addons und privacy

Wenn du die Frage so allgemein stellst, kann ich auch nur allgemein mit meiner persönlichen Meinung antworten: Da ist einiges überflüssig - die Verwendung eines Proxy-Servers, HTTPS Everywhere, NoScript, Decentraleyes und vermutlich auch einige deiner about:config-Einstellungen, was sich aber nicht sagen lässt, ohne die geänderten Einstellungen zu kennen. Für den in Firefox bereits eingebauten Tracking-Schutz kommt eine Liste von Disconnect zum Einsatz - keine Ahnung, welchen Mehrwert die Erweiterung bietet. Diese Vielzahl deiner Anpassungen in diese Richtung klingt für mich stark danach, als würdest du blind alles anwenden, was du findest. Ich habe meine Zweifel, dass dir das einen großen realen Gewinn bringt.

Das ist sicher nicht die Antwort, die du dir erhofft hast. Hilfreich könnte sein, wenn du mal beschreiben würdest, was genau du eigentlich versuchst. Nur dann lassen sich Aussagen dazu treffen, wie du die Problemstellung gezielt adressierst (falls überhaupt möglich!). Falls es der Versuch ist, wirklich anonym zu sein, muss ich dich enttäuschen: du bist im Internet nicht anonym. Die Gefahr ist sogar groß, dass du mit jedem Versuch, das zu erreichen, ein Stück deiner Anonymität einbußt. Verstecken kannst du dich nicht, aber nichts ist unauffälliger als in der Masse unterzugehen.

Ich schliesse mich dem an dass wir genau wissen müssten was dein Ziel ist welches du erreichen willst.
Möchtest du nur jene Werbung blockieren welche dich trackt? Dann reichen der eingebaute Tracking-Schutz von Firefox.
Möchtest du alle Werbung blockieren? Installiere dir uBlock und abonniere die üblichen Listen.
Möchtest du echte Anonymität und sicher sein dass dich niemand in seinen Listen aufgenommen hat ? Stecke die Internetverbindung von deinem Computer aus, kaufe dir ein Anwesen irgendwo weit weg von der Gesellschaft, ziehe dorthin und lebe dein Leben in Einsamkeit.
Möchtest du eine gewisse Anonymität mit dem Wissen im Hinterkopf dass es keine 100% Anonymität gibt? Installiere den Tor Browser in den Standard-Einstellungen.

Sowohl uBlock als auch uMatrix sind um einiges komplexer und mächtiger als NoScript in den meisten Belangen.
NoScript blockiert Scripts nach Domains, uBlock lässt dich sämtlichen Verbindungen von einer Domain sperren (z.B. von bekannten Werbung- oder Überwachungs-Domains) und uMatrix lässt dich darüber hinaus nochmals genauer einstellen welche Arten von Verbindungen erlaubt sind (z.B. kannst du CSS erlauben aber keine JS usw.) Darüber hinaus ist uBlock die einzige Erweiterung welche zusätzlich auch noch erlaubt mittels Listen Werbung und aller Hand von anderen Sachen zu sperren (EU Cookie Warnungen z.B.)

Meine Empfehlung von diesen dreien wäre uBlock evtl. in Kombination mit https-everywhere und decentraleyes, alles andere kannst du entfernen.

Zu den about:config Einstellungen von ghacks. Die Liste ist extrem lange und während einige Schalter vielleicht einen positiven Effekt haben, haben andere keinen Einfluss auf die Privatsphäre und verschlimmern einfach dein Benutzererlebnis (z.B. // 2662: disable "open with" in download dialog (FF50+))
Meine Empfehlung dazu wäre es darauf zu verzichten und stattdessen den Schalter privacy.resistFingerprinting auf true zu setzen (siehe https://wiki.mozilla.org/Security/Fingerprinting und https://bugzilla.mozilla.org/show_bug.cgi?id=1329996) falls dir Tracking-Schutz wichtiger ist als Nutzererlebnis.)

Bedenke... je mehr du, abseits der Masse, versuchst anonymer zu sein, umso mehr wirst du identifizierbar. Machst du alles, was die Masse an Nutzern machst, umso mehr gehst du in dieser Masse unter und "verschwindet". Einer von Millionen ist schwerer identifizierbar als einer der aus der Masse hervorsticht.

Zitat von farinet

Danke! Das ist eine Idee. Was hältst Du eigentlich von den DuckDuckGo Privacy Essentials? Sind die nicht irgendwie die Kombi von https-everywhere und privacy badger?

Hört sich nach dem ersten Durchlesen so an, vorbildlich ist dass der Code Open Source ist.

Zitat von farinet

Drei Nachfragen: a) Tut uBO irgendetwas über die Blockade von Werbung hinaus?

Nein. uBlock Origin ist ein reiner Content-Blocker.*

*) Ich spreche ausdrücklich von Content- und nicht von Werbeblocker, weil diese Art von Erweiterung zwar üblicherweise als Werbeblocker verwendet wird, es aber von den eingesetzten Filterlisten abhängt, was blockiert wird. Es können auch andere Dinge, wie beispielsweise auch Elemente sozialer Netzwerke blockiert werden.

Zitat von farinet

b) Braucht man eine software, die https erzwingt, oder tut uMatrix das (ich hab in den Einstellungen nichts dergleichen gesehen, aber vielleicht habe ich den Wald vor Bäumen nicht gesehen)?

Eine solche Erweiterung ist in meinen Augen komplett überflüssig. Entweder unterstützt eine Webseite HTTPS oder nicht, daran kann diese Erweiterung überhaupt nichts ändern. Wird HTTPS unterstützt, ist das in der Regel auch Standard und wird erzwungen. Auch hier nützt die Erweiterung also überhaupt nichts. Damit bleibt nur noch der Fall übrig, dass HTTPS unterstützt, aber nicht erzwungen wird und du als Benutzer die HTTP-Version und nicht die HTTPS-Version aufrufst. Die Zahl der Webseiten, auf die das zutrifft, schrumpft täglich, damit verliert die Erweiterung täglich mehr ihrer Daseinsberechtigung.

Zitat von farinet

c) Ich habe mich ein wenig an dieser Seite orientiert: https://www.ghacks.net/2015/08/18/a-c…urity-settings/ - ist das denn völlig daneben, Deiner Meinung nach?

Das erste Problem an dieser Liste ist die Tatsache, dass sie veraltet ist. Wenn Einstellungen auftauchen, die nichts mehr bewirken, weil sie durch andere Einstellungen ersetzt worden sind, hast du nicht nur das Problem, dass du nicht das erreichst, was du glaubst zu erreichen (die falsche Annahme, etwas eingestellt zu haben, was man nicht eingestellt hat, halte ich sogar für weit problematischer als gar nicht erst etwas erstellt zu haben, weil man dann unter einer falschen Annahme lebt und sich ggfs. danach verhält - trügerische Sicherheit / Privatsphäre ist kontraproduktiv!). Auch muss angenommen werden, dass andere Einstellungen, die deinem Zweck dienen, die Privatsphäre zu verbessern, gar nicht aufgelistet werden und du damit sowieso nur halb dein Ziel erreichst.

Ein anderes Problem an dieser Liste ist, dass sie dir Privatsphäre und Sicherheit verkauft, einige Einstellungen aber überhaupt nichts dazu beitragen und dir durch ein Verstellen nur Nachteile bringen. Es sind sogar Empfehlungen dabei, die deine Sicherheit verschlechtern (!).

Die Erklärungen auf dieser Seite sind außerdem viel zu knapp, um es dir zu ermöglichen, begründete Entscheidungen zu treffen. Zu manchem müsste definitiv mehr gesagt werden.

Das sind ziemlich gewichtige Gründe, wieso ich nur davon abraten kann, eine solche Liste ungeprüft anzuwenden. Du kannst gerne hier im Forum gezielt nach bestimmten Einstellungen fragen, wenn du dazu eine Meinung von mir hören möchtest. Es sind aber zu viele in der Liste als dass ich jetzt zu jeder Einstellung was schreiben könnte.

Zitat von miku23

Darüber hinaus ist uBlock die einzige Erweiterung welche zusätzlich auch noch erlaubt mittels Listen Werbung und aller Hand von anderen Sachen zu sperren (EU Cookie Warnungen z.B.)

Zwei Hinweise dazu: 1) uBlock und uBlock Origin sind zwei unterschiedliche Erweiterungen. 2) Ganz sicher ist das nicht die einzige Erweiterung, welche das erlaubt. Andere Erweiterungen dieser Art wie Adblock Plus (was schon sehr viel älter ist und sehr viel mehr Nutzer hat) setzt ebenfalls auf Filterlisten - wie überhaupt die meisten Content-Blocker.

Zitat von miku23

Meine Empfehlung dazu wäre es darauf zu verzichten und stattdessen den Schalter privacy.resistFingerprinting auf true zu setzen (siehe https://wiki.mozilla.org/Security/Fingerprinting und https://bugzilla.mozilla.org/show_bug.cgi?id=1329996) falls dir Tracking-Schutz wichtiger ist als Nutzererlebnis.)

Davon rate ich ausdrücklich ab. Dieser Schalter hat extreme Konsequenzen. Eine Konsquenz ist, dass es nicht mehr möglich ist, einen großen Teil der Erweiterungen von addons.mozilla.org herunterzuladen. Und das ist nur eine Sache von mehreren, die man sehr wahrscheinlich nicht will.

Bezüglich HTTPS Everywhere, wie gesagt: der Nutzen sinkt täglich. Die Telemetrie-Daten von Firefox sagen, dass für Nutzer in Deutschland bereits mehr als 75 Prozent aller Seitenanfragen über HTTPS und nicht mehr über HTTP erfolgen. Und man sollte immer auch im Hinterkopf behalten, dass eine solche Erweiterung ein ganz eigenes Problempotential mitbringt. Stichwort Mixed Content: aktive HTTP-Ressourcen auf HTTPS-Webseiten werden vom Browser blockiert. Teilweise setzen Webseiten dann noch mit Absicht auf HTTP, wenn etwas eingebunden ist, was nur über HTTP zur Verfügung steht. Als Nutzer bemerkst du davon nichts, weil es dann halt einfach ersatzlos fehlt, was da sein sollte. Durch meinen Beruf als Webentwickler für zahlreiche Kunden bin ich damit schon häufiger konfrontiert worden. Ich weiß also, dass das nicht nur ein theoretischer Fall ist.

Das Beispiel mit den veralteten Zertifikaten verstehe ich nicht. Was hat das mit der Erweiterung zu tun?

Zum PS: Ich schrieb von Adblock Plus, Adblock (ohne Plus) ist wieder eine andere Erweiterung. Ich weiß zwar nicht, was gegen die Erweiterung prinzipiell sprechen soll, aber ist auch nicht wichtig, weil ich die Erweiterung nur als Beispiel dafür genannt habe, dass die Aussage:

> Darüber hinaus ist uBlock die einzige Erweiterung welche zusätzlich auch noch erlaubt mittels Listen Werbung und aller Hand von anderen Sachen zu sperren (EU Cookie Warnungen z.B.)

… nicht stimmt. Adblock Plus ist halt schon einige Jahre älter als uBlock und kann genau das entsprechend auch schon Jahre länger. Das trifft aber genauso auf die meisten anderen Erweiterungen dieser Art auch zu, dass sie das können, weil sie fast alle auf Filterlisten setzen.

Ich habe mich auf den zuvor von dir genannten Link bezogen. Dort hatte ich nur wenige Sekunden benötigt, um eine Einstellung zu finden, die nicht mehr existiert. Die Liste auf GitHub mag aktueller sein, tatsächlich wurde die entsprechende Einstellung, die ich gefunden hatte, mittlerweile ersetzt. Aber lange hat es nicht gedauert, bis ich auch auf der GitHub-Version nur durch Überfliegen die erste Einstellung gefunden habe, die nicht mehr existiert. Mit anderen Worten: das Datum sagt, dass die Datei aktualisiert wird. Es sagt aber nicht, dass die Inhalte auch alle aktuell sind.

Für mich ist allerdings der wichtigere Punkt, dass ich manche der Einstellungen auf keinen Fall empfehlen würde. Deswegen empfehle ich, nach der Meinung zu bestimmten Einstellungen zu fragen, bevor Einstellungen geändert werden. Hinterher kannst du diese Meinung immer noch ignorieren und es so machen, wie es in der Liste steht. Aber zumindest hast du dann eine Bewertungsgrundlage mehr.

Zitat von Sören Hentzschel

Zwei Hinweise dazu: 1) uBlock und uBlock Origin sind zwei unterschiedliche Erweiterungen. 2) Ganz sicher ist das nicht die einzige Erweiterung, welche das erlaubt. Andere Erweiterungen dieser Art wie Adblock Plus (was schon sehr viel älter ist und sehr viel mehr Nutzer hat) setzt ebenfalls auf Filterlisten - wie überhaupt die meisten Content-Blocker.

Zur Klarstellung; ich meinte natürlich uBlock Origin, ich habe nur die schlechte Angewohnheit Origin zu verschlucken. Zu 2) Ich hätte vielleicht klarer machen sollen dass ich nur in diesem Kontext von der einzige Erweiterung gesprochen habe, sprich zwischen uMatrix, uBlock Origin und NoScript ist es die einzige Erweiterung welche es erlaubt Listen zu abonnieren.

Zitat von Sören Hentzschel

Davon rate ich ausdrücklich ab. Dieser Schalter hat extreme Konsequenzen. Eine Konsquenz ist, dass es nicht mehr möglich ist, einen großen Teil der Erweiterungen von addons.mozilla.org herunterzuladen. Und das ist nur eine Sache von mehreren, die man sehr wahrscheinlich nicht will.

Vermutlich war meine "Empfehlung" ein wenig zu positiv verfasst gewesen; ich wollte eigentlich damit nur aufzeigen das mittels einem Schalter viele Ziele welche die ghacks Datei hat auch erreicht werden können - unabhängig davon dass beide das Nutzererlebnis arg einschränken.

Ausnahmslos alle Add-ons, welche eine höhere Version als Firefox 52 erfordern, lassen sich nicht mehr installieren, weil privacy.resistFingerprinting den User-Agent auf Firefox 52 setzt. Das heißt auch, du hast Auswirkungen auf ziemlich vielen anderen Webseiten, die User-Agent-Spoofing betreiben und für alte Firefox-Versionen etwas anderes ausliefern als für moderne Firefox-Versionen.

[attachment=0]Bildschirmfoto 2018-05-01 um 12.24.39.png[/attachment]

Die Änderung des User-Agents ist wie gesagt nur eine von vielen Konsequenzen. Anderes Beispiel: Es wird Webseiten vorgelogen, dass sich der Anwender, ganz egal, in welcher Zeitzone er sich befindet, in der UTC-Zeitzone befindet, was zu naheliegenden Problemen bei Kalender-Anwendungen führt. Webseiten, die mehrsprachige Inhalte ausliefern, zeigen dir bevorzugt englischsprachige Inhalte an, obwohl es auch deutsche Inhalte gibt. Und vieles mehr.

Bei dieser Einstellung geht es darum, möglichst viel gegenüber Webseiten zu lügen. Inwiefern das tatsächlich die Privatsphäre verbessert, da habe ich meine Zweifel. Denn klar gibst du damit weniger reale Daten von dir preis. Nur würdest du mit diesen Daten auch komplett in der Masse untergehen, wenn es keine Besonderheiten gibt. Durch privacy.resistFingerprinting wird dein digitaler Fingerabdruck definitiv speziell, wodurch du leichter aus der Masse herausgepickt werden kannst.

Siehe dazu auch meinen Beitrag #7 hier im Thread: https://www.camp-firefox.de/forum/viewtopi…081638#p1081638

Ich weiß jetzt nicht, was das weiße Bild mir sagen soll, aber wenn du Firefox 59 nutzt und privacy.resistFingerprinting auf true gesetzt ist, bezweifle ich das. Verwendest du hingegen Firefox 60 Beta und höher, dann ja, weil dann der User-Agent auf Firefox 60 gesetzt wird. Das heißt aber, dass sich das Problem nur verlagert und zukünftige Versionen von Add-ons betreffen wird. Die grundsätzliche Problematik (nicht nur für addons.mozilla.org!) bleibt, User-Agent-Sniffing wird im Web sehr viel betrieben.