Firefox und bösartige Erweiterungen

Ehm, ich will niemandem zu nahe treten, aber wer ist Ben

Sorry, ich hab erst mein Leben mit Firefox (damals ja noch Firebird und früher ja Phoenix ) ab Version 0.6 bereichert

Ben Goodger... quasi der Hauptprogrammierer vom Firefox.

Hallo!

Ich will auch mal meinen Senf dazugeben... *g*

Mir ist schon klar, dass jeder User "seines Glückes Schmied" ist... Aber beim IE gibt es ja auch so eine Funktion wo man die Installation von Irgendwelcher Software bestätigen muss. Diese Funktion ist beim IE als sehr gefährlich eingestuft worden. Anscheinend kann die Installation von Erweiterungen ähnlich gefährlich sein, wenn man nicht aufpasst.

Mein Vorschlag zur Sicherhei:

Vielleicht sollte man im FF eine zusätzliche Überprüfug einbauen. Wenn ausführbare Dateien gefunden werden sollte ein Fenster mit einer deutlichen Warnung erscheinen wo man nochmal bestätigen muss ob die Datei ausgeführt wird.

Signaturen wären sicher auch eine gute Sache um die Sicherheit zu erhöhen.

Gruß Oizo

Wenn du etwas installieren möchtest, erscheint bereits eine Box, die dich darauf hinweist, dass du gerade etwas sehr gefährliches tust und du das nicht tun solltest, wenn du nicht sicher bist, ob die Quelle sicher ist. Ob noch eine Meldung, die bestätigt werden muss, mehr bringt als einfach nur zu nerven, weiß ich nicht. Aber abgesehen davon: Eine Datei muss nicht unbedingt auf .exe enden, um ausführbar zu sein. Das zu filtern erscheint mir unmöglich.

Gruß
Abdulkadir Topal

Hallo Abdulkadir!

Du hast recht. eine weitere Bestätigung könnte nervig sein. Ich weiß dass es nicht nur .exe als ausführbare Datei gibt. Aber so viele sind es denke ich auch nicht. Vielleicht könnte man die Warnung dahin verändern, dass bei ausführbaren Dateien direkt auf die Gefahr hingewiesen wird.

Da ich bei bekannten öfter mal sehe dass sehr leichtfältig mit dem Bestätigen von Meldungen umgegangen wird ist mir eine deutlich Warnung sehr wichtig, weil ich weiß welche folgen das haben kann. Aber die Gefahr wäre mit Sicherheit viel geringer, wenn Windows endlich Sicherer werden würde.

Naja ich schweife aus... *g*

Bis dann!

Stephen

Hm, das Signatur-Verfahren wurde immer noch nicht eingeführt, ich hatte mir gedacht heute von update.mozilla.org Adblock runterzuladen aber dann stand da immer noch "nicht signiert", dann hab ich's sein lassen.

Also da ich mit dem Firefox auch sensible Daten verarbeite werde ich solange meinen Firefox nicht erweitern bis keine Signierung eingeführt wird.

Würden auf update.mozilla.org irgendwelche Spy- oder Adware-Extensions auftauchen, würde es direkt einen riesen Wirbel geben. Beispiel: die amazon-suchmaschinen-Erweiterung "a9-Toolbar". Aufgrund der Proteste wurde sogar diese offzielle Toolbar, die eigendlich nix andres macht, als andere Such-Toolbars (PartnerID/Cookie von Amazon setzen) von offiziellen Seiten, aus dem Angebot genommen. Eine bessere "signierung" findest du wohl nirgends. Aber wer ohne Adblock leben kann.... viel Spass... : )

Schaut doch in den Quelltext und vergewissert euch selber.
Ist doch nen großer Vorteil.
Ich denke mal, dass in die Richtung schon alles "sicher" ist, wenn man nicht etwas aus dunklen Kanälen läd und installiert. Gibt genug Leute, die da einen Blick drauf werfen.

Zitat von bugcatcher

Aber wer ohne Adblock leben kann.... viel Spass... : )

Lieber das als immer eine Sorge im Hinterkopf zu haben dass eine Erweiterung etwas macht.

Als ich vor einem Jahr Adblock installiert hatte wurde ich nach einem Neustart sofort auf eine Google - Seite geschickt.....

Mit dem integrierten Imageblock von FF kann ich gut leben.

Gerade mit der 1.0 ist es doch eh schon gut gelöst:
Am Anfang steht nur die Seite auf der whitelist, die man unter Erweiterunge installieren auch direkt anspringen kann.
Beovr man von einer neuen Seite installieren will, muß man diese erst in die whitelist setzen. Ist dies nicht getan, erscheint oben eine neue Leiste mit diesem Hinweis.
Korrumpierte xpi oder fälschlich so genannte müssen dementsprechend vor der Installation auch erst auf die whitelist gesetzt werden, für diese gibts also schon die 2 (eigentlich 3-Klick) Schranke.

Bei dem Thema sehe ich ein klares Vorteil von FF gegenüber IE (keine seblstständige Ausführing von Dateien) aber gleichzeitig ein Nachteil...

Bei dem IE kann man das ganze so konfigurieren daß es überhaupt keine Meldung kommt ob man dieses oder jenes sich installieren möchte. (Stichwort Internet Zones). Mit einer gepflegten Liste von "eingeschränkte Sites" kann man schon vieles vermeiden...

Gruß

Bird

Naja, das Zonenmodell ist ja bekanntermaßen auch nicht das Maß aller Dinge...
http://www.heise.de/newsticker/meldung/53186

Das Zonenmodell ist in der Tat schlecht, der IE sieht ja Flashfilme als ActiveX, schaltet man dies aus hat man nichts mehr von Flash, auch nicht das Wahre.

Vielleicht hat man mich vorher mißverstanden: Ich stelle mozilla.org nicht unter Verdacht (wenn dem so wäre dürfte ich ja nicht mal den Browser nutzen), aber wenigstens auf deren Seite könnten die ja die Signatur einführen. Außerdem hat ja nicht die Mozilla Corp diese Erweiterungen gecodet, sondern Dritte.

jsLib ist signiert. Und wie man eine Erweiteurng signiert erfährt man in einem Sticky im MozillaZine-Extensions-Forum: How do you sign an extension?

Zitat von Nuke

Außerdem hat ja nicht die Mozilla Corp diese Erweiterungen gecodet, sondern Dritte.

... Was aber ziemlich egal ist. Von Erweiterungen auf der mozilla-Seite (und die meisten anderen) ist der Quellcode verfügbar und direkt aus der Erweiterung lesbar und so werden die Erweiterungen garantiert von einem Programmierer vor dem veröffentlichen überprüft.

Zitat von mirco11

sehr aufschlussreich. Danke für die erfreuliche Mitteilung. Dies ändert meine Ansicht über die Signierung von Erweiterungen.

Die Signierung bedeutet aber halt leider nichts. Ob die Erweiterung von einem Malware-Autor oder von jemandem vertrauenswürdigem Signiert wurde lässt sich nicht wirklich feststellen. Die Signierung wird sogar weiter angezeigt wenn die Erweiterung verändert wurde. Man könnte also eine signierte Erweiterung nehmen, Malware reinpacken und es würde immer noch als signiert erscheinen.

Zitat von Dr. Evil

Das könnte eine schwierige Aufgabe sein... Ich habe schon versucht eine signierte Erweiterung zu modifizieren und die lässt sich nicht mehr installieren...

Gruß

Bird

das haben sie im MozillaZine-Thread behauptet...