Installationsort Browser/Autoupdates und Sicherheit

[thoerb]

Auto- und Flugzeughersteller haben für gewöhnlich ein Interesse daran, dass ich heil mein Ziel erreiche.

Das ist schon richtig was du sagst, aber leider ist das primäre Ziel erst mal ein Produkt auf den Markt zu bringen, die hohen Entwicklungskosten wieder rein zu holen und dann anschließend maximalen Gewinn damit zu machen. Bei Boeing ist das ziemlich schief gegangen. Aber das wird jetzt hier ziemlich OT.

[willy4711]

willy4711 hat geschrieben:
Wenn ich die neue Version mit Root-Rechten nach /opt/firefox kopiere, wird FF im Anschluss wahrscheinlich ein neues Profil anlegen wollen

Nein, denn das ist im Homeverzeichnis schon vorhanden.

Das ist mir schon Klar. Aber ich hatte es nun schon ein Paar mal. dass bei einer neuen Version (Kopierverfahren, nicht Update),
FF / Thunderbird sich weigerten, das alte Profil zu benutzen.
Aber nun habe ich "gesündigt". Grund: mir war nicht klar dass das Update von Firefox 79.0b9 (64-Bit) auf Vers. 79.0 (64-Bit) ging.
Hatte so was wie 80 erwartet.
Also habe ich das "Switch-User-Verfahren" zu meiner Schande angewendet.
Die nächsten Updates werden dann mit dem sicheren Kopierverfahren durchgeführt

Firefox statt Chromium.

Gut - mir ist das relativ egal, dachte nur, weil hier im Forum so viele Chromium benutzen, dass das auch was im Bezug
auf die Zugverlässlichkeit zu sagen hätte. Hatte den ja extra dafür installiert.

Nun wird es dann ein Fire-gejailter Tor- Browser.
Das ist wirklich Cool ---> komme noch nicht mal in mein /home ---> ist einfach leer

Das Problem ist, dass du bei Closed Source nie sicher sein kannst, was sie macht, egal wie lange du schon (vermeintlich oder tatsächlich) problemlos damit arbeitest. Vielleicht ist der problematische Code hinter einer if-Abfrage versteckt, die nur an einem Freitag den 13. in einem Schaltjahr bei Vollmond wahr wird.

Ok - werde dann an keinem Freitag, den 13. mehr Bankgeschäfte machen

Aber Spaß beiseite: Ich bin der Meinung, dass Ich Windows soweit wie möglich "kastriert" habe.
Die meisten Windows Programme (adds) sind ebenfalls deinstalliert- ein Konto hab ich da eh nicht.
Insgesamt 5 Programme sind dort installiert - Evince / FF / 7Zip/ Mein Banking sowie mein Steuer Programm.
Klar kann man immer sagen, Closed Source ist Böse - aber ich habe halt keine andere (sicherere / bessere) Lösung.

[uname]

Zurück zur Anfrage:

Verstehe ich nicht.
Ob nun Firefox aus dem /home oder aus /opt mit identischen Rechten gestartet wird ist aus meiner Sicht gehupft wie gesprungen.
Bitte um Aufklärung wo der Sicherheitstechnische Unterschied ist.

Warum steht da /home und /opt?

Oder meinst du die Installationsart vom Firefox?

Paketquelle (dann /usr/bin/firefox): https://packages.debian.org/buster/firefox-esr
Fremdquelle (dann /opt): https://wiki.debian.org/Firefox#From_Mozilla_binaries

Das wäre dann schon ein Unterschied.

[KP97]

... mir war nicht klar dass das Update von Firefox 79.0b9 (64-Bit) auf Vers. 79.0 (64-Bit) ging.
Hatte so was wie 80 erwartet.

Die Versionen mit ...0 b bezeichnen immer die Beta, der Vorläufer für die endgültige Stable, daher bleibt das Profil unangetastet.
Die Abfrage erfolgt u.a. auch wieder in der omni.ja. Wenn dort 79+ steht, wird auch alles, was 79 in der Bezeichnung hat, ohne Nachfrage ausgeführt.
Wenn es dann Vers. 80 wird, paßt die omni.ja nicht mehr und es wird ein neues Profil erstellt, wenn man manuell kopiert.

Wenn ich den Firefox über das Repo beziehe, werden die Programmdateien - wie alles andere auch - nach /usr installiert.
Das "hauseigene" automatische Update von Firefox ist disabled, da die Updates aus dem Repo kommen. Insofern ist alles auf der sicheren Seite.

Wenn ich den Firefox von der Homepage beziehe, und wenn ich nur alleine das System benutze, muß ich nicht nach /opt kopieren.
Dann muß es nicht global sein, ich muß keine Rechte von Systemverzeichnissen ändern und kann aus meinem Home auch Updates anstoßen.
Ich kann ebenso andere Versionen nutzen, indem ich ein weiteres Profil anlege.

So kann man sich aussuchen, was für einen persönlich bequemer bzw. sicher ist.

[OrangeJuice]

Das ist mir schon Klar. Aber ich hatte es nun schon ein Paar mal. dass bei einer neuen Version (Kopierverfahren, nicht Update),
FF / Thunderbird sich weigerten, das alte Profil zu benutzen.

Da hilft doch meistens schon das hier(-P kannst du weglassen, wenn du nur ein Profil hast):

Code: Alles auswählen

firefox -P -allow-downgrade
thunderbird -P -allow-downgrade

Dann ruhig unter about:support noch unter "Chronik- und Lesezeichendatenbank", "Integrität überprüfen".

Ansonsten kannst du dir unter /opt/firefox einen Ordner mit dem Namen "distribution" anlegen, darin eine policies.json(Addon: Enterprise Policy Generator). Damit kann man dem Firefox auch das Updaten verbieten. "about:policies" zeigt dir an ob die Regeln aktiviert sind und wenn irgendwelche Fehler vorliegen und Regeln nicht übernommen werden.

[wanne]

Ich meine, wäre das der Fall, wäre es schon längst bekannt geworden.

So unbekannt ist das jetzt nicht. Ich finde jetzt nicht mehr auf Anhiet die passende Statistik. Der Diebstahl von Zugangsdaten bei Steam im Schnitt etwa so oft wie Fahrräder. Ich nehme an, dass das für Bankdaten ähnlich aussieht.

Ich bin der Meinung, dass dessen Codebasis nicht unabhängig verständlich ist und die Debian-Maintainer des Pakets inkompetent sind.

Ich dresche ja auch gerne auf Chrome ein und freiwillig versteht das wirklich keiner aber Google hat halt tatsächlich den Vorteil, dass sie hohe Bugbounties ausschreiben und auch wirklich auszahlen. In sofern gibt es eine ganze Reihe von Leuten die da jetzt wirklich mehr oder minder professionell den Code nach Bugs durchsuchen. – Und vor allem: Sie machen das unabhängig. Es wird sogar ausdrücklich dazu geraten das öffentlich zu melden und danach bekommt man das Geld. Google hat also keine Möglichkeit auf die Finder Einfluss zu nehmen, weil sie die gar nicht kennen bevor sie das an Mitre melden. Und Mitre veröffentlicht dann instant, dass was gefunden wurde.

[willy4711]

Die Versionen mit ...0 b bezeichnen immer die Beta, der Vorläufer für die endgültige Stable, daher bleibt das Profil unangetastet.
Die Abfrage erfolgt u.a. auch wieder in der omni.ja. Wenn dort 79+ steht, wird auch alles, was 79 in der Bezeichnung hat, ohne Nachfrage ausgeführt.
Wenn es dann Vers. 80 wird, paßt die omni.ja nicht mehr und es wird ein neues Profil erstellt, wenn man manuell kopiert.

Danke für die Erklärung. demnach wäre ja beim nächsten Update erst der Versionssprung fällig
Das nächste Beta- Update wäre dann auf die Version 80.0b1
Du sagst, dass das in der onmi.ja steht. Aber das muss es ja auch im Profilverzeichnis geprüft werden ?
Forschung:
Das wäre (wahrscheinlich) Diese Datei:
~/.mozilla/firefox/nsp5foa6.default-beta/compatibility.ini

Code: Alles auswählen

[Compatibility]
LastVersion=79.0_20200720193547/20200720193547
LastOSABI=Linux_x86_64-gcc3
LastPlatformDir=/opt/firefox_beta
LastAppDir=/opt/firefox_beta/browser

Die Zahlen sind die Buil.ID
Weiter geforscht:

Die Build-ID bekomme ich aus den jeweiligen Verzeichnis der Version. Für meine 79.0 Version wäre das:
https://ftp.mozilla.org/pub/firefox/can ... 4_info.txt

Dann sollte die alles entscheidende Zeile (hoffentlich) in der compatibility.ini so aussehen:

Code: Alles auswählen

LastVersion=80.0b1_xxxxxxxxxxxxxxxxx/x=Wenn Version verhanden

Wäre ja - wenn dem so ist - relativ einfach die eine Zeile umzuschreiben.
Leichter jedenfalls, als das Profilverzeichnis zu kopieren.

Das wäre auch insofern gut, dass ich alle befriedigen könnten, die in mir einen prinzipienlosen Unsicherheits-Junkie
vermuten

Dann wird als Root nach /opt/firefox kopiert,das dann natürlich immer Root gehört.
Keiner braucht mehr Angst haben, dass mein System korrumpiert wird
---Zumindest nicht aus der Ecke -----