Mozilla patcht Firefox wegens verkeerde icoontje bij SSL-sites
Tien dagen na het uitkomen van Firefox 32 heeft Mozilla een update uitgebracht die verschillende problemen verhelpt, waaronder het weergeven van het verkeerde icoontje bij sommige websites die SSL-gebruiken. Normaliter geeft Firefox een slotje in de adresbalk weer als een website SSL gebruikt.
Zo weten gebruikers dat het verkeer dat ze met de website uitwisselen versleuteld is. Door een bug gaf Firefox 32 echter bij sommige websites die SSL-gebruiken het "mixed content" icoontje weer. Dit icoontje geeft aan dat er op een met SSL-beveiligde website ook onversleutelde HTTP-content wordt aangeboden, wat een potentieel beveiligingsrisico kan zijn. Firefox gebruikt hiervoor een apart icoon om gebruikers te waarschuwen. In dit geval werd bij sommige sites het mixed content-icoon onterecht weergegeven.
Verder verhelpt Firefox 32.0.1 stabiliteitsproblemen die zich konden voordoen bij computers met meerdere videokaarten en is er een probleem met WebRTC opgelost. Updaten naar Firefox 32.0.1 gebeurt automatisch via de browser of kan handmatig via Mozilla.org worden gedaan.
Changed - Removed and turned off trust bit for some 1024-bit root certificates https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/NSS_3.16.3_release_notes#Notable_Changes_in_NSS_3.16.3
en dat klopt niet, want terwijl ik nog versie 32.0 draai en als URL intik: about:support [1] zie ik dat ik al NSS versie 3.16.4 heb. De volgende link blijkt inderdaad te bestaan: https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/NSS_3.16.4_release_notes.
In die pagina staat onder meer dat een eerder uitgeschakeld 1024bit certificaat "GTE CyberTrust Global Root" weer is ingeschakeld. Hmm.
Van de release notes van Firefox 32.0.1 is mij niet duidelijk wat al gold voor 32.0 en wat echt nieuw is in 32.0.1. Iemand?
[1] Meer about: URL's vind je in http://kb.mozillazine.org/About_protocol_links
Op de site van Mozilla.org kan je wel vinden wat er precies is verbeterd.
Dat weet ik ook niet 123 uit mijn hoofd op te sommen.
Maar volgens mij is hij op OSX wat ik gebruik,want ik heb 2 mac's een stuk stabieler.
Hoe deze update onder Linux en Windows werkt,weet ik niet.
Dat moeten de gebruikers van deze 2 besturingssystemen maar vertellen.
Met Linux Ubuntu krijg je een indicatie van 'Updatebeheer'.
Voor details kan je op "Bijzonderheden van updates" klikken, en dan kan je exact zien wat de update inhoud.
Voor mij werkt Firefox al 4 jaar probleemloos. (: (sinds de overstap)
Opmerkelijk genoeg geldt de 'bug' niet voor de laatste ESR versies, daarvan zijn de laatste de 24.8.0esr en de 31.1.0esr release.
https://ftp.mozilla.org/pub/mozilla.org/firefox/releases/
Safari TIP
Wat betreft mixed content,
dat is wel zo maar je kan het een klein beetje opvangen.
Met een voorkeur instelling aangeven in Safari als het gaat om formulieren.
• Safari > Voorkeuren > Security > [ ? ] Ask before sending a non-secure form from a secure website.
En met een extra JavaScript managing extensie
• NoScript JavaScript manager extensie variant voor Safari installeren : JavaScript Blocker
Rules : "Block insecure resources on secure websites"
Vele andere interessante security opties te vinden onder de voorkeuren van deze uitgebreide addon.
https://extensions.apple.com/
Zoeken op JavaScript Blocker en natuurlijk erover lezen, besluiten, installeren, instellen, uitproberen.
• Uitproberen en testen :
waarschuwing, niet iets wat je even doet, je moet het leren en ook de extensie zelf zal moeten groeien door gebruik middels het opbouwen van site voorkeuren van meest bezochte sites.
Net zoals met Noscript heeft het een leercurve en vraagt het om enige tijdsinvestering van de gebruiker.
Wat je ervoor terug kan krijgen is meer veiligheid en meer privacy en inderdaad lever je dan iets in op gebruikersgemak en comfort
(net zoals altijd de tijd nemen je fiets op slot te moeten zetten, maar dan anders)
;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
