Mozilla patcht privacy-lek in Firefox
Mozilla dicht binnenkort een oud privacy-lek in Firefox, waar ook andere browsers mee te maken hebben. "We zijn zeer opgewonden over deze oplossing, we hopen dat andere browsers zullen volgen." Het gaat om het beruchte CSS-lek, waardoor websites kunnen achterhalen welke websites bezoekers bezocht hebben. "Een lastig probleem om op te lossen", aldus Mozilla.
Opmaak
Een eenvoudige oplossing was het uitschakelen van verschillende linkstijlen voor bezochte en nog niet bezochte links, maar dat zou ten koste van de bruikbaarheid gaan, omdat gebruikers dan niet meer kunnen zien op welke links ze geklikt hebben. David Baron ontwikkelde een oplossing die de gegevens van gebruikers beschermt, zonder dat dit veel effect op het web heeft. Deze oplossing gaat Mozilla doorvoeren.
Dat betekent een beperking in de opmaak van bezochte en niet bezochte links. Alleen verschillende kleuren, voorgrond, achtergrond, outline, rand, SVG stroke en fill color worden toegestaan. Alle andere stijlaanpassingen zijn mogelijk om bezochte links te identificeren.
Aanval
Voor de meeste gebruikers zal de aanpassing onopgemerkt blijven, hoewel een aantal websites er mogelijk iets anders uitziet, zo waarschuwt Mozilla. Het gaat dan met name om de kleur van al bezochte links. In sommige gevallen kan dit ervoor zorgen dat de website misschien stuk lijkt. Vanwege de impact van de aanval is dit volgens Mozilla de juiste afweging om te maken. "We moeten realistisch blijven, er zijn veel manieren waarop browsers informatie over je lekken en het verhelpen van CSS history sniffing zal dit niet allemaal voorkomen."
Balans
Het is de opensource-ontwikkelaar voornamelijk om de ergste CSS-aanvallen te doen. Wie zich over de rest zorgen maakt, moet upgraden naar Firefox 3.5 of 3.6. Daarin bestaat de optie om "visited styling" uit te schakelen, waardoor ook de aanval niet meer werkt. "Privacy is geen feature die je eenvoudig aan een browser kunt toevoegen, en vaak gaat het ten koste van gebruik. We denken nu een oplossing te hebben gevonden voor webontwikkelaars die ook een veiligere ervaring voor gebruikers op het web biedt."
Vooral chrome, wie gebruikt dat nou, haha
Ik gebruik FF 3.6.2, maar ik kan die optie toch echt nergens vinden. Iemand die dit wel weet?
"If the remaining attacks worry you, or you can’t wait for us to ship this fix, version 3.5 and newer versions of Firefox already allow you to disable all visited styling (immediately stops this attack) by setting the layout.css.visited_links_enabled option in about:config to false. While this will plug the history leak, you’ll no longer see any visited styling anywhere."
http://blog.mozilla.com/security/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
