[Erw] Opera Wand (Zauberstab) für Firefox - Secure Login

Dann solltest du es lassen (zu aufwendig, zu kompliziert) und dich mit dem Problem anfreunden, bis der Patch von den Mozilla-Entwicklern in den offiziellen Firefox einfließt. Leider.

Zitat

Wer möchte, das der "Login Manager should not prompt for Master Password if signon.autofillForms is set to false"-Bug in Firefox Password Manager behoben wird sollte sich auf Bugzilla registrieren und dem Bug die eigene Stimme (Vote) hinzufügen.

Ich find den Bug eigentlich praktisch, so werde ich gleich beim Start des Fx bzw. beim Aufruf der ersten passwortbehafteten Seite zur Eingabe des MP aufgefordert *eg*

Zum Support: Ehrensache, wenn man die Erweiterung selbst nutzt

lässt sich eigentlich das manuelle einloggen ausschalten? ich versuche die ganze zeit die automatische anzeige des usernames und passwords beim doppelklick in das entsprechende feld auszuschalten... geht das überhaupt?

tolles addon!

Weshalb willst du dich denn selbst in der Form beschneiden?

wieso sollte das da noch angezeigt werden? reicht doch eigentlich wenn securelogin die verfügbaren nutzer anzeigt!?

Warum soll es die Funktion denn nicht mehr geben? Ob du nun nen Doppelklick machst/Tastenkombination nutzt/das Secure-Login-Icon anklickst ist doch gleichgültig.

ja stimmt schon... dennoch.. geht das irgendwie???

Ad hoc ist mir nichts dergleichen bekannt, wobei eine Erweiterung das natürlich prinzipiell lösen könnte.

ja.. nur welche ist die frage..

btw@madblueimp, warum taucht bei deiner Signatur Seite free software and open source.... dieser Hinweis bei mir auf:
[Blockierte Grafik: http://s2b.directupload.net/images/user/090128/temp/nk2gk7t2.jpg]?

Herbi

Ein Blick in deine Erweiterungsliste sollte deine Frage beantworten...

das ist mir klar, ich habe diese Erweiterung ja extra deswegen installiert. Aber, es ist ja schon merkwürdig, dass in einer Signatur eine Website auftaucht, die auf der Blacklist steht.

Herbi

Wieso merkwürdig? Das ist die Seite des Autors. Er hat sich dafür ein Zertifikat ausstellen lassen, welches wohl nur mit md5 signiert wurde.
Den Fehler hat die CA begangen.

Hintergrund:
http://www.heise.de/security/25C3-…/meldung/121005

madblueimp wrote:

Zitat

gehört das SSL-Zertifikat für blueimp.net zu einer Reihe von Zertifikaten (ca 30% aller HTTPS-Seiten), die von Certificate Authorities mit dem unsicheren MD5-Verfahren signiert wurde.
Es ist daher potentiell kompromittierbar, d.h. Angreifer könnten das Zertifikat, das eigentlich nur für blueimp.net gilt, für einen eigenen Server erstellen.

Ergänzend:
Mit dem Zertifikat von blueimp.net hat es eigentlich gar nichts zu tun, selbst wenn das mit SHA-1 signiert wäre. Der Angriff beruhte darauf, dass sich die Forscher ein eigenes CA-Zertifikat mit einer Signatur eines anderen Zertifikats gebastelt haben. Dass sie die Signatur übernehmen konnten lag daran, dass sie die Schwäche von md5 bei Kollisionsangriffen ausnutzten. Mit dem CA-Zertifikat, dass von einer anerkannten CA signiert wurde, konnten sie sich dann selbst Zertifikate für jede beliebige Domain erstellen. Daher spielt es keine Rolle, ob das Zertifikat von blueimp.net mit md5 oder SHA-1 signiert ist. Die Forscher hätten sich ohnehin ein eigenes ausstellen können.
Entscheiden dabei ist, wie sie den Browser dazu bringen den falschen Server anzurufen bspw. über ARP-Spoofing, DNS-Spoofing oder Pharming. Das setzt aber weitere Schwachstellen oder Gegebenheiten voraus.

Zitat

Das heißt aber noch lange nicht, das der Besuch von blueimp.net (oder einer anderen HTTPS-Seite mit unsicherem Zertifikat) per se unsicher wäre. Es kann nur die Verschlüsselung nicht sichergestellt werden, da sich ein Angreifer mit gefälschtem Zertifikat in die Verbindung einklinken könnte ohne das dein Browser eine Fehlermeldung ausgibt.
Damit ist die Seite aber immer noch mindestens genauso sicher wie eine Seite komplett ohne Verschlüsselung.

Er würde sich nicht "einklinken" im Sinne von mitlauschen (Aufbrechen der Verschlüsselung). Der Angreifer würde die Verbindung von Beginn an zu seinem Server umleiten. Der Verschlüsselung könnte man daher schon vertrauen, nur dem Endpunkt nicht. Bei einem MITM-Szenario (Weiterleitung der Daten zwischen Client und eigentlichem Zielserver) würde eine zweite Verbindung aufgebaut. So dass man nicht davon sprechen kann, dass die ursprüngliche verschlüsselte Verbindung "entschlüsselt" wurde. Sie wurde nur umgeleitet, wobei die einzelnen Kanäle verschlüsselt bleiben.

Siehe auch:
http://www.win.tue.nl/hashclash/rogue-ca/

Zitat

Any website, whether it is secure (i.e. uses SSL) or not, whether it has an MD5-based, SHA-1-based, SHA-256-based, or any other type of certificate, irrespective of which Certification Authority issued the certificate, can be impersonated, in particular not only genuine websites that have an MD5-based certificate are vulnerable.

Zitat

Die SSl-Blacklist bedeutet also in diesem Fall einfach nur, das die Verschlüsselung nicht gewährleistet werden kann, man sich also nicht auf die HTTPS-Verschlüsselung verlassen kann.

Das Beispiel zeigt viel eher, dass die Erweiterung an der Stelle unsinnig ist. Eine Warnung vor md5-Zertifikaten für Clients ist in dem Szenario aus genannten Gründen völlig unnötig und verunsichert nur, wie hier sichtbar.
Viel eher interessant für den Anwender ist Perspectives.
http://www.cs.cmu.edu/~perspectives/
http://www.cs.cmu.edu/~perspectives/md5.html

http://www.firefox-browser.de/forum/viewtopic.php?t=64016