Sicherheitslücke: gespeicherte Passwörter zuverlässig löschen NICHT möglich

  • Moin,
    ich habe meine gespeicherten pw manuell nach KeePass übertragen und dabei jedes einzelne pw in FF nach erfolgreicher Übertragung gelöscht. Dachte ich zumindest.

    Nun bin ich auf das plugin "KeePassBrowserImporter" für KeePass gestoßen.
    Wenn ich dieses starte und wenige Minuten warte, sind zahllose zuvor in FF gespeicherte und gelöschte pw in KeePass importiert.

    Wie ist das möglich???

    Was dieses plugin kann, kann auch jeder Hacker tun!

    Das Löschen der Datei "key4.db" in FF nutzt auch nichts. Diese wird automatisch beim nächsten Neustart von FF gregeneriert.

    Wie kann ich die pw in FF endgültig und zuverlässig löschen???

  • Treffer!
    Nun findet das plugin auch nichts mehr.

    VIELEN Dank für den Tipp!

    Entäuscht von FF bin ich jedoch trotzdem.
    FF suggeriert auf gefährliche Weise alle pw gelöscht zu haben und generiert damit gefährliche Sicherheitslücken.

    Den Hinweis zum Löschen von logins.json und key4.db finde ich erst wenn man weiß, was man sucht.
    Hinweise auf die beiden anderen "alten" Dateien noch schwieriger.

    Warum kann man nicht einfach auf "alle pw löschen" klicken und FF tut es dann auch ???

  • Das ist weder eine Sicherheitslücke noch sonst was auf Seiten Firefox. Es scheint mir sogar gewollt, dass diese beiden Dateien weiterhin im Profil liegen. Und "löschen" löscht ja nicht die Dateien, sondern die Datenbank darin. Was kann Firefox denn dafür, wenn Keepass zu dusselig ist, die genutzte Firefox-Version zu erkennen und demnach die richtige Datenbank zu laden!?

    Wenn du weinen möchtest, bist du falsch hier. Hier gibt es nur Lösungen!
    Oh Herr, wirf Hirn, oder Steine - Hauptsache, du triffst endlich.
    Zu viele Goofies und Dulleks vom Dienst. Schlabokka!

  • eben nicht.
    "Löschen" in FF löscht eben NICHT den Inhalt.
    FF zeigt anschließend keine PW mehr an, obwohl zumindest in der alten Datenbank weiterhin welche enthalten sind.

    Wenn ein externes tool diese dann zutage fördert, zeigt das wie unzuverlässig FF mit gespeicherten Daten umgeht.

    Ich nenne das Sicherheitsrisiko, weil ich mich nicht auf die Anzeige in FF verlassen kann.

  • Du weisst schon, dass dein letzter Satz totaler Blödsinn ist?

    Ich wiederhole es nochmal für dich: die von Firefox angezeigten Dateien haben Gültigkeit, das betrifft hier key4/logins.json. Wenn es in Fireox keine Passwörter zeigt, hat es auch keine dort. Wenn keepass was älteres ausliest, was Firefox gar nicht mehr nutzt, liegt das an keepass. Wenn du dennoch meinst, dann setzte dein Profil zurück und lass keepass nochmal drauf arbeiten.

    https://support.mozilla.org/de/kb/firefox-bereinigen
    Und dann können wir uns gerne weiter unterhalten.

    So nebenher, ich würde keine "Sicherheitslücke" nutzen.

    Wenn du weinen möchtest, bist du falsch hier. Hier gibt es nur Lösungen!
    Oh Herr, wirf Hirn, oder Steine - Hauptsache, du triffst endlich.
    Zu viele Goofies und Dulleks vom Dienst. Schlabokka!

  • Nur mal so zur Klarstellung, die key3.db ist die alte Datei für die Passwörter vor Firefox 57/58. Mit Version 58 wurde diese von Firefox migriert und in eine key4.db umgewandelt. KeePass wird wohl beide Dateien verarbeiten können. Aus Sicherheitsgründen wurde die alte key3.db behalten, für den Fall das bei der Migration nicht klapp(te). Wenn du unter Firefox 58+ aufwärts etwas an Passwörtern löscht, dann passiert dies eben nur in der key4.db und eben nicht mehr in der alten key3.db. Die kennt Firefox so ja nicht mehr (ggf. nur noch zur Migration).

    Chromebook Lenovo IdeaPad Flex 5 - chromeOS 122 (Stable Channel) - Linux Debian Bookworm: Firefox ESR 115.8.0 und Firefox Nightly, Beta und Main Release (Mozilla PPA), Android 13: Firefox Nightly und Firefox (Main Release)

    Smartphone - Firefox Main Release, Firefox Nightly, Firefox Klar (Main Release)

  • Migration ist das eine und Downgrades das andere. Selbst wenn wir davon ausgehen, dass jemand zum Beispiel Firefox Stable und Firefox Beta parallel nutzt - vermutlich die meisten nutzen dafür keine getrennten Profile - ist das technisch gesehen ein Downgrade. Das ist also nicht nur bei Migrations-Problemen ein Thema. Und das ist übrigens auch ein denkbares Szenario, wie es hier im Forum immer wieder auftreten kann: Kannst du bitte testen, ob das Problem in der Beta-Version noch auftritt?

    Würde Firefox im Zuge der Migration die alte Datei löschen, bedeutet das in diesem Szenario: Der Nutzer startet die Beta-Version, es gibt ein neues Datenbank-Schema, die alte Datei wird von Firefox gelöscht. In Zukunft möchte der Nutzer wieder Firefox Stable nutzen. Ups: Alle Passwörter sind weg, denn die alte Version kann mit der neuen Datenbank noch nichts anfangen.

    Es ist aus Gründen der Datensicherheit also wichtig, die alten Dateien zumindest eine ganze Weile noch aufzuheben, zumindest bis man irgendwann sagt: Jetzt sind X Monate oder gar Jahre vergangen, jetzt müssen wir keine Rücksicht mehr nehmen. Wer jetzt Daten verliert, ist selbst Schuld. Aber mit sowas geht Mozilla nicht leichtfertig um. Und das ist gut so. Denn sämtliche Passwörter oder andere Daten wie Chronik oder Lesezeichen zu verlieren, kann richtig weh tun.

    Und selbstredend ist das keine Sicherheitslücke, schließlich lässt sich daraus kein Angriff konstruieren. Einem Angreifer wäre es egal, ob er auf die alte oder die neue Datenbank zugreift, denn wenn er eh schon Zugriff darauf hat, ist nichts dadurch gewonnen, dass die alte Datenbank gelöscht ist. Wenn es überhaupt eine Lücke wäre, dann eine Datenschutz-Lücke. Aber selbst diese Klassifizierung wäre zweifelhaft.

  • Genau, denn Downgradefall hatte ich ganz vergessen, danke :klasse: und was Datenschutz bzw. Datensicherheit angeht, so sollte ja auch jeder PC Benutzer sein eigenes Konto am PC haben und am besten auch sein eigenes Firefox Profil :)

    Chromebook Lenovo IdeaPad Flex 5 - chromeOS 122 (Stable Channel) - Linux Debian Bookworm: Firefox ESR 115.8.0 und Firefox Nightly, Beta und Main Release (Mozilla PPA), Android 13: Firefox Nightly und Firefox (Main Release)

    Smartphone - Firefox Main Release, Firefox Nightly, Firefox Klar (Main Release)


  • .. und am besten auch sein eigenes Firefox Profil :)


    Bzw. bei der Verwendung mehrerer Firefoxversionen auch eine entsprechende Anzahl Profile.. oder auch mehr, wenn man viel testet.. :)

  • Ich bleibe dabei.
    Wenn ich in FF auf "Gespeicherte Zugangsdaten" -> "Alle löschen" klicke, dann erwarte ich das alle pw gelöscht werden.

    Dabei interessiert mich nicht wo FF diese Daten ablegt.
    Ich will mich auch nicht darum kümmern müssen, ob vielleicht irgendein update der letzten Jahr zu einer Migration der Datenbank geführt hat.

    "Alle" meint ALLE. Punkt.


    Ich drücke den Knopf "Alle löschen", sehe das keine pw mehr gelistet werden und gehe davon aus, dass das Thema Daten(un)sicherheit erledigt ist.

    Dann bin ich verständlicherweise extrem frustriert, wenn ein externes tool mir zeigt, dass FF keineswegs das tut, was es sollte.

    In meinen Augen ist das eine saftige Sicherheitslücke, die zudem total einfach zu beheben wäre.

  • Eine (gewollte) Sicherheitslücken ist es, wenn du andere an dein Benutzerkonto lässt. Wenn andere darauf kein Zugriff haben, ist es doch eh Wurscht, wo, wie und warum Firefox Daten sichert bzw. abspeichert. Denn nur du, als Urheber der Daten hast dann darauf Zugriff. Ebenso können ja auch andere Browser die Lesezeichen sowie Passwörter importieren.

    Chromebook Lenovo IdeaPad Flex 5 - chromeOS 122 (Stable Channel) - Linux Debian Bookworm: Firefox ESR 115.8.0 und Firefox Nightly, Beta und Main Release (Mozilla PPA), Android 13: Firefox Nightly und Firefox (Main Release)

    Smartphone - Firefox Main Release, Firefox Nightly, Firefox Klar (Main Release)

  • In meinen Augen ist das eine saftige Sicherheitslücke, die zudem total einfach zu beheben wäre.

    Das Problem trifft keine mir bekannte Definition des Begriffes Sicherheitslücke. Wäre es eine, wäre Mozilla außerdem schon dafür von der gesamten IT-Presselandschaft zerrissen worden, dass sie das seit vielen, vielen Jahren so praktizieren und es in der Zeit diverse vergleichbare Szenarien gab. Fakt ist: Es stellte nie ein Problem für die Öffentlichkeit dar. Deine persönliche Meinung mag sein, dass du das doof findest. Der Begriff Sicherheitslücke ist aber faktisch falsch und nichts, worüber man eine Meinung haben muss - entweder es ist eine Sicherheitslücke oder es ist keine. Wenn Sicherheits-Experten, die davon definitiv mehr verstehen, dies nicht als Sicherheitslücke betrachten, muss man selbst das nicht als solche darstellen.

    Und was eine vermeintlich einfache Behebung angeht: Dir wurde bereits erklärt, warum es so ist, wie es ist. Die Datei naiv zu löschen kann also nicht die einfache Behebung sein. Wenn du schon meinst, bewerten zu können, dass die Lösung des Problems so einfach sei, dann teile diese einfache Lösung doch bitte Mozilla mit. Dann profitieren wir alle davon. Danke.