[Erw] Opera Wand (Zauberstab) für Firefox - Secure Login

Dazu muss ich nicht mal meinen Webhoster fragen, dank Apache und .htaccess habe ich das eben aktualisiert:

# Handle .xpi files as firefox extensions:
RemoveHandler .xpi
AddType application/x-xpinstall .xpi

Es kann allerdings sein, das, wenn du die Datei eben angeklickt hast sich Firefox anscheinend den falschen MIME-Typ merkt, war jedenfalls bei mir so. Nach einem Browser-Neustart hat es aber funktioniert.

Nein, den Haken bei "Passwörter speichern" musst du drin lassen. SecureLogin nutzt den integrierten Passwort-Manager von Firefox. Der Unterschied ist das eigentliche "Einloggen".
Auch die Cookies kannst du aktiviert lassen. Ohne Cookies wirst du bei manchen Seiten erst gar nicht eingeloggt, wenn sie deine Session nicht auch über die URL speichern.

Das du trotzdem schon eingeloggt bist liegt an deinen schon gespeicherten Cookies. Das ist aber in Ordnung so.

SecureLogin ist dazu da, dich sicher und komfortabel bei Seiten einzuloggen, für die du noch keine Cookie gespeichert hast, deren Cookies du schon gelöscht hast oder deren Cookie-Session schon abgelaufen ist.

Zitat

Version 0.3.1 released:

Bugfix:
Keyboard shortcut was set to all ALT+key combinations by accident. It is now only ALT+N.

New Feature:
Shows the keyboard shortcut (ALT+N) in tooltip.

https://blueimp.net/mozilla/

http://forums.mozillazine.org/viewtopic.php?p=2740553#2740553

Das verhalten, das du da beschreibst, hat nichts mit der SecureLogin Extension zu tun. Secure Login ändert nur ein einziges Verhalten des Mozilla Firefox:

Es verhindert das automatische Ausfüllen der Formularfelder mit Benutzername und Passwort. Das macht es, in dem der Konfigurations-Wert signon.prefillForms auf false gesetzt wird, solange SecureLogin aktiv ist.

Dadurch können diese Daten nicht mehr einfach durch Cross-Site-Scripting-Attacken geklaut werden.
Du kannst mit SecureLogin zusätzlich noch alle JavaScript-Event-Handler beim Login deaktivieren, als zusätzliche Vorsichtsmaßnahme. Dieses Verhalten ist aber optional.

Um dich trotzdem komfortabel mit den im Passwort-Manager von Firefox hinterlegten Login-Daten einloggen zu können, bietet SecureLogin drei Möglichkeiten:

1. Klick auf den Toolbarbutton (den kannst du hinzufügen, in dem du mit Rechts-klick auf die Toolbar klickst, "Anpassen" wählst und ihn per Drag+Drop auf die Toolbar "fallen lässt".)
2. Klick auf das Statusbar Icon
3. Betätigen des Tastaturkürzels ALT+N

SecureLogin ändert nichts daran, wann du eingeloggt wirst, wie lange du eingeloggt wirst oder auf welchen Seiten du eingeloggt wirst.
Die SecureLogin-Extension ändert nichts an der Cookie-Behandlung, den gespeicherten Cookies oder einer anderen Session-Routine.

Das einzige was SecureLogin ändert, ist WIE du dich einloggst.

Und das WIE ist mit SecureLogin sicherer und meiner Meinung nach auch komfortabler.

SecureLogin orientiert sich im Komfort an dem Feature "Opera Wand" (Opera Zauberstab) des Browsers Opera.
Sicherheitstechnisch bietet SecureLogin mit der Option "JavaScript Event Handler vor dem Login deaktivieren" sogar noch mehr als "Opera Wand".

Und das automatische Ausfüllen der Login-Daten war ein sicherheitstechnischer Nachteil von Mozilla Firefox. Warum das so ist erklärt z.B. eine heise Newsmeldung:
Passwort-Manager von Firefox erleichtert Phishern die Arbeit

Das du bei manchen Foren bei einem erneuten Besuch automatisch eingeloggt bist, liegt daran, das du für diese Seiten Cookies hinterlegt hast, deren Session noch gültig ist.
Das "Ausloggen" aus diesen Foren beendet die Session.
Und je nach Einstellungen der Seite werden Cookies automatisch ungültig, wenn du z.B. deine Browsersitzung beendest, den Browser also neustartest.
Bei manchen Foren wie z.B. diesem hier, das mit der Foren-Software phpBB läuft, kann man mit Hilfe einer Checkbox neben den Login-Feldern die Option " Bei jedem Besuch automatisch einloggen" setzen. Damit wird die Gültigkeit der Session-Cookies praktisch auf unendlich gesetzt und du bist auch nach einem Browser-Neustart bei einem erneuten Besuch des Forums automatisch eingeloggt.

Nein, das geht leider nicht.

Das Problem ist, das Firefox Passwort Manager als Login-Informationen nur Benutzer, Passwort und Domain speichert, nicht mehr.

Das heißt, ich kann nicht feststellen ob der Benutzer wünscht, das diese Checkbox markiert wird oder nicht.

Wenn SecureLogin jetzt diese (oder eine andere Checkbox) jedesmal aktiviert nehme ich dem User die Möglichkeit, die Checkbox nicht zu aktivieren.

Ich könnte zwar speziell für die phpBB-Checkbox eine Option einbauen, diese zu markieren, die über die SecureLogin Einstellungen abschaltbar wäre. Das würde dann aber nur bei phpBB-Foren funktionieren. Andere Foren und andere Login-Webseiten haben wieder eine andere Formular-Struktur. So gibt es z.B. Seiten, bei denen man erst über eine Drop-Down-Box über zusätzliche Login-Informationen entscheidet.
Es gibt einfach zu viele Möglichkeiten die sich bei jeder Webseite unterscheiden können.

Sobald sich Firefox die gesamte Formular-Struktur merkt, kann ich all diese Optionen berücksichtigen. Das Problem liegt also eher am Passwort-Manager von Firefox, der sich zuwenig Informationen merkt.

Es bleibt dir also nicht anderes übrig, als die Checkbox manuell zu markieren und dich dann mit ALT+N oder einem Klick auf Toolbar button oder Statusbar Icon einzuloggen.

Zitat

Thanks to Malte Kraus who pointed out that the JavaScript code protection could be circumvented using the addEventListener methods.

As long as Firefox doesn't implement DOM Level 3 there is no EventListenerList attribute to enumerate the registered listeners for a given object.

Therefore JavaScript code protection has been rewritten and a new version has been released, including a minor bugfix:

Version 0.4

Bugfix:
- Login forms using input type="image" do work now.

New features:
- Rewritten JavaScript code protection.

Note:
The JavaScript code protection might not work with every login. There might be character encoding issues, as the data is sent manually using internal Firefox methods. This needs more testing but isn't that high on the priority list as the SecureLogin extension works as it is. The extra protection is good to have but will most likely not work with pages using JavaScript to submit the form data as well.

I thought about enabling Frames support for SecureLogin, but gave the idea up. This would mean to parse every single frame for forms, user+pass fields and according saved login data as Firefox doesn't save this information.
Most login pages don't need frames and those without can be considered more secure, too.

Alles anzeigen

http://forums.mozillazine.org/viewtopic.php?p=2741950#2741950

hyper_ch:
Die Möglichkeit, bestehende Logins zu löschen, gibt es schon.
Da SecureLogin zum speichern der Passwörter auf Firefox integrierten Passwort-Manager setzt, findest du diese unter
--> Einstellungen --> Sicherheit --> Passwörter anzeigen

Panther999:
Wer mir Informationen zur Verbesserung liefert, nervt sicher nicht.
Die Fehlermeldung ist nicht normal.
Allerdings kann ich sie nicht reproduzieren und daher den Fehler nicht beheben.
Könntest du zum Test die Erweiterung in einem frischen Profil installieren?

Die Option "Java Script Schutz beim einloggen aktivieren" wird leider nicht bei allen Login-Formularen funktionieren.

Sie basiert darauf, das die Werte der Eingabefelder des Loginformulars (Checkboxes, Radio buttons, Auswahllisten), sowie die Werte der versteckten Felder ausgelesen werden und zusammen mit den Login-Daten direkt an die Login-Seite gesendet werden.

Login-Formulare, die JavaScript-Routinen für den Login-Vorgang verwenden (onsubmit, etc.) funktionieren daher mit dieser Option nicht.

Auch kann es sein, das bei HTML-Suppe nicht alle Felder, z.B. Submit-Buttons mit type="image" eingelesen werden.
Eventuell kann es auch Kodierungsprobleme geben.

Die Option befindet sich insgesamt also noch in der Testphase.

Sie ist jedoch auch nicht nötig. Der normale Login-Vorgang ist mit SecureLogin schon sicherer als die Default-Einstellung von Firefox, Benutzer und Passwort einfach in alle Formulare der gleichen Domain einzutragen.

Cheffi und Gen. Bully:
Die Update-Prüfung funktioniert leider nur, wenn die Erweiterung bei addons.mozilla.org gelistet ist.

Ich hatte zwar schon Version 0.1 der SecureLogin Extension über das "Developer Control Panel" (https://addons.mozilla.org/developers/) eingereicht, allerdings ja immer neue Versionen nachgeschoben.

Leider haben die Prüfer dort ziemlich viel zu tun:
Approval Queue Status: There are currently 298 add-ons awaiting review
(Das ist auch der Grund, warum neue Versionen immer erst später dort gelistet sind).

Deswegen dauert es wohl noch eine Weile, bis SecureLogin überprüft, akzeptiert und gelistet wird.
Damit das mal passiert, werde ich versuchen, die aktuelle Version eine Weile beizubehalten. Eigentlich hat sie jetzt auch alle Features, die mir so in den Sinn kamen (Komfort + Sicherheit + Information).

hyper_ch:
Wenn du die Daten manuell eingibst und auf Login klickst, hat die SecureLogin Extension überhaupt nichts damit zu tun. Daran kann es also leider nicht liegen.

Zitat

SecureLogin ändert nichts daran, wann du eingeloggt wirst, wie lange du eingeloggt wirst oder auf welchen Seiten du eingeloggt wirst.
Die SecureLogin-Extension ändert nichts an der Cookie-Behandlung, den gespeicherten Cookies oder einer anderen Session-Routine.
Das einzige was SecureLogin ändert, ist WIE du dich einloggst.

Die gespeicherten Login-Daten werden allein von Firefox integrierter Passwort-Verwaltung verwaltet.
Deswegen bietet SecureLogin auch keine Dialog-Box zur Verwaltung dieser Passwörter, da es diese schon integriert in Firefox gibt.
Ich habe mir zum komfortablen Zugang einen Toolbarbutton eingerichtet, der mich direkt zu den Einstellungen bringt.

Panther999:
Ich habe SecureLogin eben mit der inFormEnter Erweiterung zusammen getestet. Bei mir gab es keine Probleme. Vielleicht ist es aber auch eine Betriebssystem-spezifische Sache (Xubuntu Linux hier).
Andererseits wüsste ich nicht, warum die Erweiterungen nicht koexistieren sollten.

Hast du es schon mal mit einem frischen Profil versucht?
Das ist immer die erste Anlaufstelle um Probleme aufzuspüren.
Ohne weitere Informationen kann ich dir leider nicht helfen.