ilija Studen

15. 02. 2006., 01:21

Neću zaboraviti situaciju kad smo posetili jedan sigurnosni test. Trebalo da je da posetimo određenu stranicu sa IE i da nakon toga restartujemo računar. Nakon logovanja korisnika pokrenuo se command line program sa objašnjenjem da je taj programčić skinut sa stranice koju smo posetili i podešen da se izvrši pri prvom logovanju. IE nije prijavio nikakve napravilnosti.

Ne sećam se da li je auto update bio uključen na mašini, ali znam da je bio instaliran Win sa tada svežim SPom. Na mašini je radila ekipa montažera (više od prosečnih korisnika, ali daleko od eksperata). Jedna prosečna produkciona mašina na kome ne rade ljudi koji Windows poznaju "u dušu".

Razumem da je greška najverovatnije na njima jer nisu skinuli najnovije zakrpe (ili na MSu jer u tom trenutku zakrpe nisu bile dostupne), ali takav tip propusta u zvaničnoj distribuciji je jednostavno nedopustiv. Često nije bitna količina propusta koja se nađe u programu već njihova ozbiljnost (gore navedeni primer je kritičan).

---

Što se Firefox ekstenzija tiče činjenica je da pružaju mnogo slobode developerima (mogu da dolaze u paketu sa izvršnim fajlovima, pozivaju ih itd) i da mogu biti iskorišćenje za kojekave "mutne radnje", ali je tu problem opet u korisniku koji se odlučio na instalaciju neproverene ekstenzije.

Stvarno ne znam šta da mislim o ovom načinu distribucije. Nekako mi slično zvuči kao kad bi krivili Microsoft zato što ne konta da uz KaZaA dolazi tona spyware i nije zaštitio korisnika.

degojs

15. 02. 2006., 03:11

bluesman
degojs, preterujes, FF je vrlo dobar browser, a to sto ima puno zakrpa i sto izlazi nova verzija svaki mesec... bolje da ne pokazem moj "Add/remove programs" i razne hotfix-ove Samo za Media Player imam 4 hotifix-a, pa opet mislim da je to sjajan software.

O čemu pričamo? Poredimo čitav Windows sa Firefoxom? Da li je to i približno iste veličine i kompleksnosti?

Gledaj, tu bajnu sigurnost možeš da imaš ako koristiš bilo koji browser samo da nije IE. Jednostavno, niko drugi nije meta napada toliko koliko IE (i Windows). Verujem da ćeš biti još sigurniji ako koristiš Operu umesto FF, a to veze nema mnogo sa brojem bagova. Ko piše exploite za Operu? Niko, tj. verovatno još manje nego za FF.

Ilija
Razumem da je greška najverovatnije na njima jer nisu skinuli najnovije zakrpe (ili na MSu jer u tom trenutku zakrpe nisu bile dostupne), ali takav tip propusta u zvaničnoj distribuciji je jednostavno nedopustiv. Često nije bitna količina propusta koja se nađe u programu već njihova ozbiljnost (gore navedeni primer je kritičan).

Ma hajde? Koju verziju FF ti koristiš? 1.0.0? Kako da ne, a ima koliko da je izašla verzija 1.0.0?

Šta bi tek bilo da FF ima zastupljenost 90%? Da li bi i onda koristio 1.0.0 danas, a ne koristiš tu verziju ni ovako kad FF i nije meta napada?

bluesman
Opet, drugi je problem ako odes na neki sajt, pa cak i warez, i nesto ti se instalira bez tvog znanja. To je jednostavno nedopustivo.

Aj bre da vidimo spisak tih sajtova konačno.

Pazi, nemoj sad da mi Googlaš 2 dana i daš jedan sajt, nego za 10 minuta da lepo daš linkove do npr. 10 sajtova, ako je to već tako uobičajena stvar.

Evo ja ću lično sve da probam, pa da izvestim. Dobrovoljno se javljam. Ajd baš da vidimo.

To smo tražili onomad na Advocacy na ES i nikad ništa. Onaj neki bosanac dao JEDAN jedini link sa exploitom koga smo rado probali i ispostavilo se da nije radio. Probavali smo praktično sve Windowse, a nije radilo čak ni na golom Windowsu 98 SE. Tek sa Windowsom 98 je exploit prolazio, ako se dobro sećam. Ej bre.. Windows 98.

bluesman

15. 02. 2006., 03:35

degojs, a što si ti tako nervozan? Zar ne možeš normalnim tonom da kažeš ono što želiš? Zvučiš kao da tebe neko lično napada. Možda je najbolje da stanemo ovde.

degojs

15. 02. 2006., 03:38

Jok, meni sve OK. Kod tebe?

Jednostavno mrzim kad ljudi pricaju svasta. Ono pricamo o nekim standardima i FF je kao keva, a to sto ni taj FF ne prolazi tamo neke testove nije bitno.. itd. Koji je to mentalitet? Da komsiji crkne krava i to je to? A to sto ni nasa krava nije bog zna sta, manje je bitno?

Daj ti bre spisak tih sajtova, pa cemo onda da stanemo.. :)

bluesman

15. 02. 2006., 03:43

Meni je "La vie en rose" :) Ali kada vidim (ne "šta" nego "kako") pišeš, čudim se što toliko lično shvataš celu priču.

degojs

15. 02. 2006., 03:47

A otkud znam.. verovatno si u pravu kad kažeš da tako zvuči, ali ne treba na to obraćati pažnju, to je valjda posledica dugogodišnjeg advokatisanja na temu :):):)

Možda da stavim neki simpa avatar, pa će biti bolji utisak.. hehe

bojan_bozovic

15. 02. 2006., 06:46

https://bugzilla.mozilla.org/

Dalje, bolkje je da koristis proprietary blackbox nego OSS softver (bilo je na [es] advocacy o tome, jer bas svako ne moze da pretrazuje bugzillu). Zato je Opera stvarno naj :) Obfuskacija radi, zeleli mi to da priznamo ili ne. (Hint: ko kaze da Opera nema bugove i exploite ;) Ima ih ko FF ili IE, ali nadji ih ako umes). Mrzim samo sto se odmah urla na slashdotu kad se nadje security-related bug u IE, a o FF niko ne zbori.

Dalje, FF ekstenzije su dusu dale za one-click-spyware-install i BTW imamo FF spyware (Google Toolbar). Da toolbar nije Googleov, odma bi pola interneta urlalo o spyware-u (hint: napravi data-mining toolbar za FF da salje podatke na tvoj sajt). Tu je Opera mnogo bolja, a i FF i IE su lose zamisljeni, jer svaka susa moze da napravi toolbar. U Operu ide samo ono sto Opera Software odluci i to je bezbedno.

degojs

15. 02. 2006., 08:01

Pa evo samo da malo obrnemo: koliko sajtova pokusava da nasamari korisnika i uvali neku "adware" ekstenziju za Firefox?

Ja ne znam niti jedan. A da li bi to bilo tako da Firefox dolazi sa Windowsom? Cisto sumnjam, mislim da bi ih bilo isto kao i za IE..

Pedja

15. 02. 2006., 08:26

A inace, kad spomenu kako se tebi nikad nije desilo nista sa IE, mom kolegi sa bivseg posla, java programeru koji se kompjuterima bavi od spektruma na ovamo, na masini sa ukljucenim windows updateom, je warez sajt u IE 6 instalirao neki auto-dialer i krenuo da okrece neka egzoticna ostrva, ali srecom masina nije imala modem, pa je covek provalio sta se desava.. i pri tome cisto da napomenem da ga nista niko nije pitao, niti je on kliknuo negde bezveze.. to nije nikakva urbana legenda, bio sam prisutan kad se to desilo, sedeo sam za stolom pored....da li treba da ti napominjem da taj decko sad koristi FF kad ide na takve sajtove i nikad mu se to nije ponovilo u firefoxu ?

A ja sam prisustvovao situaciji kada je moj kolega, koji koristi FireFox otisoa tako na neki sajt, a ovaj mu je isntalirao trojanac a bez da ga je ista pitao ali je trojanac instaliran u Internet Explorer i aktiviran je tek kada je pokrenut IE.

Za surf korsitim uglavnom FF, zato sto je sigurniji. Ne ulazim u to da li je sigurniji zato sto ima manje bagova, ili su bagovi manje opasni ili posto nema exploita za njega. Statistika kaze da je FF sigurniji. Uzoci su mi nebitni.

Inace spadam u one koji mogu da kazu da su imali malo posla za virusima i trojancima cak i bez korsicenja antivirusa. Medjutim, par puta se i meni desilo da odem na neki sumnjivi sajt sa IE i popijem radnju, a da nemam pojma sta se desilo. Zbog toga IE koristim samo za pristup proverenim sajtovima.

Verujem da je sa novijim update-ima i patch-evima bezbednost IE znatno povecana i da je sada tesko moguce da ti se nesto uvali a da ti to ne odobris, ali ostaje gorak ukus i nepoverenje od ranije, tako da je FF primarna alatka za surf. Oper je takodje ok, ali nije moj licni izbor jer je malo graficki prenabudzena.

Iskustvo na nasoj wireless mrezi se slaze sa ovakvim pristupom. Ko god je od korinsika imao problema sa trojancima i virusima, koristio je IE. Kako korsinik predje na FF, ti problemi su prestaju, ili su se znatno proredjuju.

ivanhoe

15. 02. 2006., 16:28

A sad nagradno pitanje: a šta radi taj tvoj kolega po warez sajtovima? Skida nešto? A kad skine onda možda instalira?

Koji đavo da se mučiš da stavljaš exploit na samu stranicu, kad lepo možeš da ga upakuješ u program koji će tvoj kolega sami da skine i instaliraja..

FF će da te zaštiti?

Ma daj pali bre..

e izem ti odgovor..:/

Trazio je serial za nesto, a i da je skidao gole slike majke tereze skroz je to nebitno.... ja pricam o tome da je njemu sajt, zahvaljujuci nekoj sigurnosnoj rupi u IE instalirao program bez njegovog znanja...i ti mi na to kazes: pa ko mu je kriv kad ide na takve sajtove ???? Super ti je resenje za sigurnost. A kad treba da zastitis masinu od napada ti izvuces UTP kabl ?? :)

i da, uzgred, FF ce da te zastiti od toga, jer sam ja redovan na warez sajtovima i nikad isam nista pokupio... upravo to i jeste poenta ove price, sta je sigurnije koristiti u normalnom radu...

e sad da li je to tako zato sto je IE popularniji pa ga vise napadaju, ili zato sto je duboko integrisan sa windowsom pa vuce dosta problema i loseg koda odatle, ili zato sto su BIll Gatesa oteli vanzemaljci i zamenili ga daljinski kontrolisanim robotom.....who cares ??

mene kao korisnika zanima da li nesto radi dobro ili lose, i nista drugo... kad se pojavio IE 4 ja sam ga obozavao u odnosu na Netscape, a sad je FF bolji, pa zato koristim njega...to je browser, stvar, stvarno ne shvatam sto ti to shvatas kao da ti je rod rodjeni?

nixa

15. 02. 2006., 17:01

heh ... da se mi vratimo temi ipak ... :)

degojs

15. 02. 2006., 18:25

E ivanhoe, izem ti i ja tvoj odgovor.

Taj odgovor mozes da kazes i ovako, sto sam vec rekao: bilo koji browser koji nije IE ce da bude sigurniji. Izdizati Firefox po tom pitanju je smesno. Opera ce takodje jednako dobro da te stiti od napasti..

Kontas li ti da to uopste nema veze sa Firefoxom, a jos manje sa brojem bagova u istom. Firefox ili Opera mogu da budu i 10x busniji nego IE - niko ih ni ne napada, pa onda kako uopste porediti iste po tom pitanju, a da bude objektivno?

bluesman

15. 02. 2006., 18:50

Firefox ili Opera mogu da budu i 10x busniji nego IE - niko ih ni ne napada, pa onda kako uopste porediti iste po tom pitanju, a da bude objektivno?

To je ono zasto ja tvrdim da je ovo istrazivanje biased, posto se traze "known exploits", a 99% of all known su u stvari oni za IE. Niko ne trazi exploite za FF ili druge, zato sto se uglavnom i ne zna da postoje jer se niko generalno i ne trudi da ih pravi. Kada tako napravis istrazivanje, jasno je ko je tu statisticki gubitnik.

degojs

15. 02. 2006., 18:56

Tacno tako Gorane.

A ako momci hoce da budu koliko-toliko objektivni po ovom pitanju neka uporede Operu i Firefox.

ivanhoe

16. 02. 2006., 03:10

tja kao da se raspravljamo da li je sigurniji Sao Paolo ili Cirih, a vi kazete jeste ali Brazilci su siromasniji pa imaju vise kriminala...to jeste tacno, ali turistu koji zeli negde na odmor to ne zanima, njega zanima gde su vece sanse da ce ga neko ubiti zbog sata i para cipela... ;)

Sto se samog istrazivanja tice, ima tu drugih stvari koje su metodoloski mnogo pogresnije od ovoga sto vi pominjete, recimo izbor sajtova... kako su ih birali i da li izabrani sajtovi oslikavaju sajtove koje ce realno prosecan surfer da posecuje? Od toga direktno zavise same cifre, ali doduse ne zavisi odnos izmedju detektovanih napada za jedan i drugi browser... tako da big picture ostaje isti, a to je naprosto da upotrebom IE vise rizikujes nego upotrebom ostalih browsera (FF, Opera, Safari, KHTML, lynx, sta god..)