Beiträge von ssy

  • Fingerprints "Mozilla Corporation"-Zertifikat zur Überprüfung der Authentizität (keytool/apksigner) eines Downloads

    Zitat von Sören Hentzschel

    In meinem Artikel, den du verlinkt hast, steht nirgends der Link.

    Das habe ich auch nicht behauptet. Ich habe auf wikipedia als Quelle einen Artikel bei DrWindows.de gefunden, der wiederum Deinen Artikel als Quelle angibt. Den habe ich gelesen und dadurch fiel bei mir der "Fenixgroschen".

    Der Rest war Durchklicken auf mozilla.org.

    Zitat von Sören Hentzschel

    Aber da du den Link ja nun eh schon gefunden hast, habe ich ihn aus dem vorherigen Beitrag entfernt, [...]

    Du entfernst einen Link auf ein offizielles, öffentlich zugängliches Mozilla FTP Verzeichnis aus meinem Post.

    Das finde ich ziemlich verstörend.

    M.E. war dieser Link kein Verstoß gegen Forenregeln und seine Entfernung mit diesen nicht rechtfertigbar.

    Zitat von Sören Hentzschel

    Aber da du den Link ja nun eh schon gefunden hast, habe ich ihn aus dem vorherigen Beitrag entfernt, damit niemand über diesen Thread auf schlechte Ideen kommt.

    Hervorhebungen     von ssy

    Deine Begründung der Entfernung meines Links besteht aus zwei Aussagen:

    1. ssy hat den Link gefunden
    2. niemand soll über diesen Thread auf schlechte Ideen kommen

    Zu 1.: Ja, ich habe den Link gefunden und damit mein Problem gelöst. Gepostet habe ich den Link aber nicht für mich. Mein Verständnis eines Forums beinhaltet das Teilen von Wissen mit mündigen Anderen und für eben diese war der Link gedacht.

    Zu 2.: M.M.n. ist es nicht die Aufgabe von Forumadministratoren Mitglieder vor sich selbst zu schützen ("schlechte Ideen"). Schon der (ernstgemeinte?) Versuch erscheint mir absurd[1].

    Ist es nicht vielmehr Sinn eines Forums, dabei zu helfen, dass Mitglieder mittels Austausch von Gedanken, Meinungen und Erfahrungen selbst eine informierte Entscheidung treffen können[2]?
    Die "Idee" ein "google-freies-Handy" mit aktuellem LineageOS und firefox aus "offiziellen Quellen" zu nutzen ist meiner Meinung nach nicht "schlecht". Es gibt bei jeder "idee" Vor- und Nachteile, aber diese zu beurteilen und dann zu entscheiden, sollte m.M.n. dem Nutzer vorbehalten sein.

    Weder 1. noch 2. rechtfertigen m.M.n. die Löschung von Teilen meines Posts.

    Zitat von Sören Hentzschel

    Ich rate ausdrücklich davon ab, eine Firefox-Version zu installieren, welche keine Updates erhält!

    Ich rate ausdrücklich davon ab Windows oder Apple zu nutzen.

    Ist aber nur meine Meinung. ;)

    Friedliche Grüße

  • Fingerprints "Mozilla Corporation"-Zertifikat zur Überprüfung der Authentizität (keytool/apksigner) eines Downloads

    Hallo Leute,

    Zwischenstand meiner Bemühungen zur Verifikation des Zertifikats von Mozilla:

    Ich hab mir von mozilla.org ein ähnliches apk heruntergeladen und die certificate und public key digests mit apksigner verglichen. Die stimmen überein.

    Nach meinem - bescheidenen - Verständnis habe ich damit die Sicherheit, dass die beiden Pakete mit dem gleichen Signerzertifikat signiert wurden - also von Mozilla - und die Datei nicht verändert wurde.

    Stimmt das? :rolleyes:

    Oder habe ich etwas Grundlegendes übersehen, miss-, nicht verstanden...

    Grüße

  • Fingerprints "Mozilla Corporation"-Zertifikat zur Überprüfung der Authentizität (keytool/apksigner) eines Downloads

    Hallo .DeJaVu,

    Zitat von .DeJaVu
    Zitat von ssy

    Wo im Mozilla-Universum finde ich Fingerprints der Zertifikate, die von Mozilla zum signieren von firefox-xxx.apk verwendet werden?

    Aber um auf diese Frage einzugehen. Das sind grundlegende Möglichkeiten innerhalb von Android. Wenn deines das nicht bietet, solltest du dich fragen, was so eine Alternative wirklich taugt.

    Ich habe das apk auf meinen Linux-Desktop heruntergeladen und auf diesem mit den o.g. Tools überprüft. Hierbei spielt das installierte OS auf dem Handy m.E. keine Rolle. Bei erfolgreicher Prüfung käme dann der push des apk auf das Handy mit anschließender Installation.

    Zur Überprüfung brauche ich m.E. die angefragten Fingerprints.

    Das sehe ich grundlegend anders.

    "Vertraue auf Gott, aber binde Dein Kamel an"

    Grüße

  • Fingerprints "Mozilla Corporation"-Zertifikat zur Überprüfung der Authentizität (keytool/apksigner) eines Downloads

    Hi .DeJaVu,

    Danke für die schnelle Antwort.

    Zitat von .DeJaVu

    Auf F-Droid heisst es immer noch "Fennec", ist ne Macke von denen, als das Teil wirklich noch "Fennec" hiess.

    https://f-droid.org/de/packages/org.mozilla.fennec_fdroid/

    Danke für den Hinweis. ;)

    Zitat von .DeJaVu

    Noch ältere Versionen findest du auf den etlichen apk mirror-Seiten, auf eigene Gefahr.

    Zitat von ssy

    Ich fand zwar schnell alternative Quellen

    Ohne Quellenangabe wird das wohl kaum jemand so bestätigen können.

    Firefox (Android)
    Schnelles Surfen mit dem Smartphone
    firefox.de.uptodown.com
    Zitat von .DeJaVu
    Zitat

    lineageos

    Ohne Google Play Store?

    Ja.

    Teil meines - für mich sehr herausfordernden - Wegs zu mehr Datenselbstbestimmung und -sicherheit auf meinem Handy ist die Ab[k|w]ehr von Google. Aber auch die Überprüfung von (beliebigen) Paketen vor der Installation.

    Kannst Du mir noch bei meiner "Suche nach dem Zertifikat" weiterhelfen?

    Grüße

  • Fingerprints "Mozilla Corporation"-Zertifikat zur Überprüfung der Authentizität (keytool/apksigner) eines Downloads

    Hallo Leute,

    kurz: Wo im Mozilla-Universum finde ich Fingerprints der Zertifikate, die von Mozilla zum signieren von firefox-xxx.apk verwendet werden?

    lang: Ich habe lineageos auf meinem moto edge 30 installiert. Läuft soweit problemlos.

    Nun würde ich gerne meinen liebgewonnenen Firefox installieren.

    Leider gibt es keine firefox-xxx.apk bei F-Droid oder Mozilla (?).

    Ich fand zwar schnell alternative Quellen, bin dann aber bei der Überprüfung der Authentizität des Downloads gescheitert.

    Oder ich interpretiere die Ergebnisse meiner Überprüfung falsch.

    oder

    Nach meinem - sehr bescheidenen Verständnis - bedeutet das, dass die Datei firefox-116-0.apk seit der Signierung nicht geändert wurde., aber nicht, dass das verwendete Zertifikat authentisch ist. Zur Bestätigung der Authentizität muss daher m.E. eine Fingerprintüberprüfung des Zeritikats erfolgen.

    Aber wie? Ich hab mir die Finger wund gesucht, aber nix dazu bei Mozilla gefunden. Und startpage findet nur die gleichen Fingerprints bei anderen apk-Downloadern. Oder blick ich "es" einfach nur nicht :/?

    Jede Hilfe herzlich willkommen und Danke im Voraus.

    ssy