Sicherheitslücke: gespeicherte Passwörter zuverlässig löschen NICHT möglich

Hallo und Willkommen hier im Forum.

Zitat von GuinnessTrinker

Löschen der Datei "key4.db"

Zusätzlich noch diese Datei löschen:

logins.json

https://support.mozilla.org/de/kb/wiederhe…l#w_passwairter

Zitat von GuinnessTrinker

Diese wird automatisch beim nächsten Neustart von FF gregeneriert.

Das ist richtig und soll auch so sein.

liegen bei dir noch reste vom vorgängerformat im profil (signons.sqlite + key3.db wenn ich mich richtig erinnere)?

Das ist weder eine Sicherheitslücke noch sonst was auf Seiten Firefox. Es scheint mir sogar gewollt, dass diese beiden Dateien weiterhin im Profil liegen. Und "löschen" löscht ja nicht die Dateien, sondern die Datenbank darin. Was kann Firefox denn dafür, wenn Keepass zu dusselig ist, die genutzte Firefox-Version zu erkennen und demnach die richtige Datenbank zu laden!?

Du weisst schon, dass dein letzter Satz totaler Blödsinn ist?

Ich wiederhole es nochmal für dich: die von Firefox angezeigten Dateien haben Gültigkeit, das betrifft hier key4/logins.json. Wenn es in Fireox keine Passwörter zeigt, hat es auch keine dort. Wenn keepass was älteres ausliest, was Firefox gar nicht mehr nutzt, liegt das an keepass. Wenn du dennoch meinst, dann setzte dein Profil zurück und lass keepass nochmal drauf arbeiten.

https://support.mozilla.org/de/kb/firefox-bereinigen
Und dann können wir uns gerne weiter unterhalten.

So nebenher, ich würde keine "Sicherheitslücke" nutzen.

Nur mal so zur Klarstellung, die key3.db ist die alte Datei für die Passwörter vor Firefox 57/58. Mit Version 58 wurde diese von Firefox migriert und in eine key4.db umgewandelt. KeePass wird wohl beide Dateien verarbeiten können. Aus Sicherheitsgründen wurde die alte key3.db behalten, für den Fall das bei der Migration nicht klapp(te). Wenn du unter Firefox 58+ aufwärts etwas an Passwörtern löscht, dann passiert dies eben nur in der key4.db und eben nicht mehr in der alten key3.db. Die kennt Firefox so ja nicht mehr (ggf. nur noch zur Migration).

Migration ist das eine und Downgrades das andere. Selbst wenn wir davon ausgehen, dass jemand zum Beispiel Firefox Stable und Firefox Beta parallel nutzt - vermutlich die meisten nutzen dafür keine getrennten Profile - ist das technisch gesehen ein Downgrade. Das ist also nicht nur bei Migrations-Problemen ein Thema. Und das ist übrigens auch ein denkbares Szenario, wie es hier im Forum immer wieder auftreten kann: Kannst du bitte testen, ob das Problem in der Beta-Version noch auftritt?

Würde Firefox im Zuge der Migration die alte Datei löschen, bedeutet das in diesem Szenario: Der Nutzer startet die Beta-Version, es gibt ein neues Datenbank-Schema, die alte Datei wird von Firefox gelöscht. In Zukunft möchte der Nutzer wieder Firefox Stable nutzen. Ups: Alle Passwörter sind weg, denn die alte Version kann mit der neuen Datenbank noch nichts anfangen.

Es ist aus Gründen der Datensicherheit also wichtig, die alten Dateien zumindest eine ganze Weile noch aufzuheben, zumindest bis man irgendwann sagt: Jetzt sind X Monate oder gar Jahre vergangen, jetzt müssen wir keine Rücksicht mehr nehmen. Wer jetzt Daten verliert, ist selbst Schuld. Aber mit sowas geht Mozilla nicht leichtfertig um. Und das ist gut so. Denn sämtliche Passwörter oder andere Daten wie Chronik oder Lesezeichen zu verlieren, kann richtig weh tun.

Und selbstredend ist das keine Sicherheitslücke, schließlich lässt sich daraus kein Angriff konstruieren. Einem Angreifer wäre es egal, ob er auf die alte oder die neue Datenbank zugreift, denn wenn er eh schon Zugriff darauf hat, ist nichts dadurch gewonnen, dass die alte Datenbank gelöscht ist. Wenn es überhaupt eine Lücke wäre, dann eine Datenschutz-Lücke. Aber selbst diese Klassifizierung wäre zweifelhaft.

Genau, denn Downgradefall hatte ich ganz vergessen, danke :klasse: und was Datenschutz bzw. Datensicherheit angeht, so sollte ja auch jeder PC Benutzer sein eigenes Konto am PC haben und am besten auch sein eigenes Firefox Profil

Zitat von AngelOfDarkness

.. und am besten auch sein eigenes Firefox Profil

Bzw. bei der Verwendung mehrerer Firefoxversionen auch eine entsprechende Anzahl Profile.. oder auch mehr, wenn man viel testet..

Eine (gewollte) Sicherheitslücken ist es, wenn du andere an dein Benutzerkonto lässt. Wenn andere darauf kein Zugriff haben, ist es doch eh Wurscht, wo, wie und warum Firefox Daten sichert bzw. abspeichert. Denn nur du, als Urheber der Daten hast dann darauf Zugriff. Ebenso können ja auch andere Browser die Lesezeichen sowie Passwörter importieren.

Naja, ich kann GuinnessTrinker gut verstehen.

Es gibt den Button: Passwörter löschen

Und wenn ich den anklicke, dann erwarte ich, dass alle Passwörter gelöscht werden.
Wobei es (mir) völlig egal ist, in welchen Dateien die sich befinden.

Zitat von GuinnessTrinker

In meinen Augen ist das eine saftige Sicherheitslücke, die zudem total einfach zu beheben wäre.

Das Problem trifft keine mir bekannte Definition des Begriffes Sicherheitslücke. Wäre es eine, wäre Mozilla außerdem schon dafür von der gesamten IT-Presselandschaft zerrissen worden, dass sie das seit vielen, vielen Jahren so praktizieren und es in der Zeit diverse vergleichbare Szenarien gab. Fakt ist: Es stellte nie ein Problem für die Öffentlichkeit dar. Deine persönliche Meinung mag sein, dass du das doof findest. Der Begriff Sicherheitslücke ist aber faktisch falsch und nichts, worüber man eine Meinung haben muss - entweder es ist eine Sicherheitslücke oder es ist keine. Wenn Sicherheits-Experten, die davon definitiv mehr verstehen, dies nicht als Sicherheitslücke betrachten, muss man selbst das nicht als solche darstellen.

Und was eine vermeintlich einfache Behebung angeht: Dir wurde bereits erklärt, warum es so ist, wie es ist. Die Datei naiv zu löschen kann also nicht die einfache Behebung sein. Wenn du schon meinst, bewerten zu können, dass die Lösung des Problems so einfach sei, dann teile diese einfache Lösung doch bitte Mozilla mit. Dann profitieren wir alle davon. Danke.