Shockwave Flash stürzt häufig ab

  • Zitat von Bernd.

    Und ja, Mozilla mag kompetent sein, aber die konstruieren lediglich einen Browser während Microsoft sich übergreifend mit Sicherheit beschäftigt

    Du scheinst Mozilla nicht sehr gut zu kennen, wenn du Mozilla so auf den Browser reduzierst, aber von "die konstruieren lediglich einen Browser" kann beim allerbesten Willen nicht die Rede sein. Mozilla entwickelt selbst Sicherheits-Software und das auch nicht alleine, unter anderem arbeitet man mit Blackberry auf dem Gebiet zusammen, kein sooo kleiner Name. Unter anderem hat man zur Entwicklung des Peachfuzzers [1] beigetragen oder das Sicherheitstest-Framework Minion [2] entwickelt, im Rahmen des Google Summer of Code betreut Mozilla jedes Jahr Projekte, welche sich mit der Verbesserung von Sicherheits-Tools wie Zest beschäftigen, mit dem Winter of Security betreibt Mozilla ein eigenes "GSoC" zum Thema Sicherheit, Mozilla ist natürlich auch an Sicherheits-Standards beteiligt und schlägt welche vor und noch vieles mehr. Also du brauchst nicht zu glauben, dass sich Mozilla nur mit der Sicherheit des eigenen Browsers beschäftigt.

    [1] http://peachfuzzer.com/
    [2] http://minion.readthedocs.org/en/latest/

    Zitat von Bernd.

    Wenn Mozilla dann doch so kompetent wäre, dann hätten die diese Techniken in Firefox schon längst übernommen so wie Google es mit Chrome bereits frühzeitig tat.

    Eine ziemlich gewagte These, von den Dingen, die Mozilla aus anderen Browsern übernommen oder nicht übernommen hat, auf die Kompetenz von Mozilla zu schließen. Kann man so selbstverständlich nicht stehen lassen. Da darfst du bitte konkrete Fakten bringen, was genau Mozilla hätte übernehmen sollen und wieso. Aber so ist das nur eine schwammige Aussage ohne wirklichen Inhalt.

    Zitat von Bernd.

    Und wenn Flash unter Firefox Probleme hat, dann liegt es entweder an Firefox oder fast immer an einer inkompatiblen Drittsoftware. Kein von mir betreutes System - von ganz alt bis ganz neu - hat irgendwie geartete Probleme mit Flash, dass solche Optionen überhaupt in Erwägung gezogen werden müssten.

    Das sind deine Erfahrungen und das ist wirklich schön für dich, dass du diese Probleme noch nie auf einem System hattest. Aber Firefox hat eine dreistellige Millionenzahl an Nutzern, Flash-Abstürze stehen ganz weit oben bei den Absturzursachen und der Protected Mode trägt einen nachweisbar großen Anteil daran, das sind nun einmal alles Fakten. Im Übrigen auch wieder eine sehr gewagte These: Wenn es Flash-Probleme in Firefox gibt, liegt es an Firefox oder fast immer an inkompatibler Drittanbietersoftware. An Flash selbst also nicht? Immerhin geht es hier um Flash-Abstürze. Wie kannst du das mit dieser Sicherheit ausschließen? Dein einziger Punkt ist, dass du persönlich noch keine Probleme erlebt hast. Das ist aber keine Begründung.

    Zitat von Bernd.

    Die Deaktivierung des PM bedeutet ganz konkret, dass die Sandbox für Flash wegfällt und das Flash-Plugin mit den gleichen Rechten* wie Firefox ausgeführt wird. Und da ich kein Träumerle bin weiss ich, dass 99% aller Benutzer mit Adminrechten arbeiten und manch einer davon mit einem veralteten Flash, damit wird diversen Techniken Vorschub geleistet, die mit dem PM verhindert werden (als eingeschränkter Benutzer ist das nahezu egal, ob PM oder nicht).

    99 Prozent ist eine schöne Zahl, aber so viele Firefox-Nutzer nutzen nicht Windows, insofern brauchen wir auch nicht über 99% der Nutzer zu sprechen. Als es den Protected Mode noch nicht gab - den es für andere Betriebssysteme als Windows bis heute nicht gibt! - haben es die Nutzer auch überlebt. Ich behaupte sogar, dass selbst mit deaktiviertem Protected Mode die Nutzer heute sicherer unterwegs sind als damals, da sich Adobe in Bezug auf die Sicherheit sehr stark verbessert hat in den letzten Jahren, Sicherheitslücken sind heute schnell behoben, das war nicht immer so.

    Zitat von Bernd.

    Deswegen ist es das Dümmste, was man sich in diesem Fall antun könnte. Ich weise auch nochmal auf die Worte von Adobe hin, dass dieser Zustand nur experimentell und temporär genutzt werden soll, solange die Ursache für Abstürze nicht gefunden wurde. In der Richtung ist Adobe für mich wesentlich massgeblicher als Mozilla, weil die eine breite Produktpalette anbieten und das länger als Mozilla besteht.

    Bei aller Liebe, das kannst du als Begründung doch nicht ernst meinen. Eine breite Produktpalette und das Alter von Adobe hat beides nicht die geringste Bedeutung für das, worum es hier geht. Und oh, Überraschung, Adobe empfiehlt, sein eigenes Feature aktiviert zu lassen. Ja, wenn Adobe das sagt, dann wird's das beste sein. Ähm, nicht.

    Ich wiederhole mich: Der Einfluss auf die Stabilität von Firefox ist ein nachgewiesener Fakt. "Das Dümmste", um es mit deinen Worten zu sagen, wäre von Mozilla sich das weiterhin anzusehen und nichts zu unternehmen. Vielleicht ist dir das nicht klar, aber Abstürze sind sehr häufig auch als Sicherheitslücken einzustufen. Aber so oder so ist eine Software, sobald sie abgestürzt ist, in der Folge unbrauchbar, bis sie neu gestartet wird, in dem Fall bis das Plugin neu geladen wurde. Das kann nicht im Sinne des Nutzers sein. Und nochmal: Flash-Abstürze sind eines der größten Stabilitätsprobleme, die Firefox besitzt, Mozilla ist hier also in der Pflicht etwas zu unternehmen, um die Abstürze zu reduzieren, außer man möchte für mehr Frust als notwendig bei den Nutzern sorgen. Ein nicht geringer Teil des negativen Nutzer-Feedbacks bezieht sich auf eben jene Flash-Abstürze, die Nutzer merken sehr wohl, dass es Probleme gibt und für die ist natürlich Firefox das Problem. Und was macht ein Nutzer, dessen Browser spinnt, möglicherweise, um nicht zu sagen sehr wahrscheinlich? Richtig, den Browser wechseln.

  • Einiges lasse ich unkommentiert, da wirst du mich nicht umpolen können. Aber ich stimme dennoch überein, dass

    Zitat

    Mozilla ist hier also in der Pflicht etwas zu unternehmen, um die Abstürze zu reduzieren


    Wobei ich "Pflicht" jetzt mehr als guten Willen einstufe - sie müssten es nicht, tun es trotzdem, um der Kurzsichtigkeit von Benutzern und manch schlampigen Herstellern zuvor zu kommen. (vergleichbar des Cert-Root-Stammes in Firefox als Contraire dem zu Windows 8, welches derzeit mal wieder auf dem Prüfstand wegen "NSAKEY" steht, weil Win8 vermehrt dynamisch nachlädt - Spekulatius Gleichzeitig erhöht das natürlich die Sicherheit - von Firefox.)

  • Zitat von Sören Hentzschel

    Flash-Abstürze sind eines der größten Stabilitätsprobleme, die Firefox besitzt,

    Falsch formuliert.
    Der Fx hat kein Stabiitätsproblem. Er trägt keinerlei Verantwortung für randalierende Plugins.
    Die Sicht der Anwender ist natürlich eine andere.

  • Zitat von Sören Hentzschel

    ..dass der Protected Mode nun für alle Nutzer von Nightly, Developer Edition und Beta standardmäßig deaktiviert wird,

    Muss ich nun meine Einstellung wieder ändern, oder erkennt Firefox dies und es kommt nicht zu Irritationen? (Wenn ichs recht überlege, wird er es erkennen...) Trotzdem mal stehen gelassen..

  • Zitat von Boersenfeger

    Muss ich nun meine Einstellung wieder ändern,

    Keine Ahnung darüber, was du gemacht hast.
    Du magst sie mal prüfen, aber neue Werte von Mozilla neigen dazu, die Vorgaben der Anwender schlicht zu überschreiben.

    P.S.
    mein Flash kennt den Krempel wie "Protected Mode" nicht.
    Bin ich darum besorgt ? Absolut nicht.

  • Zitat

    mein Flash kennt den Krempel wie "Protected Mode" nicht.


    Unter Linux und XP wirst du auch vergeblich suchen, 1. braucht das nicht, 2. bietet das nicht. Hatte ich aber alles schon mal geschrieben.

  • Zitat von .Hermes

    Falsch formuliert.
    Der Fx hat kein Stabiitätsproblem. Er trägt keinerlei Verantwortung für randalierende Plugins.
    Die Sicht der Anwender ist natürlich eine andere.

    Ich bin nicht der Meinung, dass das falsch formuliert ist, da Mozilla diese Abstürze selbst als Stabilitätsprobleme von Firefox behandelt. Letztlich sind alle Abstürze, die in Socorro (https://crash-stats.mozilla.com) landen, Abstürze, die Mozilla im Idealfall abfangen sollte - oder eben mit Adobe zusammenarbeiten sollte, damit diese Fixes bereitstellen. Natürlich sind Abstürze von Flash Abstürze, welche nicht Firefox selbst auslöst, sondern das nicht von Mozilla stammende Plugin, das heißt aber zum einen nicht, dass die Instabilität nicht in Firefox selbst liegt. Auslöser und Kern des Problems sind bekanntlich nicht immer identisch. Und zum anderen deutest du es mit dem letzten Satz ja selbst an: dem Nutzer kann das egal sein, wer nun die Schuld trägt, Absturz ist Absturz. Und kein Nutzer nutzt aktiv das Flash Plugin. Aktiv genutzt wird Firefox. Der Nutzer hat am Ende des Tages den Absturz in Firefox. Ob es nun im Kern von Firefox oder das Plugin war, ist ein technisches Detail. Wir müssen folgendes bedenken: es ist zwar richtig, dass Hersteller von Drittanbieter-Software in allererster Linie für ihre Produkte verantwortlich sind und es nicht Mozillas Problem sein sollte, aber wir sprechen hier nicht von einem Add-on, welches von 5.000 Leuten genutzt wird, sondern von Flash, was auf vielen Millionen Rechnern zum Einsatz kommt. Dadurch ist Mozilla ganz automatisch in der Verantwortung, ob sie wollen oder nicht. Man sollte nicht unterschätzen, wie viele Nutzer sowas kosten kann.

  • Zitat von .Hermes

    aber neue Werte von Mozilla neigen dazu, die Vorgaben der Anwender schlicht zu überschreiben.

    Das Gegenteil ist zutreffend.

    Zitat von Boersenfeger

    Muss ich nun meine Einstellung wieder ändern, oder erkennt Firefox dies und es kommt nicht zu Irritationen? (Wenn ichs recht überlege, wird er es erkennen...) Trotzdem mal stehen gelassen..

    Benutzerdefinierte Einstellungen erhalten immer Vorrang. Firefox lädt die Einstellungen in folgender Reihenfolge:

    1. Standard-Einstellungen
    2. Konfigurationsdatei
    3. prefs.js
    4. user.js

    …wobei die letzte Einstellung gewinnt.

    Wenn Mozilla die Standard-Einstellung für alle Nutzer neu setzen möchte, also auch wenn eine benutzerdefinierte Einstellung festgelegt worden ist, dann muss Mozilla einen entsprechenden Migrationscode implementieren, welcher die benutzerdefinierten Einstellungen zurücksetzt. Das sieht dann wie folgt aus, wie vor einigen Monaten für ein paar Einstellungen umgesetzt:

    https://bug851702.bugzilla.mozilla.org/attachment.cgi?id=734700

    Und ich behaupte mal, in diesem Fall besteht keine Notwendigkeit, einen Wert von true oder false für alle Nutzer zu erzwingen, überhaupt dürfte die in Firefox 35 neu eingeführte Einstellung kaum jemand kennen. Und selbst wenn, die Einstellung wurde entweder eh so gelassen, wird also ganz normal geändert, und wenn sie geändert wurde, entspricht sie bereits dem neuen Standard. So oder so, da kann nichts schief gehen. ;)

    Übrigens hat Mozilla die Änderung besagter Einstellung für die erste Beta zurückgezogen. Mir ist nicht bekannt, wann Mozilla die geänderte Standard-Einstellung in der Betaversion einführen wird, aber das klingt mehr nach einer Frage des wanns als des obs:

    Zitat

    We're going to back this out at least for 36b1.

    https://bugzilla.mozilla.org/show_bug.cgi?id=1119941#c8

  • Zitat von Bernd.

    Die Deaktivierung des PM bedeutet ganz konkret, dass die Sandbox für Flash wegfällt und das Flash-Plugin mit den gleichen Rechten* wie Firefox ausgeführt wird.

    Der Punkt fällt nun auch weg. In der Nightly-Version von Firefox 38 ist nun eine Sandbox für NPAPI-Plugins gelandet, welche genau das macht, was die Aufgabe des Protected Mode von Adobe Flash (dom.ipc.plugins.sandbox.flash) war. Zwar nur für Windows, aber den Protected Mode gibt es ja auch nur für Windows.

  • ..derzeit sollte Flash eh noch deaktiviert sein, da bisher immer noch kein Patch für die öffentlich gemachten Löcher gelandet ist..
    http://www.heise.de/security/meldu…en-2527107.html

  • Darum geht es hier allerdings nicht. Die Sicherheitslücke ist jetzt noch ein paar Tage relevant, hier geht es um etwas, was frühestens in einem Monat in einer finalen Firefox-Version landet (Beta-Uplift vorausgesetzt, sonst noch später) und dann dauerhaft relevant ist. Bitte nicht zwei vollkommen unterschiedliche Themen vermengen, die Sicherheitslücke hat bereits ihren eigenen Thread. ;)