Názory k článku Firefox 23 zvyšuje bezpečnost, Firefox 24 má zkrotit plug-iny

Neví někdo, proč je "Czech (CZ) Language Pack" stále označený jako "Not available for Firefox 23.0"?

Ta toho nezaktualizovala víc...
https://bugzilla.mozilla.org/show_bug.cgi?id=903716

Nepochybuji o tom, že podobný seznam letitých nedodělků, má kdejaký software. Jediný rozdíl je v tom, že Mozilla je troubí do světa.

To je jeden konkrétní, poslední, špatně sestavený lokalizovaný build, takže odpovídat obecně na celý seznam moc nedává smysl.

http://www.mozilla.cz/zpravicky/co-delat-kdyz-ve-firefoxu-23-nefunguje-kontrola-pravopisu/

Mohl by mi někdo vysvětlit v čem je zvýšena bezpečnost, když už například nyní nefunguje následující:

1. webová aplikace natažená přes https
2. uvedená aplikace pracuje se soukromými daty
3. uvedená aplikace také některá data (v JSON či XML) získává z veřejných zdrojů přes XMLHttpRequest a doplňuje tak pro uživatele soukromá data

Firefox (a ne jen on) zavedením CORS takovou aplikaci neumožňuje provozovat (až na obezličku JSONP či na http hlavičky origin, které to povolí). Nyní zavedením nemixovaní https s http uvedenou nemožnost posiluje (již nelze použít obezličku JSONP ani hlavičky Origin). Jediným řešením se tak již stává jen možnost, že aplikace musí všechny data tahat přes mateřský server, který pokud jde o data z jiných zdrojů dělá proxy. Jsem slepý, ale vidím jen komplikaci a žádné zvýšení bezpečnosti. Dokonce by se dalo přemýšlet o ponížení bezpečnosti mateřského serveru, který dělá proxy a pokud proxy není zcela dobře udělána.

Dále pokud se nepletu Firefox v případě mixování přes XMLHttpRequest vůbec žádnou bublinu s možností povolit nenabídne.

Navíc díky CORS je již nad síly Firefox pokud bod 1. ve scénáři změním tak, že webová aplikace bude natažena z lokálního souborového systému (tedy ne přes https).

Uvedené restrikce dle mne nesouvisí z bezpečností, ale s vytvářením komplikací pro webové aplikace, které sbírají na klientské straně data z různých zdrojů.

Nemusi nic tahat pres matersky server, jen musi pro vse pouzivat https. Respektive ani to ne, jen pro "aktivni" obsah, coz je kravinium samo o sobe.

Jednoduse, pokud chces nekomu poskytovat https, tak musi jet sifrovane vse, ne jen kousek.

Aplikace mixuje data z různých zdrojů!!! Některé veřejné zdroje nemohu ovlivnit a donutit jejich správce, aby data poskytovaly přes https (jsem rád, že data vůbec poskytují).

Mě na Firefoxu už roky štve jiná věc - že neumožňuje na dotaz použití ajaxu (XMLHttpRequest) pro local stránky/skripty, tak jako odjakživa MSIE.

Taky se to hodí mnohdy (ale "my víme", "my známe", "jen to co my chceme vám povolíme")... A ten Australis je zrůdnost...

Pokud nemuzes ovlivni zdroje, tak ale neposkytujez bezpecny kanal => je zcela zbytecny pouzivat https.

Uff. Ještě jednou a pomalu. Aplikace mixuje data z různých zdrojů! Část zdrojů je soukromých (je nutné použít https). Část zdrojů dat je zcela veřejných a nejsou pod kontrolu tvůrce aplikace. Aplikace tahá z těchto různých zdrojů data a poskytuje je uživateli.

Příklad:
* aktuální GPS polohy rodinných příslušníků - jde o soukromá data (https a šifrování)
* vyhledávání GPS poloh ulic a obcí dle názvu - využito Nominatim API z nominatim.open­streetmap.org (http://wiki.openstreetmap.org/wiki/Nominatim) - veřejná data a aplikace nepovažuje za problém, že lze monitorovat co uživatel hledá

Když aplikace mixuje data z více zdrojů přes různé protokoly, tak prostě z logiky věci nemůže uživatele opíjet rohlíkem, že celá běží přes HTTPS. Počtem vykřičníků to nezměníte.

Webová aplikace opíjet rohlíkem může.

Ještě jednou, jaký vidíte rozdíl z hlediska bezpečnosti mezi za 1. a za 2.?

1.

.web server s aplikací ---https---> klient
.    data z jiného webu ---http--->

2.

.                               web server s aplikací ---https---> klient
.data z jiného webu ---http---> web server s aplikací ---https--->

V bezpečnosti tam moc rozdíl nevidím? No možná za 2. je méně bezpečné - ale k tomu jsem nucen protože prostě ty data z jiného webu chci!

Hele už jsi to tu plácal mockrát... Je to jednoduché. Ta aplikace (případně web v jiných diskusích) si prostě nezaslouží běžet jako zabezpečený. Zabezpečené to prostě není, jde naopak jen o zdánlivou bezpečnost (na oko) a velmi snadný způsob jak šmírovat kohokoli (teď se bavím o automatickém načítání obrázků z nezabezpečených zdrojů).

Neříkám, že tento model nemůže mít mnohdy dobrý důvod k životu (od někoho komu důvěřuji přebírám data z různých zdrojů), ale pokud to člověk potřebuje tak si browser takhle nastaví.

Špatné spíše je, že tvůrci browserů nepočítají s tím že mix režim chce uživatel snadno povolit jen určitým webům. Přenastavit vždy celý browser je harakiri, proto dávám přednost nemixovat, jako výchozímu nastavení které se hodí pro většinu situací. Já například jedno fórum již dlouho přesvědčuji, že když chtějí mít i zabezpečenou verzi musí zabezpečit i obrázky, protože uživatelé je jinak nemusí vidět.

Já zas přesvědčuji jeden web, že když udělají https na přihlášení, ale na změnu hesla ne, že je to amatérismus (hloupost a lenost).

Tak jim tam prostě udělej na ukázku trochu bordel... aby to pochopili. Já to řeším tak, že daný web nepoužívám a pomlouvám ho kudy chodím.

Stejně dopadlo i ono fórum (tentokrát pomlouvat nemohu), když nejde o životně důležitou informaci tak ho nenavštěvuji, myslím jsem našel už i náhradu. Jiné fórum kde se shromažďují ti kterým to staré fórum příliš nevyhovovalo a zpravidla tedy ti chytřejší s kvalitnějšími názory na diskutované téma.

Narazivšív na problém prvního fóra ještě před povinnou registrací, jsem stejně udělal registraci tak aby se o jeden účet dělilo hned několik lidí. Nikdo nestojí o účty ani mizerné aplikace/fóra, potřebujeme jen ten prostor pro poznámky.

Zapomnel jste na nejdulezitejsi zmenu - nove logo! O jak se tesim, az se 10% pixelu loga firefoxu se neznatelne zmeni! Tomu rikam pokrok!

A vazne:
Co se social API tyce, privadi me to k zurivosti, to.. to proste.. preci.. to.. hm, smula :(

Za nejvetsi zrudnost ale povazuji postupne presouvani konfiguracnich voleb do about:config. Proc proboha? Pokud se boji ze "bezny uzivatel" bude velkym mnozstvim voleb maten, tak at pridaji jedno zaskrtavatko nahore "Show/Hide advanced options", jako to dela spousta jinych programu.
Presouvani voleb do about:config je ale tak jednoduche, ze ano? Mam pocit ze upgrady firefoxu spadaji uz pouze do 3 kategorii:

1) blbinky, ktere je mozne (a spravne) realizovat pomoci rozsireni (klidne i defaultne nainstalovanych) - viz "Social API"

2) odstraneni nejake funkcnosti (napr. Tab groups), nebo konfigurovatelnosti (napr. blokovani javascriptu, obrazku, atd.)

3) "facelift" - absolutne zbytecne zmeny GUI, ikonek, loga, apod.
Nekomu to mozna prijde "moderni", ale pokud se to stane memu 70 letemu otci, bude zoufaly, protoze "mu zmizely tlacitka (ikony, menu..)"

Zacinam vazne premyslet o tom jakou mam alternativu (a ne, Chrome od biggle brothera nechci..).

ad 2: at si je klidne nainstalovane, pokud bude volitelne vypnute. Pro mne za mne, at to ma API kolik chce. Kdyz to vyvojarum usetri praci s oddelovanim kodu, at si je to tam zadratovany na tvrdo. Ale at mam moznost se vyhnout nevedomemu pouziti takove veci.

Tyhle veci nemaj v prohlizeci co delat. (tecka)

je to dalsi kod s dalsima bugama, jak uz sem i ja nekolikrat psal, at udelaj balik s pluginama pro BFU, ale at k tomu dodavaj holej prohlizec pro lidi, kteri o tyhle sracky nestojej.

Mimochodem, neni to tak dlouho co se Mozilla dusovala, ze FF nebude "nikdy" vetsi nez 5MB

Je to tak. Nějaké sociální sítě jsou nekompromisně věc pro modul - jestli má někdo pocit, že si chce kurvit prohlížeč, tak volitelně nezávislým modulem. I tak jich existuje mraky, co dělají kdejakou hovadinu, ale jsou pořád svobodnou volbou.

3. "Při upgradu z předešlé verze Firefoxu by dotyčné volby měly být resetovány do výchozího nastavení."
WTF?
Co je toto za přístup?

To je u Mozilly úplně noumální, Úďo. Např. s tím PDF bazmekem mi to dělá při každém upgradu.

Jo, to urcite potesilo hlavne ty, ktery to maj zcela umyslne vypnuty kvuli pouzivani toru a pod. Skoro sem si jistej tim, ze to udelali na objednavku NSA.

2. To Social API bude defaultně zapnuté? Tedy i nainstalované? Proč to není volitelné, doinstalovatelné rozšíření?

Je to API jako každé jiné. Kdo ho nepoužívá, ten o něm ani neví. Neškodí, nepřekáží. Za chvilku byste mohl chtít, aby většina API kolem HTML 5 byla jen rozšíření. Proč ne? Vždyť weby napsané v HTML 4 či XHTML bez nich fungují, ne? Fakt logika.

4. Vejde se ještě instalačka Firefoxu na jedno CD?

Nepřehánějte. Dnes na nějakém tom megabajtu u instalačního balíčku vůbec nesejde. Diskety a dial-up jsou mrtvé.

PS: Bez generování náhledů stránek opravdu nemohu žít ...

To já také. Životně důležitá věc to není. Ale když už si nějakou stránku připnu, tak tam ten náhled chci mít. Kdybych se chtěl orientovat jen podle textu, tak ji mám na liště záložek.

Je to API jako každé jiné. Kdo ho nepoužívá, ten o něm ani neví. Neškodí, nepřekáží.

Ach tak jistě. Do chvíle, než ho přes nějakou z nesčetných děr někdo vzdáleně zapne a začne odesílat zájmové informace, že... Nevidím jediný dobrý důvod, proč bych takovej shit měl v prohlížeči mít.

V tom případě nechápu, že Vám dosud nevadila podpora rozšíření nebo plug-inů. S podstrčeným doplňkem toho typu lze ty Vaše zájmové informace dolovat podstatně lépe než nyní ryze teoreticky přes Social API.

Připomínáte mi kolegu, který nadával na pole vyhledávače v MSIE 7. Rozčiloval se, že to pole tam nepotřebuje, protože si adresu Seznamu pamatuje, takže nechápe, proč mu Microsoft zkrátil bar s URL.

Dřív se „napevno“ s Open Search integrovaly vyhledávače namísto pochybných nástrojových lišt, dnes díky Social API sociální sítě místo neméně pochybných rozšíření. Je to jasná paralela.

S podstrčeným doplňkem toho typu lze ty Vaše zájmové informace dolovat podstatně lépe než nyní ryze teoreticky přes Social API.

Která část sdělení "zásadně nikdy nepoužívám tyhle sociální sračky" je nepochopitelná?

Připomínáte mi kolegu, který nadával na pole vyhledávače v MSIE 7.

Naprosto ho chápu. Nevím, na co pole vyhledávače, když můžu vyhledávat z toho URL baru.

No vidíte... Dnes to kámoš-debil musí cpát do adresního řádku, nemůže si kvůli šmírování ani zapnout našeptávání od webu vyhledávače, a pokaždé když se upíše v URL se stejně velký bratr skrytý ve vyhledávači dohmátně kam že se to chtěl dostat.

Samozřejmě jsem ten reset hodnot zjistil hned, jak mě i hodné weby začli špiclovat.

Mám pocit, že to celé jde nějak špatným směrem. Vypínání obrázků a javaskriptu je jedna z nejužitečnějších fíčur. Dokonce by to mělo být SNADNO nastavitelné i pro konkrétní server (ještě nikdy jste nenalezli úplně blbý server s nemožným javaskriptem, ale přesto s užitečným obsahem?) s SNADNÝM donačtěním na požádání. Totéž s flashem a se všemi pluginy. Hlavně SNADNÉ dočasné zapnutí ultrabezpečného módu, kde je všechno povypínané.
Se sociálními sítěmi (nebo googlem nebo seznamem nebo jakámkoli jiným webem) bych nic neintegroval, přesně od toho jsou pluginy.
Problémy v https bych ve výchozím stavu řešil přísně, ale se SNADNÝM přepnutím na tolerantní mód nějakou dobře viditelnou ikonou zámečku, který se zlomí, ale bude uživateli vše fungovat. Prostě 3 módy ignoruj/varuj/ne­funguj jak celkově (pro začátečníky) tak problém po problému.

Na IE řeším podobné individuality pomocí nástroje pro vývojáře. Myslím, že Firefox má něco podobného...

Nejbezpečnější je, když to vůbec nefunguje. Příklad s www.google.com:

http://[2a00:­1450:4008:c01::6a] - funguje
https://[2a00­:1450:4008:c01::6a] - FF <=22: sec_error_bad_da­tabase a fakáč, na přidání výjimky zapomeň, FF 23: nasrath a rozmazat, totál fuckoff, prostě ti neukážem nic.

Nemuzu si pomoct, ale vyvoj popularnich a dulezitych open source aplikaci jde do kopru, jako kdyby to zacal nekdo sabotovat - Firefox, GNOME, systemd a dokonce i prekotny vyvoj Linuxu v posledni dobe. Nebo je to zvlastni shoda okolnosti a je to jen vedlejsi (negativni) produkt komercionalizace.
ě

Asi tak... ježíš, ty sociální sračky mi zvedly mandle. Člověk to blokuje, jak se dá, tak to pro jistotu narvou přímo do prohlížeče.

Zrejme vetsina populace premysli tak, ze kdyz mame rodne cislo, zakonite "musime" byt i na socialnich sitich a zaclenit se do stada. Mozilla zrejme razi cestu, jak ziskat zpet % ze stada pridanim "must have" API. Mandle mi umi zvednout i ta cast, ktera si syncuje svuj telefoni seznam na socialni site a soupne tam i ty, kteri nic takoveho nechteji a zacinam si rikat, co bude dal.

Plugins nejsou dobrym resenim, protoze sviznosti rozhodne nepridaji a bez poradne palety plugins se prakticky neda obejit. Informacni hodnota webs klasa a kompenzuje to presycenim ads/flash/js a socialnim "propojenim".

Hledam takovy browser, ktery bude svizny a plne konfigurovatelny podle sebe, nikoliv podle politiky stada.

Hmm takže mozilla se rozhodla, že skrývání lišty s panely, když je otevřen jenom jeden, nikdo nechce. Naštěstí nějaká dobrá duše udělala plugin a vrátila tak do browseru funkcionalitu, která tam byla mnoho let:
https://addons.mozilla.org/en-us/firefox/addon/hide-tab-bar-with-one-tab/

Můžeš zkusit tohle v userchrome.css (a propos, ten v profilu už taky pro jistotu nevytvářej, šlo s tím dělat moc věcí a uživatel by mohl být zmaten, tak si ho musíš vytvořit sám).

@namespace url("http://www.mozilla.org/keymaster/gatekeeper/there.is.only.xul");
#TabsToolbar { border : none !important;}
#TabsToolbar { min-height: 0px !important;}
#tabbrowser-tabs tab[first-tab='true'][last-tab='true'] { display:none !important; }

Sorry za titulek, ale to nejde rict mirneji, tak ja vcera doma hodinu dumam nad tim, proc mi v Chromiu normalne jdou weby s HTTPS a ve Firefoxu (aktualizoval jsem na 23) se mi nacita prazdna bila stranka, no nevydumal jsme to. Ted jsem otevrel Root a uz vim proc to nejde, zase se ty jelimani z Mozilly hrabali v kodu a neco tam zprasili.

V čem jste to zkoušeli? Proč mi to přimomíná widleskin, nebo snad...?

Na blokovanie obrázkov odporúčam plugin ImgLikeOpera. Nie je to len vypnutie/zapnutie obrázkov, ale dá sa nastaviť napríklad zobrazovanie len obrázkov z cache alebo len obrázkov z domény, kde je stránka (plus tých z cache). A dajú sa nechať načítať jednotlivé obrázky v stránke (pravý klik na obrázok a load image).

Mne NoScript funguje podla ocakavania.

To platí i o předchozím příspěvku. Přesně podle očekávání rozesere, co může. :-P

Nevím jak dnes, ale tak tři roky zpátky, když verze Firefoxu byla ještě jednomístná, měl NoScript takovou nepříjemnou vlastnost, že nedokázal blokovat veškerý javascript. Pak se stávalo, že stránky načtené bez javacriptu (vypnut v prohlížeči) i stránky načtené s javascriptem vypadaly dobře, ale při použití NoScript to dopadlo příšerně, protože část scriptů se přeci jen spustila, ale ne všechny. Také jsem nadával na webdesignery, co to už bez javascriptu neumí. Pak mi někdo v diskusi poradil místo NoScript prostě zablokovat javascript v prohlížeči a zkusit ten web znovu. A ono to opravdu zobrazilo v pořádku.

Takže ačkoliv vím, že řada webů je napsaná špatně a bez javascriptu se ani nezobrazí, tak také vím, že řadu webů rozdrbe NoScript díky tomu, že neumí svou práci pořádně.

V cechaci si bez sriptu z googla ani neobjednas ...

Firefox už chvíli zapadá do globální politiky dalších hráčů jako Microsoft, google, NSA, ..... Prostě Vám to do prohlížeče narvou, hezky Vás prošpiclují, nezbavíte se díky tomu sociálního shitu, a když to pak někdo použije proti Vám (možností je snad milión :-)), tak Vám na to ještě prodají antivir. Třeba jako kdysi názor, který jsem tu zaregistroval ohledně el. podpisů: "Zabezpečení je problém uživatele. No Paráda. Pak si tu nad tím můžete lámat hlavu". Osobně si ale myslím, že v momentě, kdy začala Mozzila vážně dosahovat velikosti jako komerční Google a jemu obdobní, se prostě z nějakého důvodu (? asi komercionalizace) začali chovat podobně