Email or username:

Password:

Forgot your password?
marudo(r)'s posts Post Back to profile
marudo(r)

Wer in dieser Kackfirma hat sich ausgedacht das firefox unsicher ist und jetzt geblockt wird...
Glaube ich muss mir nen neuen Job suchen...

13 Dec 2023 at 21:56 | Open on chaos.social
31 comments
Michael Freebie :mastodon:

@marudor da musst du mal in deinen eigenen Reihen fragen. Ich hab's damals selbst nicht verstanden.

13 Dec 2023 at 22:01 | Open on social.tchncs.de
wifi_freak

@marudor was wird als Alternative vorgeschlagen?

13 Dec 2023 at 22:07 | Open on social.zischundweg.cloud
marudo(r)
mxey
marudo(r)

@mxey Ich bin root auf meiner Kiste und kann sonst beliebe Software installieren & compilen.
Behaupte also firefox ist nicht das Problem.

13 Dec 2023 at 22:19 | Open on chaos.social
mxey

@marudor dass du root bist hat doch nichts damit zu tun wie gut die Sandbox deines Browsers ist, gegenüber bösartigen Websites?

13 Dec 2023 at 22:26 | Open on hachyderm.io
epfi

@mxey @marudor sagt aber etwas darüber, welchen Wert das Unternehmen so ganz grundsätzlich auf Sicherheit legt?

13 Dec 2023 at 22:29 | Open on troet.cafe
marudo(r)

@mxey Nein, wollte nur aufzeigen das verweis auf "Sicherheit" halt etwas schwach ist.
Und ich behaupte es gibt genauso Chrom(e/ium) only Probleme. Bin aber nicht tief drin.

13 Dec 2023 at 22:31 | Open on chaos.social
Niklas

@mxey @marudor der Artikel ärgert mich, auch wenn er nicht falsch ist

a) e10s wird als Fission-Vorgänger nicht erwähnt und Fission wird nicht erklärt, während die Erklärung von Chrome Site Isolation sehr ausführlich ist. Da werden auch ganz viele coole Blogs und Vorträge verlinkt, während hacks.mozilla.org/2021/05/intr fehlt.

b) Ich finde es fahrlässig, Menschen wegen solcher Kleinigkeiten von Firefox abzuraten, wenn das offene Web auf dem Spiel steht. (Ich sehe, dass der Artikel das nicht tut.)

@mxey @marudor der Artikel ärgert mich, auch wenn er nicht falsch ist

a) e10s wird als Fission-Vorgänger nicht erwähnt und Fission wird nicht erklärt, während die Erklärung von Chrome Site Isolation sehr ausführlich ist. Da werden auch ganz viele coole Blogs und Vorträge verlinkt, während hacks.mozilla.org/2021/05/intr fehlt.

13 Dec 2023 at 22:53 | Open on chaos.social
mxey

@ytvwld „Kleinigkeiten“ ist subjektiv… ich bin letztens fast vom Stuhl gefallen als ich gelesen hab, dass Firefox kein Certificate Transparency erfordert. Ich dachte das machen alle Browser. Das spricht für mich nicht dafür, dass Sicherheit da ernstgenommen ist.

13 Dec 2023 at 23:05 | Open on hachyderm.io
rugk

@mxey @ytvwld naja es sind Implementierungsprioritäten und Kapazitäten. Und was user nicht direkt sehen naja. Das ist auch nicht so leicht zu implementieren, github.com/iNPUTmice/Conversat und links dort erklären teilweise die Fallstricke weswegen das bspw viele Android Apps auch nicht implementiert haben.

Bzw ja das feature fehlt mir auch aber da chrome das ja erzwingt sind sind eh alle im CT log. Also der persönliche Sicherheitsgewinn hmm.

Vgl. bugzilla.mozilla.org/show_bug. und wiki.mozilla.org/PKI:CT

@mxey @ytvwld naja es sind Implementierungsprioritäten und Kapazitäten. Und was user nicht direkt sehen naja. Das ist auch nicht so leicht zu implementieren, github.com/iNPUTmice/Conversat und links dort erklären teilweise die Fallstricke weswegen das bspw viele Android Apps auch nicht implementiert haben.

14 Dec 2023 at 10:46 | Open on chaos.social
mxey

@rugk @ytvwld Dass Chrome das erzwingt heißt nicht, dass ich nicht dann nem Firefox-User ein Zertifikat unterschieben kann was ich nicht geloggt habe.

14 Dec 2023 at 10:53 | Open on hachyderm.io
rugk

@mxey @ytvwld theoretisch ja, da müsstest du auch aber erstmal TLS jandhsakes von Firefox erkennen und du musst ja trotzdem valide Zertifikate haben, eins von einer CA die du irgendwie überzeugt hast es nicht zu loggen (ist optional) und ein anderes. Das ist schön Aufwand.

Also i mean, all for it, sollte endlich mal implementiert werden, aber ist jetzt auch kein großes Sicherheitsproblem.

14 Dec 2023 at 10:58 | Open on chaos.social
mxey

@rugk natürlich ist es Aufwand, aber dann könntest du auch sagen es bringt generell wenig dass Browser CT erzwingen.

TLS-Handshakes von Firefox erkennen sollte jedenfalls nicht so schwierig sein, außerdem müsste man den Angriff sowieso targeten.

Ja, es ist kein großes praktisches Problem, ich fand es nur symbolisch.

14 Dec 2023 at 11:43 | Open on hachyderm.io
rugk

@ytvwld @mxey @marudor jup wirkt bisschen cherry picking. Und wenn dann selbst erklärt wird dass ACG bspw. auch im Chromium nur wenig verwendet wird dann toll.

Finally scheint es veraltet zu sein. Das x11 Problem ist nach dem selbst verlinkten bug bereits behoben in Firefox 99 (>1 Jahr) bspw.: bugzilla.mozilla.org/show_bug.

That said mag schon sein dass einige Dinge da besser sein könnten aber praktisch come on.

14 Dec 2023 at 10:57 | Open on chaos.social
rugk

@ytvwld @mxey @marudor ha auch das mit fonts macht Firefox schob aus ptivscy gründen seit der Weile, ist auch fixed bugzilla.mozilla.org/show_bug.. Aber aus sicherheitsgründen naja lol wenn du nen malicious font auf deinem system hast ist dein system pwned. Ob es dann im Firefox oder jede andere app ausgenutzt wird ist ja dann sich egal.

14 Dec 2023 at 11:03 | Open on chaos.social
mxey

@rugk ich hatte den Artikel als Erklärung dafür verlinkt wieso Leute durchaus berechtigt sagen, Chrome ist sicherer. Unten sind auch diverse andere Personen verlinkt, die das ähnlich sehen.

D.h. IMO nicht, dass Firefox total unsicher ist und man den keinesfalls benutzen sollte, vor allem für die Allgemeinheit.

14 Dec 2023 at 11:48 | Open on hachyderm.io
rugk

@mxey jup und ich hab diese Hypothese hinterfragt und geschaut ob der Artikel halbwegs korrekt und aktuell ist

14 Dec 2023 at 13:24 | Open on chaos.social
MichiK

@marudor Ich hadere ja auch immer wieder mit meinem aktuellen Job, aber dann lese ich sowas und muss wieder daran denken, dass ich auf meinem Dienstlaptop root bin und dann ist alles doch nicht mehr so schlimm.

13 Dec 2023 at 22:16 | Open on chaos.social
leyrer
marudo(r)

@michik Ich bin halt auch admin, aber inzwischen wird immer mehr geblockt aufm mac...
Aber firefox als Browser blocken (ich weiß hat "nur" 6-7% Marktanteil) ist echt was neues...

13 Dec 2023 at 22:17 | Open on chaos.social
MichiK

@marudor Ich hab halt einfach mein Thinkpad in die Hand gedrückt bekommen und dazu die Ansage "mach damit was du willst". Einzige Vorgabe: Die Festplatte muss verschlüsselt sein. Was ich fair finde und auch unaufgefordert getan hätte.

13 Dec 2023 at 22:20 | Open on chaos.social
marudo(r)

@michik Ein paar Dinge sind ja auch durchaus sinvoll.
Aufm mac z.B. encryption & SIP.
Aber einen Standard browser blocken...

13 Dec 2023 at 22:21 | Open on chaos.social
MichiK

@marudor Tja, da hat halt einfach irgend ein Corporate IT Security Manager fernab von jeglicher Fachkompetenz eine Checkliste abgehakt, um im nächsten Audit mit guten Compliance KPIs dazustehen. Da machste dann nix.

Dass das nur dazu führt, dass die Leute sich dann halt kreative Wege um absurde Vorgaben und Einschränkungen herum suchen (die dann am Ende unsicherer sind, als es einfach zu erlauben) spielt ja für das Management Bullshit Bingo keine Rolle.

13 Dec 2023 at 22:29 | Open on chaos.social
marudo(r)

Oh und sowas wird gemacht, aber wir haben immer noch keinen vernünftigen konzernweiten password manager (Bitwarden als Konzern anbieten wäre z.B. mal was)
Stattdessen ist die antwort keepass auf onedrive...

13 Dec 2023 at 22:25 | Open on chaos.social
wifi_freak
spooky Ske-lil-ton 🦇

@marudor wir haben einen firmenweiten Passwort-Manager! Der so eingestellt ist, dass der Default bei jedem neuen Eintrag "für die ganze Firma freigeben" ist… (selbst für geteilte Passwörter unpraktisch, weil auch die maximal mit der eigenen Abteilung geteilt werden sollten)

13 Dec 2023 at 22:37 | Open on chaos.social
Patrick 🇪🇺

@marudor vermutlich langwierig durchzusetzen, aber wir setzen passbolt.com ein, was ich nur empfehlen kann

14 Dec 2023 at 6:56 | Open on mastodon.online
w1ntermute

@patrick_on_rails

@marudor

Die veröffentlichen allerdings nicht ihre Audits. Ich sehe auch keine gute Beschreibung zum security Konzept nur PR gelaber.

14 Dec 2023 at 9:35 | Open on chaos.social
Stefan K.

@marudor deine Firma hat eine Browserstrategie und da ist nunmal Chrome als Std Browser festgelegt. Das blocken von FF geht auf eine Fehlfunktion vom MS Defender AV zurück und sollte bald behoben sein. Jeder mit Ausnahmegenehmigung darf weiter FF nutzen

14 Dec 2023 at 7:09 | Open on berlin.social
marudo(r)

@stadtkind2 "Auf eine Fehlfunktion von MS Defender" Wage ich zu bezweiflen. Da ist ganz bewusst ne Regel eingebaut die den blockt...

14 Dec 2023 at 7:10 | Open on chaos.social
Go Up