Jak je to s bezpečností u prohlížeče Firefox

Vladimír Stwora

11.2.2005 Technická poradna Témata: Technika 841 slov

Včera jsem uveřejnil v rubrice Ve zkratce zprávičku o tom, že prohlížeč Firefox má nějaké problémy s bezpečností. Přiznávám, spěchal jsem, takže jsem nad formulacemi příliš nepřemýšlel. Rovněž jsem se pokoušel vměstnat poměrně složité vysvětlení (jak uvidíte vzápětí) do několika vět srozumitelných pro laiky.

V průběhu dne mi napsalo několik lidí, že to není tak úplně přesné. Uveřejňuji jeden z dopisů v plném znění. Protože ale nemám povolení jeho pisatele, jméno zamlčím. Myslím, že to na kvalitě vysvětlení nic nezmění.

Je to pro laiky technicky dosti náročný text, ale domnívám se, že je asi nutné uvést jej přesně.

Zdravím, několik detailů, protože to, čeho se dopouštíte už málem hranici s FUDem:

Dánská firma Secunia v minulých dnech varovala, že Firefox (stejně, jako prohlížeče Safari či Opera a Konqueror, v podstatě všechny, které používají jádro Open Source Gecko)...

Opera nepoužívá jádro "Open Source Gecko" (ani jádro Gecko, jak se ve skutečnosti jmenuje, i když vím, že to nezní tak úderně) a není s ním vůbec žádným způsobem provázaná. Postiženy jsou prohlížeče podporující a správně (ano, na slově SPRÁVNĚ je důraz) implementující PUNYCODE a s Gecko rendererem jako takovým to nemá žádnou souvislost.

...není schopen správně identifikovat SSL certifikát...

Zmíněná chyba se vůbec netýká identifikace certifikátů, identifikace certifikátů proběhne správné a korektně, k čemuž se dostanu za chvíli.

Hackeři mohou registrovat domenové jméno obsahující určité znaky a předstírat, že jsou legitimní stránkou někoho jiného.

Ano, popis chyby pro typického hamburgerového Joe. Hlavně co nejvíc FUDu, vyděsit, zmást, doplnit slovíčka jako hackeři a ukrást a máme vymalováno, lidi mají paniku rádi. O skutečném problémů naopak neříct ani slovo, stejně by to nikdo nepochopil, že?

Chyba se netýká prohlížeče MS IE.

Ano, protože zmíněný standard MS IE vůbec nepodporuje. S dodatečným pluginem, který je pro přístup na lokalizované domény nutný, se chyba týká rovněž i MS IE.

A pokud by vás náhodou zajímalo, o čem problém skutečně je, když už tedy mezi vypouštěním zpráv na úrovni Blesku nemáte tolik času na studium pozadí problému, tak ve stručnosti - nejedná se o chybu žádného ze zmíněných prohlížečů, jedna se o feature (výbavu, funkci, pozn. vydavatele). Třeba Opera se už vyjádřila, že o problému vědí a nebudou s tím vůbec nic dělat, protože jejich implementace je přesně podle specifikace a nic se s tím ani udělat nedá. Leda změnit samotnou specifikaci.

Jde o name resolution domén v jiných znakových sadách než ASCII, de-facto obejití limitu DNS (hodně nerozumné obejití). Systém se jmenuje IDN a problém nastává ve chvíli, kdy nějaký znak v jiné znakové sadě vypadá úplně stejně jako znak na jiné pozici v jiné znakové sadě. Chyba pak byla demonstrována s registraci falešné domény paypal.com, kde znak na pozici prvního a byl úplně jiný charakter v cyrilice, tudíž se legitimně jednalo o jinou doménu než paypal.com ve znakové sadě ASCII. Jediný problém byl v tom, že zmíněný znak vypadá úplně stejně jako a v ASCII, přitom se o a nejedná. V prohlížečích není vůbec žádná díra a ověření SSL certifikátů proběhne správné, protože ověřujete certifikát pro úplně jinou doménu, než si myslíte. Paradoxně, kdybyste porovnal skutečný certifikát z paypal.com a paypal.com, přijdete na to hned, protože rozdíl mezi certifikáty (jiná data, vydavatel, etc) bude víc než zřejmý. Co se týče opravy, jak v článku uvádíte, žádná oprava se v CVS nenachází a nacházet nebude, protože zatím nikdo nepřišel na to, jak tuto věc řešit. Standartním postupem v Gecko browserech je jít do configu a změnit hodnotu

network.enableIDN = true

na

network.enableIDN = false

čímž se zabrání resolvingu (dohledání IP adresy ke jménu, pozn. vydavatele) lokalizovaných domén, tedy se vypne podpora pro tento standard.

Tak a ani to nebolelo, snad jenom.. Je skutečně nutné, dělat že Zvědavce další Blesk?

Doplnění vydavatele

Děkuji autorovi dopisu za vysvětlení.

Rád bych ještě upřesnil ty opravy v CVS, když už jsme to nakousli. CVS je zkratka pro Concurrent Versions System a je to nástroj pro vývojáře umožňující udržovat jednotlivé verze zdrojových kódů pro aplikaci, na které pracují. CVS adresář bývá přístupný přes internet, díky tomu mohou na jednotlivých modulech pracovat lidé na různých místech světa. Pomocí CVS lze právě opravovaný modul "uzamknout" po dobu úprav a / nebo sloučit změny vložené několika vývojáři. Kdo chce mít nejposlednější verze nějaké aplikace, a to ještě předtím, než byly změny řádně otestovány a vydány jako ucelený balíček, může si přes CVS stáhnout pracovní verzi - často o všem s neodladěnými chybami.

Napsal-li jsem, že opravený Firefox je k dispozici na CVS, týkalo se to opravených dalších chyb, nikoliv té, která vlastně chybou není, jak bylo právě vysvětleno. Stále ještě zbývají tři další. Pro případného zájemce by to ovšem znamenalo zkompilovat si zdrojový text sám, což vyžaduje jistou zkušenost. Rozhodně to není cesta pro běžné uživatelé internetu. Předpokládám, že nová verze Firefox s opravenými chybami se objeví v nejbližší době.

Známka 1.0 (hodnotilo 1)

Oznámkujte kvalitu článku jako ve škole
(1-výborný, 5-hrozný)

1  2  3  4  5 

Gesto pro nezávislost

44

Darováním zajistíte přežití nedotovaného redakčního prostoru, daleko od finančních a politických tlaků. Je to více, než pouhá podpora webu, je to závazek k pravdě a svobodě informací.

Za měsíc červen přispělo 75 čtenářů částkou 15 267 korun, což je 44 % měsíčních nákladů provozu Zvědavce.

Bankovní spojení: 2000368066/2010

IBAN: CZ4720100000002000368066
Ze Slovenska 2000368066/8330
IBAN: SK5883300000002000368066
BIC/SWIFT: FIOBCZPPXXX

[PayPal]

Bitcoin:
bc1q40mwpus89teua4ruhxrtal6v45lc3ye5a9ttud

Další možnosti platby ›

Ve zkratce

Trump odmítá jakékoli plány na svržení moci v Íránu24.06.25 20:30 USA 0

Putin: Rusko zahájilo sériovou výrobu hypersonické rakety „Orešnik“24.06.25 20:20 Rusko 0

„Buď nám vládnou úplní idioti, nebo zloději (spíše to druhé)24.06.25 15:47 Česká republika 0

Čísla, která vás praští do očí. Ševčík spočítal, kolik dostávají Ukrajinci24.06.25 14:30 Česká republika 0

Pavel podepsal změny pro celníky i snížení důchodů komunistickým aparátčíkům24.06.25 14:24 Česká republika 0

Trump oznámil příměří mezi Izraelem a Íránem. Konflikt označil za „dvanáctidenní válku“24.06.25 05:57 USA 1

Nadměrnou úmrtnost během „pandemie“ covidu poháněla medicínská tyranie, ne virus23.06.25 20:51 Neurčeno 2

Před 84 lety mezinárodní koalice přepadla Sovětský Svaz23.06.25 20:40 Neurčeno 2

Umělá inteligence rozjela zlatou éru kyberzločinu23.06.25 20:27 Neurčeno 0

Paní Decroix by měla podat demisi23.06.25 11:57 Česká republika 0

Iščenko: Bombardování Íránu Američany cíle nedosáhlo: USA a Izrael budou nuceny nasadit speciální jednotky23.06.25 09:52 Írán 0

Země NATO odsouhlasily prohlášení navyšující obranné výdaje na 5 procent23.06.25 05:38 Neurčeno 4

Scott Ritter: Bombardování jaderných zařízení v Íránu byl velkolepý divadelní akt ze strany USA (video, česky, 05:29)22.06.25 20:36 USA 3

Německo vyzývá Írán, aby „okamžitě“ zahájil jednání se Spojenými státy22.06.25 20:07 Německo 0

Íránský parlamnt odhlasoval uzavření Hormuzského průlivu, rozhodnout musí Chameneí22.06.25 18:12 Írán 3

Husíové hrozí oficiálním vstupem do války. A Írán má jasno, kam by měla dopadnout odveta proti USA22.06.25 16:58 Írán 0

Američané zaútočili na Írán a shodili 6 bomb na ničení bunkrů na jaderná zařízení22.06.25 09:48 Írán 7

Zemětřesení poblíž íránské jaderné elektrárny: Přírodní událost nebo skrytý test?21.06.25 19:12 Írán 1

Čínské válečné lodě pro elektronický boj rozmístěny v Perském zálivu pomáhají Íráncům21.06.25 17:13 Neurčeno 0

Rakousko začíná zatýkat rodiče, kteří nesouhlasí se změnou pohlaví u svých dětí21.06.25 15:47 Rakousko 0

Měnové kurzy

USD
21,32 Kč
Euro
24,78 Kč
Libra
29,06 Kč
Kanadský dolar
15,53 Kč
Australský dolar
13,87 Kč
Švýcarský frank
26,50 Kč
100 japonských jenů
14,73 Kč
Čínský juan
2,97 Kč
Polský zloty
5,83 Kč
100 maď. forintů
6,17 Kč
Ukrajinská hřivna
0,51 Kč
100 rublů
27,20 Kč
1 unce (31,1g) zlata
70 717,60 Kč
1 unce stříbra
764,57 Kč
Bitcoin
2 251 179,47 Kč

Poslední aktualizace: 24.6.2025 21:00 SEČ

Tuto stránku navštívilo 15 710