Legfrissebb anyagok

IT café témák

PROHARDVER! témák

Mobilarena témák

GAMEPOD.hu témák

LOGOUT.hu témák

Keresés

Új hozzászólás Aktív témák

#6 Penge_4 veterán

Új Válasz 2010-07-15 11:47:24 #6
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Penge_4

veterán

"A „Mozilla Sniffer” nevű kiegészítőt"
Még véletlenül sem gyanús a neve, kicsit sem... Ettől már csak a "Mozilla Keylogger" lett volna találóbb. Amúgy aki Sniffert használ az nyilván nem 1.0 user kategória, valamint kellően paranoiás ahhoz, hogy belenézzen a forrásba.
(#2) Narxis: Ha ez nem is, de ez már inkább. Meg a Coolpreviews sebezhetőség is.
Jó, nyilván a userJS is lehet keylogger, csak az a 4 nagy különbség, hogy
1: Más a filozófia. A userJS-hez ha nem is sok, de minimális hozzáértés szükséges. Például mappát létrehozni, meg ilyesmi. Tehát nem tolják a nagymamától és Pistikéig mindenkinek az arcába.
2: Épp a next-next-finish elv hiánya miatt többnyire a power user kategória használja. Én például minden userJS-be bele szoktam nézni, amit használok, (hála az 1 fájlos szerkezetnek és a TC összehasonlító funkciójának ez nem is tart sokáig még frissítésnél sem, mivel a változásokat kiemeli pirossal).
3: Az Opera nem véletlenül nem csinál hivatalos userJS tárhelyet és az a válasz, hogy nincs rá kapacitás. A Unite Appokat és a widgeteket is átellenőrzik. Nincs olyan, hogy megbízható user. A third-party cucc mindig potenciálisan megbízhatatlan. Ha 5 évig nincs benne backdoor, lehet hogy a hatodik évben tesz bele a készítő. Ha biztonságról van szó, nem tesznek különbséget.
4: A userJS-t egyszerűen tudod kontrollálni (@include, @exclude), valamint nem fér hozzá a böngésző funkcióihoz. Csak a weboldalakhoz azon belül is azokhoz, amiket engedélyeztél és alapból csak a HTTP oldalakon, a HTTPS-t is külön kell engedélyezni. Nem tudja manipulálni a böngészőt.
A jelszavak pedig Operában fokozott biztonságban vannak. Egyrészt nem tudod egy kattintással megjeleníteni, másrészt nem tölti ki a mezőt, tehát ha az oldalt felnyomják, akkor nem szerezték meg a jelszavadat az oldalbetöltés pillanatában, csak ha elég hülye vagy hozzá, hogy belépj.
#8 Penge_4 veterán Narxis #5

Új Válasz 2010-07-15 12:03:33 #8
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Penge_4

veterán

válasz Narxis #5 üzenetére

"Csak megjegyzem: a Firefox legnépszerűbb kiegészítőjét a userek kb. 5%-a használja"
Ez csak azt bizonyítja, hogy az embereknek abszolút nincs igényük semmire csak egy ablakra és egy címsorra, nem pedig azt, hogy a statisztikában említett 5% a power usereket tenné ki.
Én például nem használok Firefoxot, de ha használnék a legtöbb dolgot user.js, userChrome.css és userContent.css szerkesztéssel intéznék el és csak olyasmire telepítenék addonokat, amire feltétlenül szükséges.
"talán a 4-es verzióval és a Jetpack-kel változni fog a helyzet."
Igen, megváltozhat a Chrome irányába is, hogy buta addonok lesznek, amik egy userJS funkcionalitásával bírnak, csak x megával többet zabálnak és még trükkel sem lehet működésre bírni őket belső lapokon és HTTPS oldalakon.
Pedig egyszerű. Ha hatalmat adsz a harmadik fél kezébe, hogy manipulálja a böngészőt, akkor mindig ott lesz a lehetősége, hogy csúnya dolgokat műveljen vele, ha pedig korlátozod, akkor a felhasználókat is szivatod. B*szni és szűznek maradni egyszerre nem lehet.
A sandbox sem nyújt teljes védelmet, mert ha kénytelen vagy engedni a homokozón belül futó folyamatot hozzáférni a homokozón kívüli folyamathoz, akkor kockáztatnod kell.
Annyi, hogy nagyobb kontrollt ad a kezedbe, mert alapból tilt és csak a feltétlenül szükséges esetekben kérdez, de ezáltal többször kell döntened és azt a userek nem szeretnek.
"Ez legyen a legnagyobb probléma, hogy az egyik kiegészítő letiltja a reklámok blokkolását a saját oldalán, vihar egy pohár vízben."
Ne legyél már ennyire egysíkú. Itt a lehetőség adottsága és az ok volt a lényeg, nem az okozat.
Pénz kellett neki? -> Igen (ez volt az ok)
Meg tudta tenni? -> Igen (ez volt a lehetőség)
Az, hogy mit tett az már nem lényeg. Ugyanennyi lett volna banki adatokat lopó kódot csempészni bele. Elvégre pénzre volt szüksége. Ráadásul kétszer is megtette egymás után.
"Az átlag user belép."
Hülyeség ellen semmi nem véd, de ha például felnyomják valamelyik oldalt és látom, hogy nem úgy néz ki már alapból, ahogy kell neki, vagy elkészítették a másolatát, de valami mégsem stimmel, akkor nem lépek be. De ha ezt látom, akkor onnantól már megszívtam Firefoxban/Chrome-ban/IE-ben, mert a jelszavam és a nevem már lehet, hogy ott van náluk. Nem nehéz egy ilyen scriptet összehozni, lásd: Google Suggestion-> Minden billentyűleütést elküld a szervernek. A behelyettesítéssel elküldött minden adatot.
"hanem, hogy a kiegészítőket(az összeset), mennyien használják. Már ha azon akarunk vitatkozni, hogy van-e létjogosultságuk."
1: Attól függ. Ami a többiben alapfunkció azokat mégsem kéne számolni.
2: Ha a legnépszerűbbet ennyien használják, akkor a többit már csak kevesebben használhatják. Főleg ha azt is hozzáveszed, hogy hányan használják az IE-t és azon belül is még az IE6-ot.

[ Szerkesztve ]
#12 Penge_4 veterán puttputt #10

Új Válasz 2010-07-15 12:26:41 #12
Új hozzászólás
Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra
Privát üzenet küldése

Penge_4

veterán

válasz puttputt #10 üzenetére

"de ha mennyiségi/minőségi alapon vizsgáljuk a dolgot... És ugye eleve ingyenesen és önként..."
Ezt úgy értsem, hogy 100-ból 2-3 a minőségi? Mert sajnos ez van.
"És ugye eleve ingyenesen és önként..."
És ez feljogosítja bármelyiket, hogy backdoor-t építsen az addonjába?
"Egyébként nem meglepő, hogy ott még a több hiba, ahol több a munka..."
Milyen munka? Miközben például az Opera mindent mindennel letesztel és nagyon ügyel a biztonságra, ha 1-2 bug be is csúszik a hülye versenyszellem miatt addig a Mozilla mit csinál? Ül a seggén évekig, foltozgatja a Geckto-t, ami már lassan muzeális darab, magasról tesz olyanokra, mint Acid3, sebesség és emellett(!) az addonok jelentik a böngésző alapkövét. Nélkülük mondhatni egy sima keretrendszer az egész. Mégis ennyire elhanyagolják a biztonságot. Mikor már a Microsoft is ezerrel ráfeküdt erre a témára, addig a Mozillánál az jelenti a biztonságot, hogy
1: Letiltja az addonokat a fejlesztői verziókban, hogy még csak le se tudd őket tölteni a hivatalos oldalról, mert regisztráció nélkül nincs "Mégis letöltöm" (ezt már megoldották egy ideje szerencsére).
2: Hülye vírusellenőrző, ami nem ismert milyen adatbázist használ, nem ismert semmi, csak az, hogy 10 másodpercig "Virus scanning" és soha nem talál semmit.
3: Sitecheck, ami megint értelmetlen és annyiban nyilvánul meg, hogy az urlclassifier3.sqlite töredezik, mint állat és tekeri a vinyót, miközben írja/olvassa a fájlt.