Firefox posílá něco na NSA servery?

[Kolner]

Ahoj může mi někdo vysvětlit co že to MF posílá do NSA.
https://brmlab.cz/user/jenda/spyzilla

[Reklama]

[D.A. Tiger]

Jen hadam, ale nemuze to byt spis webova stranka, ktera odeslala "neco" odeslala na dany server? Projevil by se v tom vypisu nejak JavaScript, nebo by se to schovalo proste za aplikaci, ktera je spustila?

[Tomas2]

Ano, posílát to na NSA Litoměřice, pokud to na tu adresu změníš, LOL. Co máte všichni s tou NSA? Ta organizace vypadá mocnější než bůh, přitom proti ostatní je lehce neškodná.

FF a ostatní prohlížeče jsou pěkně ukecané, povídají si s kdekým (primárně stahují informace s úzce provázanými službami , ověřují platnosti certifikátů, mají různé preload listy, snaží se o kdovíco.

[Jenda]

Ta NSA je trochu nadsázka…

Jen hadam, ale nemuze to byt spis webova stranka, ktera odeslala "neco" odeslala na dany server?

Jedná se především o chování samotného prohlížeče. Pokud je něco javascriptové API, je to u toho uvedeno.

Stránka je bohužel mírně neaktuální (vznikala kolem Firefoxu 40, docela platila do FF 52, FF 57 přinesl velké změny, které nemám náladu zkoumat - viz ten screenshot z Burpu).

[j]

Ahoj může mi někdo vysvětlit co že to MF posílá do NSA.
https://brmlab.cz/user/jenda/spyzilla

To je easy ... ten jejich uberbezpecnej browser, specielne ve variante torbrowser, pres js vyzvani naprosto cokoli, vcetne tvych realnych/natovanych IP adres. Spoustu toho pak vykeca i bez js sam od sebe. A misto aby tyhle diry redukovali, tak pridavaj v prodobe helo a dalsich cypovin (treabas APi na baterku ... velmi nutna vec) novy.

Porovnej to s Palemoonem, kterej vpodstate v kazdy verzi tenhle profil redukuje, vse co neni nezbytny je v defaultu vypnuty, a spoustu dalsich veci muzes povypinat proste v GUI. Pripadne si naopak muzes zapnout dalsi veci navic, ktery redukujou prave moznosti identifikace konkretniho browseru.

[Reklama]

[K]

...

Lehce OT: S ohledem na toto téma a např. tvé následující zápisky:
https://brmlab.cz/user/jenda/intel
https://brmlab.cz/user/jenda/linux-insecurity

Jaký {notebook; telefon; hardware na serveru} a {OS; browser} používáš pro {práci; zábavu} ?
Nechceš o tomhle tématu něco napsat pro root? Možná by měli zájem...

[Jenda]

Lehce OT: S ohledem na toto téma a např. tvé následující zápisky:
https://brmlab.cz/user/jenda/intel
https://brmlab.cz/user/jenda/linux-insecurity

Jaký {notebook; telefon; hardware na serveru} a {OS; browser} používáš pro {práci; zábavu} ?

Telefony mám Nokii 6230i a Nexus 4 s LineageOS a považuji je za untrusted zařízení a používám je pro běžné hovory (které stejně slyší operátor) a pro čtení zpráv a ebooků. Je to škoda, rád bych s sebou netahal všude notebook, ale to by znamenalo mít na mobilu SSH klíče k produkčním serverům, PGP k mailu a OTR k Jabberu (abych mohl udělat zásah) a i na tom Lineage jsou třeba šifrování paměti a screenlock tak zabugované, že to prostě nejde (a stejně by to nešlo, protože nedokážu rozumně psát na touchscreen klávesnici a telefon s HW klávesnicí a podporou Lineage je jeden, jakási divná stará Motorola).

Notebook i servery mám normální Intel s normálním Debianem. Uvidím, co budu nakonec dělat po škole, pokud se budu častěji setkávat s nějakými důvěrnými věcmi, tak asi upgraduju na Qubes. Zatím dělám admina na matfyzu a v SOHO firmách a občas vyvíjím nějaké věci které nejsou nijak tajné, takže doufám, že nějaký extrémní bezprostřední průser nehrozí.

Takže abych to shrnul, zatím to vypadá, že jsem se vydal takovou spíš pragmatickou cestou. On člověk stejně moc jiných možností nemá, podle mě běžný smrtelník nemůže udělat víc než si nainstalovat ten Qubes, pokud možno na počítač, kde Management Engine nemá přímý přístup k síti (jednak disablovat ME-cleanerem, jednak třeba USB síťovka).

[Tomas2]

ten lehce OT vypadá zajímavější než původní dotaz .

Proč věříš v Qubes? Vím o něm dost informací, sleduji ho od začátku, používám ho spíše pro development a testování. Z hlediska bezpečnosti mi to spíše připadá jako módní vlna, která se šíří, nemyslím si, že ten systém je bezpečný právě z důvodu svoji vysoké složitosti a z důvodu, že stejně je nutná spolupráce uživatele (minimálně by vše neměl dělat v jednom VM). Mám interně problém věřit xenu, jeho 1M řádků dost nepřehledného kódu.

Osobně preferuji systémy, které jsou jednoduché, pro mě pochopitelné a dokážu je mít pod kontrolou, alpineLinux kam i rád přispívám, openBSD/freeBSD, která mi připadají proti linuxové džungli jako pohádka.

V korporátech naopak nasazujeme těžké redhaty, nově i ubunty, solarisy. Vše je striktně schované za FW, všechny servery a switche hned přes snmp bonzují info o provozu na síti, o aplikacích, procesech a chování systému, nad tím je nějaká analytika, která hledá výkyvy v běžném chování, v účinnost moc nevěřím, vím jak některé mechanismy obejít, protože je znám.

[Jenda]

Proč věříš v Qubes?

Neříkám, že v něj „věřím“. Jenom mi přijde lepší zredukovat obludné množství děr ve všech programech na těch několik málo děr v Xenu/KVM. Plus další věc je, že občas používám specializované programy řízené typicky jedním člověkem (typu gnuradio, osmo-tetra, xidel, gr-gsm), kde mi přijde reálné, že do toho on nebo někdo kdo napadl jeho git server přidá úmyslný backdoor a jen tak se na to nepřijde.

nemyslím si, že ten systém je bezpečný právě z důvodu svoji vysoké složitosti

Attack surface mi přijde podstatně menší než u běžného desktopu.

Mám interně problém věřit xenu, jeho 1M řádků dost nepřehledného kódu.

Jistě, mnohem lepší by byl nějaký mikrokernel, ideálně formálně verifikovaný (seL4). Jenže já mluvil o tom, co je teď dostupné - a tam porovnáváme 1M LOC Xenu s miliardou řádků kernelu, X.org, Firefoxu, libpng, ffmpegu, jpegturbo, openssl a já nevím v čem všem byly za posledních pár let díry.

alpineLinux kam i rád přispívám, openBSD/freeBSD, která mi připadají proti linuxové džungli jako pohádka

Alpine je normální linuxová distribuce a BSD mi přijde bezpečnější jenom v tom, že to jsou exoti a tak na ně tolik lidí nehledá exploity. A userspace tam máš stejný.

[K]

...BSD mi přijde bezpečnější jenom v tom, že to jsou exoti a tak na ně tolik lidí nehledá exploity. A userspace tam máš stejný...

https://www.csoonline.com/article/3250653/open-source-tools/is-the-bsd-os-dying-some-security-researchers-think-so.html