Favicons in der Eingabezeile: Sicherheitsrisiko?

bigpen

Bernd hat im Thread https://www.camp-firefox.de/forum/viewtopi…=891785#p891785 die Erweiterung https://addons.mozilla.org/de/firefox/addon/favicon-restorer/ erwähnt.

Ich habe jetzt diesen Favicon-Restorer installiert und finde ihn gut.
Mir schwirrt aber im Hinterkopf herum, dass Mozilla diese Favicons in der Eingabezeile aus irgenwelchen Sicherheitsgründen abgeschafft hat. Weil meine Erinnerungen nicht mehr immer die Besten sind, frage ich lieber nach.

Ist dem so, oder bin ich da auf dem Holzweg?

Bruno

Sören Hentzschel

Das ist richtig. Das Symbol in der Adressleiste ist ein Sicherheits-Indikator, der Auskunft darüber gibt, ob die Verbindung verschlüsselt ist oder nicht. Mit den damals geplanten Änderungen und dem alten Verhalten beziehungsweise mit der genannten Erweiterung kann eine gefährliche Webseite einfach ein solches Symbol als Favicon verwenden und damit eine Illusion schaffen.

bigpen

Ist denn das Sicherheits-Infofenster nicht ausreichend, um die URL als "echt" zu identifizieren?

Mit Erweiterung:
[attachment=0]PostFinance-Sicherheitsinfo.jpg[/attachment]

Sören Hentzschel

Ich denke nicht, dass ein Nutzer bei jeder Webseite, die er aufruft, darauf klickt. Das sollte sofort erkennbar sein. Und wie du auf folgendem Bild siehst, gibt es mehr als nur zwei Zustände und es ist (ohne Erweiterung) nicht erkennbar, in zwei Fällen könnte eine Webseite den Nutzer täuschen, wenn das Symbol das Favicon wäre. Ich spreche hier ausdrücklich nur vom möglichen Sicherheits-Problem von Firefox im Auslieferungszustand, weswegen das gemacht worden ist. Ob die Erweiterung das so löst, dass es in allen Fällen eindeutig ist, weiß ich nicht.

Bitte nicht mit den URLs aus dem Screenshot vergleichen, der Screenshot ist schon älter und die Ergebnisse passen in zwei der vier Fälle nicht mehr zu den Seiten, der Screenshot ist Stand Firefox 14.

bigpen

Zitat von Sören Hentzschel

Ich denke nicht, dass ein Nutzer bei jeder Webseite, die er aufruft, darauf klickt. Das sollte sofort erkennbar sein.

Gut ja.
Ich prüfe aber immer wenn es um finanzielles geht. Meine nicht übermässig grosse Rente schenke ich nicht einfach her.

Zitat

in zwei Fällen könnte eine Webseite den Nutzer täuschen, wenn das Symbol das Favicon wäre.

zwei und drei?
Woher stammen übrigens die roten Texte in deinen Eingabezeilen?

Danke dir für deine Hinweise Sören. Ich deinstalliere die Erweiterung wieder.

Sören Hentzschel

In den Fällen 1 und 2. Ein grünes Schloss-Symbol kann man als Favicon vielleicht noch machen, aber der Text ist dort ja grün, das kann eine Webseite nicht fälschen, also ist Fall 3 das Maximale, was man mit Täuschung erreichen kann. Wobei es bei genauerer Überlegung vielleicht trotzdem zum Täuschen reicht, wenn der Nutzer nur ein grünes Schloss sieht, das möchte ich nicht ausschließen, dann wären es doch die drei Fälle. Und in den Fällen 1 und 2 könnte man auf jeden Fall einfach ein graues Schloss als Favicon verwenden, dann würde es keinen Unterschied zu Fall 3 geben.

Wie gesagt, ich weiß nicht, ob die Erweiterung das gut löst. Vielleicht löst die Erweiterung das ja auch brauchbar. Müsste man sehen.

Die roten Texte hab ich mit einem Grafikprogramm einfach dazu geschrieben, damit man weiß, was da dargestellt wird, das ist keine spezielle Firefox-Anpassung.

Bernd.

Farbige Akzente in der Adresseingabe:
Aus https://www.camp-firefox.de/forum/viewtopi…=497440#p497440

http://www.silvermel.net/dev/colorsecureurl_0.0.1a1pre.xpi --> colorsecureurl_0.0.1pre.xpi :idea:

Boersenfeger

...verfügbar ist bereits colorsecureurl_0.0.1b1, diese muss aber gebumpt werden...
Download ebenda..

2002Andreas

Ich mache das so:

CSS

#urlbar[level="high"] > #identity-box > hbox,
#urlbar[level="high"] > #identity-box {
    background:green !important;
    color:yellow!important}

alternativ so:

CSS

#urlbar[level="high"] > .autocomplete-textbox-container {
background-color:#00FF7F !important}


#urlbar[level="high"] > #identity-box > hbox,
#urlbar[level="high"] > #identity-box {
    background:green !important;
    color:yellow!important}

[Blockierte Grafik: http://www7.pic-upload.de/thumb/01.12.13/782gwgxwjdod.jpg]

Bernd.

Das funktioniert in Stylish nicht, extra ausprobiert (v25/v26/v28)

2002Andreas

Zitat von Bernd.

Das funktioniert in Stylish nicht

Ich nutze nur Stylish hier :-??

[Blockierte Grafik: http://www7.pic-upload.de/thumb/01.12.13/ow457umyfe9.jpg]

Bernd.

Dein Bild soll sagen, dass gerade aktiv? Falls ja, dann fehlt die Farbe in der Urlbar Schau dir mal das Bild im verlinkten Thema an (von bird)

2002Andreas

Zitat von Bernd.

dann fehlt die Farbe in der Urlbar

Der Code war im Screen auch nicht enthalten.

Hier für Nightly

CSS

#urlbar[level="high"] .urlbar-textbox-container.urlbar-input-layer{
    background:#00FF7F !important}


    #urlbar[level="high"] > #identity-box > hbox,
    #urlbar[level="high"] > #identity-box {
        background:green !important;
        color:yellow!important}

[Blockierte Grafik: http://www7.pic-upload.de/thumb/02.12.13/jov242mtqxf.jpg]

Zitat von Bernd.

das Bild im verlinkten Thema an

War ja auch nur ein Vorschlag von mir, geht sicherlich (besser) zu machen :wink:

Heaven_69

Hier funktioniert das schon ewig mit dem Code hier in Stylish:

Andere Farbe der URL für HTTPS Seiten:

CSS

#urlbar[level="high"] > .autocomplete-textbox-container,
    #urlbar[level="low"] > .autocomplete-textbox-container {
      background-color: #7FFF00 !important;
    }


    #urlbar[level="broken"] > .autocomplete-textbox-container {
      background-color: #E9C3C3 !important;
    }

Ich hab allerdings keine Ahnung davon, hab das auch nur irgendwann hier übernommen.