Mozilla: dodatki do Firefoksa były zainfekowane!

Netscape na 100% było. Czy Firefox i Chrome też? Całkiem prawdopodobne (np. ciekawe czemu Enigmail nie jest "fabrycznie" dołączony do Thunderbirda czy Seamonkey i tylko w zawikłany dla zwykłego użytkownika sposób można w programach pocztowych uzyskać dobre szyfrowanie? Powinno to być dostępne jedną ikoną, bez doktoryzowania się jak to zainstalować!), ale to zależy gdzie są "produkowane" i tworzone (mogę nie podlegać pod amerykańskie prawodawstwo z uwagi na "sztuczki" prawne). Philip Zimmermann był przez parę lat dręczony przez FBI i prokuraturę (pod naciskiem opinii publicznej w końcu dali sobie sianka), a restrykcje eksportowe na PGP obszedł w ten sposób, że kod źródłowy wydał jako książkę. Książki są w USA chronione przez Pierwszą Poprawkę i ten sposób eksportowania technik kryptograficznych ostał się w sądzie (Junger v. Daley, Bernstein v. United States). I tu wyraźnie widać wyższość rozwiązań Open Source nad zamkniętymi! Ale w przypadku przeglądarek bardziej bym się bał co jest np. we wtyczkach typu Flash itp… Poza tym w przeglądarkach internetowych OS kryptografii chyba raczej nie ma, tylko użycie rozwiązań stron trzecich i to te strony + wydawców wtyczek trzeba mieć bardziej na oku.

Dalej obowiązuje, tylko dopuszczalna długość klucza "bez możliwości odzyskiwania" jest dłuższa (ale komputery NSA też szybsze…), a nawet to zaostrzono, rozciągając na hardware…

Niegrzeczni hackerzy!

Gdybyś _cokolwiek_ wiedział o krytpografii, wiedziałbyś, że "przyspieszenie" komputerów niczego tutaj nie zmienia. Że długość klucza – w zależności czy tyczy szyfu symetrycznego czy asymetrycznego – zupełnie inaczej świadczy o bezpieczeństwie. Że w obrębie tego samego kryptostystemu rzadko kiedy 2x dłuży klucz to 2x większe bezpieczeństwo. Wreszcie, że nikomu poza hobbystami nie jest w głowie atak "brute force" na jakikolwiek kryptosystem – zazwyczaj szuka się dziury w implementacji a nie w algorytmie czy generowaniu kluczy.

Natomiast lista towarów specjalnego przeznaczenia (np. wysokowydajnych routerów, precyzyjnych obrabiarek, chemikaliów i całego tłumu mniej lub bardziej dziwnych rzeczy) obowiązująca także w UE wynika z zupełnie innych porozumień.

@budyń: restrykcje USA na szyfrowanie DALEJ obowiązują (np. w postaci wymogów "tylnych wejść" przy dłuższych kluczach) i zostały jeszcze rozszerzone na fali antyterrorystycznego oszołomstwa. I dotyczy to nawet najpopularniejszego sprzętu, a nie towarów podwójnego przeznaczenia, o których wspominasz (nawet w PRL w stanie wojennym nie spisywano z dowodu osobistego nabywcy 10dkg pyłu aluminiowego czy litra acetonu jak teraz…). I nie radzę Ci szyfrować partycji notebooka przy przekraczaniu granicy USA – jak nie dasz klucza, notebook zostanie skonfiskowany. Przegrywanie zawartości partycji przez urzędników granicznych jest w tym faszystowskim kraju praktycznie operacją rutynową… Powstał już nawet przemysł dla biznesu (są dowody, że wywiad USA dostarczał informacji uzyskanych z kontrolowanych na granicy zagranicznych biznesmenów ich amerykańskim konkurentom) który przed przekroczeniem granicy USA tworzy backupy dysków, czyści dyski, a po wjeździe na teren USA pobiera (w postaci zaszyfrowanej) przez internet obrazy dysków i odtwarza ich zawartość.

Mimo wszystko USA ciągle jeszcze nie sprawdzają laptopów "metodą izraelską":

<a>niekoszerny MAC?

Może nie jestem ekspertem od kryptografii, ale chyba wiem więcej niż Ty na ten temat, bo NIGDY nie ośmieliłbym się dezawuować znaczenia prędkości komputerów przy łamaniu szyfrów czy marginalizować znaczenie "brute force". 128 bitowe asymetryczne (w przeciwieństwie do symetrycznego) szyfrowanie na współczesnym sprzęcie naprawdę łamie się "w locie" i nie robią tego hobbyści, tylko masowo "zawodowcy". I nawet jak jest dziura w implementacji, to szybkość sprzętu do łamania szyfru dalej ma znaczenie. Można też znaleźć opisy, jak amatorsko można łamać GSM "w locie" (fakt że sprzęt nie jest tani) – umożliwia to właśnie kiepski krótki klucz (część CELOWO zapełniono zerami, by właśnie umożliwić łamanie "w locie" zawodowcom, tyle że dzięki przyrostowi prędkości amatorskiego sprzętu, jest to dostępne amatorom. Nota bene, znam co najmniej 2 kraje, gdzie GSM jest nie szyfrowane, by władza, choć przecież ma kontrolę nad centralami, mogła podsłuchiwać – to Libia i… Francja!).

Coś uszkodziło linka. Jeszcze raz sprawdzanie laptopa na granicy metodą izraelską:

Niekoszerny MAC?

> Przegrywanie zawartości partycji przez urzędników granicznych

> jest w tym faszystowskim kraju praktycznie operacją rutynową…

Dziwne, jak przekraczalem nawet z dwoma notebookami (i jeden

z nich mial zaszyfrowany dysk) to nawet nie pytali co to i po

co to. A jakie sa Twoje doswiadczenia przy ich granicy?

@Artwi

OK, więc ustalilismy że o kryptoanalizie pojęcia nie masz, chociaż z długością klucza widzę przebłyski . Więc wyjaśnię – w większości kryptosystemów, wzrost długości klucza powoduje wzrost możliwych kombinacji nie liniowy, ale bliższy wykładniczemu (lub czemuś w tym stylu). I choćbyś nie wiem jak się starał, to wzrost wydajnosci sprzetu nie rozwiązuje problemu ataku brute force.

Teraz reszta.

USA jak każde normalne państwo wspierają własny przemysł, szczególnie ten nieliczny jaki im pozostał w kraju. Co więcej UE na to wyraziła zgodę, (tj. na podsłuchiwanie,w ramach umowy wiązanej) tylko potem sami się zorientowali że własnego Echelona nie mają

Szyfrowania GSM w większości wypadków łamać w ogóle nie trzeba – bo w większości wypadków szyfrowanie rozmowy odbywa się tylko pomiędzy BTSem i Terminalnem, a w podstawowych wersjach tylko terminal uwierzystelnia się sieci (a nie na odwrót). Tak działają co mądrzejsze "zagłuszarki" i "podsłuchy" GSM – przekonują telefon że są najlepszym BTSem i negocjują z nim znany sobie klucz po czym rozmowę zapisują i przekazują dalej (lub nie). Wewnątrz sieci providerskich ruch szyfrowany nie jest (a przynajmniej nie per user). Zaś obecność Lawful Interception jest wymuszana prawem. Zresztą, metod szyfrowania połączenia BTS->Terminal jest wiele, i do czasu kiedy kraje rozwinięte miały monopol na produkcję sprzętu, te najmocniejsze po prostu nie były dostarczane właściwym regionom. Nawet przez państwa które miały w nosie amerykańskie restrykcje eksportowe.

Co do celowego uzupełniania zerami, to jest w wielu standardach telekomunikacyjnych coś w rodzaju Bit Stuffingu – poczytaj do czego to służy, zamiast snuc teorie spiskowe.

Do telefonów GSM możesz sobie podłaczyć dedykowanie urządzenia do szyfrowania, zaś na nowych tel. nawet sam sobie napisać – obecne smartfony z ich kilkusetmegahertzowymi DSP to praktycznie małe serwery. Jeżeli jesteś terrorystą, możesz kombinować, jeżeli nie jestś – nie musisz….

A czy te dodatki miały otwarty kod źródłowy?

XUL raczej jest otwary z natury rzeczy

Żadne źródło oprogramowania nie jest w 100% pewne. Nie jest niczyją winą, że użytkownikom brak tego dystansu do kolorowych log z nazwą ładnej firmy, której powierzają wszystkie swoje dane.

Z sentymentem wspominam wirusa w sterownikach od myszki.

Były co najmniej 2 próby ataku przez podmianę źródełek z których później się tworzy paczki. Obie zostały wykryte w ciągu 3 dni

Ot ktoś porównał sumy kontrole

I były to zwykle osoby nie związane z samym procesem paczkowania.

PS w opensource to jest dobre, że nie jesteś zdany na (nie)łaskę producenta, dystrybutora i samemu możesz wszystko sprawdzić.

"Były co najmniej 2 próby ataku przez podmianę źródełek z których później się tworzy paczki. Obie zostały wykryte w ciągu 3 dn"

Ok. Zgoda, były próby, zostały wykryte.

Ale ja nie o tym piszę. Ja piszę o tym, że gdyby uprowadzono domenę pod którą jest strona projektu i repozytorium, to by tego łatwo nie zauważyli. Rozumiesz?

Wine niekoniecznie, aczkolwiek możliwe.

Twój sposób myślenia jest przerażająco nielogiczny (mogę to wykazać na kartce papieru przy pomocy klasycznego rachunku zdań). Nadzór nad bazą rozszerzeń prawdopodobnie uratował nas przed zalewem tysięcy przemycanych szkodników – mówienie, że pogarsza on bezpieczeństwo, to tak jakby stwierdzić, że w zasadzie piorunochron zwiększa szansę na śmierć od pioruna.

Jest pytanie, jak z tymi wirusami radziły sobie lokalne antywirusy?

Z tego, co zrozumiałem, ktoś był na tyle sprytny, że spostrzegł lukę w testach przeprowadzanych przez Mozillę. Obecnie luka ta została wypełniona – chwała im za to. Przyznali się do błędu. Nic nie jest wolne od błędów, ta sytuacja jedynie o tym przypomina. Zastanawiam się nad możliwością lokalnej instalacji wrednych rozszerzeń przez różne szkodniki (na przykład ten sławny "wirus" z gnome-look) – może przydałby się w Firefoksie mechanizm, który przy każdym szukaniu aktualizacji dla rozszerzeń – czyli przy każdym uruchomieniu przeglądarki, z tego co się orientuję – sprawdzał również ich bezpieczeństwo, czyli obecność na pewnego rodzaju białej liście. Można złożyć im taką propozycję, jeżeli nikt jeszcze tego nie zrobił.

A co do MS – z ich polityką ciężko jest stwierdzić, ile podobnych gaf mogło im się przydarzyć, po prostu się nie przyznają. Mieli inne, ciekawsze (bo ciężkie do określenia jako nieumyślne działanie) incydenty.

> Przyznali się do błędu.

Mozesz pokazac w ktorym miejscu napisali "mylilismy sie",

lub cos w tym stylu? bo "dodalismy kolejne zabezpieczenia"

to nie to samo.

ps. Ostatnio byl watek o misku i o tym, ze MS nie potrafi

przyznac sie do bledu, ze inni, Mozilla, Opera, Safari

by potrafili. To ja poprosze w temacie tego watka o link

gdzie WYRAZNIE mowi sie "skopalismy sprawe".

Generalnie mimo tego, że dodatek został dodany na stronę addons Mozilli nie znaczy, że jest bezpieczny. Monit przy instalacji dodatku dokładnie to zaznacza. Więc teoretycznie Mozilla nie popełniła tutaj błędu. Automatyczne narzędzie nie wychwyciło szkodliwego kodu, poprawili je trochę zwiększając bezpieczeństwo. Monity przy instalacji nadal pozostają te same, pakiet pochodzi z niezaufanego źródła, czy na pewno chcesz go zainstalować (z pamięci piszę). Niektórzy wiedzą, że dodatki to już nie sama przeglądarka i mogą w sposób znaczący obniżyć jej bezpieczeństwo. Dla tych którzy tego nie wiedzą, ta sytuacja może być kubłem zimnej wody, aby obudzili się i przestali instalować każdy dodatek, jaki może wydać im się fajny/przydatny bez wcześniejszego sprawdzenia.

Dlatego też nie twierdzę, że Mozilla skopała sprawę. Zrobiła wszystko co mogła, aby zapewnić jako takie bezpieczeństwo. Nie udało się ustrzec przed pomyłką systemu, ale w polityce jest wyraźnie zaznaczone, że nie odpowiadają za bezpieczeństwo dodatków. Dopóki ta polityka się nie zmieni, Mozilla nie ma za co przepraszać swoich użytkowników. Sama przeglądarka bez dodatków nadal może uchodzić za bezpieczną.

W przypadku MS'a to ich Internet Explorer ma błędy sam w sobie i jako przeglądarka może stanowić niebezpieczeństwo dla systemu, nawet jak użytkownik nie zainstaluje ani jednego dodatku. Dlatego takie wpadki częściej odbijają się jakimś tam echem w środowisku IT.

Tyle, ze on był z zaufanego źródła – strony z dodatkami mozilli.

Blednie sformulowane zdanie. Powinienes napisac:

"strony mozilli z dodatkami". Dodatki nie sa mozilli, oni udostepinaja tylko hosting i platforme wymiany. Przy pobieraniu dodatku ze strony mozilli jestes ostrzegany o tym co juz kolega wczesniej napisal.

@spy000yps: odnoszę wrażenie, że wyładowujesz jakieś swoje frustracje. Wyjdź na podwórze, ulep bałwanka, oderwij się od kompa- to naprawdę pomaga.

"Może dojdzie do Ciebie o co mi chodzi, gdy ktoś wpadnie na pomysł umieszczenia w takim rozszerzeniu kodu umożliwiającego wykradanie użytkownikowi Linuksa dokumentów."

Raczej sam nie rozumiesz o co ci chodzi. Twoja ironia miała oznaczać, że trzeba pisać oprogramowanie antywirusowe na linuksa bo właśnie pojawiło się złośliwe oprogramowanie na linuksa. Ale przykład na którym się oparłeś akurat mówił o złośliwym oprogramowaniu na windowsa. Twierdzisz, że trzeba zabezpieczać linuksa bo na windowsa są wirusy.

"A… no tak, to przecież dalej nie będzie problem. Pod Linuksa nie ma złośliwego kodu."

Mieszasz czas przyszły z teraźniejszym. Teraz nie ma złośliwego kodu, więc nie trzeba się zabezpieczać. A jak kiedyś będzie złośliwy kod, to trzeba się będzie zabezpieczać.

Jak się pojawi złośliwy kod to się pojawi jakiś skuteczny sandbox dla Firefoksa (tak mi przychodzi na myśl ograniczenie dostępu do odczytu i nadpisywania plików spoza folderu Firefoksa, plików tymczasowych, a pliki z zewnątrz tylko poprzez wybranie ich z systemowego okna wyboru pliku, w innych przypadkach okienko z pytaniem)

Nie mówiąc o tym, że rm -rf / nie zadziała tak jak "normalnie" powinno Linux przed czymś takim chronił od samego początku

"Nie mówiąc o tym, że rm -rf / nie zadziała tak jak “normalnie” powinno Linux przed czymś takim chronił od samego początku "

Tobie się wydaje, że jak kiedyś zrobiłeś wiki z tłumaczeniem dokumentacji kernela, to pozjadałeś wszystkie rozumy…

Zabezpieczenie przed rm -rf / nie było od samego początku. Nie wiem, kiedy się dokładnie pojawiło, ale na pewno nie na samym początku. Poza tym ja nie pisałem o rm -rf / tylko o rm -rf ~/

Chyba jednak nie jesteś takim bystrzakiem jak uważasz. Potłumacz jeszcze trochę dokumentacji.

@Tomasz Woźniak

Jeśli nie rozumiesz co dana osoba chce przekazać, jeśli nie łapiesz jej toku myślenia, to od razu uważasz, że to przez frustracje?

Głodnemu chleb na myśli jak to mówią. Idź i ulep sobie sam tego bałwana.

@abcd

"Jak się pojawi złośliwy kod to się pojawi jakiś skuteczny sandbox dla Firefoksa (tak mi przychodzi na myśl ograniczenie dostępu do odczytu i nadpisywania plików spoza folderu Firefoksa, plików tymczasowych, a pliki z zewnątrz tylko poprzez wybranie ich z systemowego okna wyboru pliku, w innych przypadkach okienko z pytaniem)"

Wiesz – jakiś porządny sandbox powinien być już dawno temu

Nie znam architektury firefoksa – nie wiem jak działają pluginy. Jednak są pluginy, które wspomagają np. pobieranie plików. Jeśli powstałby jakiś szczelny sandbox, to takie rozszerzenia raczej nie powinny móc działać. Hmmm… to raczej temat na długą rozmowę pomiędzy głównymi deweloperami Firefoksa – bo chodzi o zdefiniowanie tego co plugin może zrobić w systemie a czego nie powinien móc robić.

Może coś kiedyś z tym zrobią. Na razie jedyna nadzieja w tym, że złośliwy kod wśród pluginów będzie szybko wyłapywany.

On nie musi go lepić, gdyz sam nim jest.