Beiträge von boardraider

  • Passwort Manager

    Wie oft legst du dir denn neue Accounts an? Also die Frage poppt doch i.d.R. mal alle zwei Wochen auf, wenn man sich irgendwo anmeldet.

    Zitat

    Zudem würde mich Interessieren ob jemand anderes, wenn er an meinem Rechner sitzt, meine nicht gespeicherte Passwörter rausfinden kann.

    Deine "nicht gespeicherten" Passwörter kann er schlecht herausfinden, dazu müssten sie gespeichert sein. Er kann aber in der Ausnahmeliste sehen für welche Seiten du keine Passwörter speichern wolltest.

  • Sicherste Passwortlösung?

    unix_samurai wrote:

    Zitat

    >Was verstehst du dabei unter "Zugriff auf das File"?

    FF hat eventuell Funktionen, die ihm erlauben auf die PW Datei zu zu greifen. Wenn ein Exploit die Nutzung dieser Funktionen erlaubt, dann hat man ein hohes Sicherheitsrisiko. Natürlich hätte eine Erweiterung auch Zugriff auf die Datei, aber der Unterschied ist ja, dass FF weit aus mehr Funktionen beinhaltet

    Da der Fx den Erweiterungen über die Schnittstellen alles nötige zur Verfügung stellt, sind diese an sich genauso mächtig wie der Fx selbst in Bezug auf die Passwortverwaltung.

    Zitat

    Ein Plugin, das aus ein paar Zeilen Code besteht, hat vergleichsweise wenig Angriffsfläche.

    Die Anzahl der Code-Zeilen ist kein geeigneter Maßstab um über Sicherheit bzw. eine mögliche Angriffsfläche zu diskutieren. Sehr viel Code kann nahezu sicher sein, wenn er bspw. keine Eingaben von außen verarbeitet. Kurzer Code kann kritisch sein, wenn er Input nicht validiert. Grundsätzlich kann man wohl diesbezüglich nur festhalten, dass die Wahrscheinlichkeit von Programmierfehlern natürlich mit der Menge des Codes ansteigt. Aber nicht jeder Fehler ist sicherheitskritisch und meist ist die konkrete Implementierung entscheidend, nicht die Anzahl der Zeilen.

    Zitat

    Ein Grundsatz im Sicherheitswesen für mich ist, dass man immer möglichst wenig Angriffsfläche bieten sollte.

    Prinzipiell natürlich ein richtiger Gedanke.

    Zitat

    Jetzt wo ich darüber nachdenke, wird es mir noch deutlicher, dass Plugins ein großes Risiko sind.

    Plugins genauso wie Erweiterungen. Plugins sind auf Grund der hohen Verbreitungsgrade natürlich interessante Ziele. Flash ist inzwischen fast auf jedem Rechner vorhanden. Erweiterungen sind hingegen sehr mächtig, weil sie über sehr viele Schnittstellen direkt mit dem Browser interagieren können.

    Zitat

    Ich halte zwar immernoch die externe Methode für nativ sicherer, aber man muss auch bedenken, dass diese Plugins von Privatpersonen entwickelt werden und FF von Profis, die auch regelmässige Patches rausbringen.

    Also mir wäre neu, dass Sun oder Adobe von Privatpersonen ohne beruflichen Zugang betrieben werden. Dagegen wird der Fx weniger von Profis entwickelt, als seine Plugins. Zwar hat Mozilla auch einen Stamm an bezahlten Fachkräften, viel Arbeit wird aber auch von der Community geleistet. Die Plugins werden hingegen i.d.R. von Software-Firmen entwickelt.

    Zitat

    Ein weiterer Vorteil eines Plugins ist es auch, dass sie kaum verbreitet sind, und ein Angriff sich kaum lohnenwürde.

    Flash? Über 90%? Wenig verbreitet?

    Zitat

    Immerhin reden wir über FF, der verglichen zum IE bereits sehr unverbreitet ist.

    So verbreitet, dass er inzwischen ein lohnenswertes Ziel ist.

  • "Firefox aktualisieren"

    Das ist natürlich nur ein workaround, keine Frage. Ich würde mir auch wünschen, dass dieses Problem endlich behoben wird. Wie man sieht geht es ja ohne Admin-Rechte wunderbar. Letztlich bräuchte es zur Korrektur wirklich nicht viel.

  • Sicherste Passwortlösung?

    unix_samurai wrote:

    Zitat

    >Kann man eigentlich einstellen dass das Masterpasswort vom Fx nur abgefragt wird
    >wenn man sich wo aktiv einloggen will, und nicht schon wenn nur Accountdaten für eine
    >Seite verfügbar sind die man ansurft?

    Schau mal den Link an, den ich zu letzt gepostet habe. Dort gibt es ein Plug in, das nennt sich Master Wort Time out oder so ähnlich und führt dazu, dass man man nach einer vordefinierten Anzahlvon Sekunden seni MPW wieder neu eingeben muss.
    Außerdem gibt es da noch irgendwo ein Plugin auf der Site, bei dem man sich immer nur aktiv einloggen kann, nicht automatisch. D.h. man muss vor jedem Login eine manuelle Bestätigung tätigen.

    Mit letzterem meinst du vielleicht Secure Login. Allerdings handelt es sich bei dem geschilderten Phänomen um einen Bug, der auch schon in Bugzilla eingetragen ist. Bspw. dort:
    https://bugzilla.mozilla.org/show_bug.cgi?id=400680
    Mir ist keine Erweiterung bekannt, die diesen Bug patcht.

    Zitat

    Warum ich ein externes Plugin zum verwalten des Passworts nutzen würde liegt daran, weil die interne Funktion erstens am häufigsten verbreitet ist, dadurch vermute ich, dass sich auch die meisten Attacken dagegen wenden

    Sind dir aktuelle Angriffsmöglichkeiten bekannt? Prinzipiell bieten dir solche Konstrukte nur bei einem unspezifischen Angriff einen gewissen "Schutz".

    Zitat

    zweitens kann ein Angreifer sich bei einem externen Programm den Pfad schlechter erschließen, indem das Pw gespeichert ist

    Was nicht ausschließt, dass er das trotzdem kann, wenn er in der Lage ist in deinem System auf das Dateisystem lesend zuzugreifen.

    Zitat

    und drittens hat FF ja Zugriffsrechte auf das PW File, d.h. wenn man den Browser komrpomitiert hat, dann hat man vielleicht Zugriff auf das File.

    Was verstehst du dabei unter "Zugriff auf das File"? Grundsätzlich könnte bspw. bösartiger Chrome-Code auf die Daten zugreifen, ebenso könnte der Code dann auch in deinem Dateisystem nach anderen Passwortspeichern suchen. Die gefundenen Daten könnte der Code auch zum Angreifer schicken, der mit Passwortcrackern offline die Dateien beackert. Solltest du dich mit deinem Masterpasswort authentifiziert haben, wäre der Code auch in der Lage direkt auf die Passwörter zuzugreifen.

    Zitat

    Während FF auf ein externes Element sicherlich nicht zugreifen könnte, weil die sich selber steuern, schätze ich.

    Eine bösartige Erweiterung kann mit deinem System so viel anfangen wie dem Browser-Prozess Rechte zustehen.