Ontwikkelaar: Firefox NoScript geen beveiligingsrisico
De ontwikkelaar van de populaire Firefox-extensie NoScript, Giorgio Maone, stelt dat zijn creatie geen beveiligingsrisico is en hekelt een nieuwsbericht waarin het tegenovergestelde wordt beweerd. Aanleiding voor het bericht is recent gepubliceerd beveiligingsonderzoek naar Firefox-extensies en add-ons.
Daaruit blijkt dat een kwaadaardige add-on, die door Mozilla is goedgekeurd en door de gebruiker zelf is geïnstalleerd, andere geïnstalleerde add-ons voor malafide doeleinden kan gebruiken om zo zelf onopgemerkt te blijven. De onderzoekers ontdekten dat onder andere NoScript door zo'n kwaadaardige add-on kan worden gebruikt. Firefox NoScript is een populaire uitbreiding die allerlei scripts op pagina's blokkeert, wat tracking en drive by download-aanvallen kan voorkomen. Veel beveiligingsexperts adviseren de extensie dan ook.
Website Digital Trends berichtte over het onderzoek en stelde dat populaire extensies zoals NoScript de computer kwetsbaar voor malware en beveiligingslekken maken. "Je kunt ook zeggen dat je Microsoft Office moet verwijderen omdat je morgen een virus kunt installeren dat de automatiseringsinterface van Word gebruikt om zichzelf te verspreiden", aldus Maone. "Het is sensatie en een FUD-verhaal, dat op zo'n onzorgvuldige wijze wordt verslagen dat het nu zeer moeilijk is om de perceptie van gebruikers te veranderen."
Maone is ook teleurgesteld in de reactie van Mozilla-topman Nick Nguyen, die het verhaal niet ontkracht maar bevestigt en gebruikt om het nieuwe extensiemodel van Firefox aan te prijzen. Het nieuwe extensiemodel is volgens Maone beter maar kan kwaadaardige intenties in een add-on niet voorkomen. "Alleen het getrainde oog van iemand die de code controleert kan het risico wegnemen en dat zorgt ervoor dat addons.mozilla.org zoveel beter is dan andere 'marktplaatsen', ook al is er ruimte voor verbetering", besluit de NoScript-ontwikkelaar.
Maar dat geldt voor vrijwel alle security verhalen! Het is nou eenmaal leuk om een kwetsbaarheid aan het licht te brengen,
sommige mensen kicken hier echt op zeker als het een bekend product betreft, zelfs als die kwetsbaarheid in de praktijk
niet echt wat voorstelt.
Wat ik ernstiger vind is dat de ontwikkelaar stelt dat zijn product "geen beveiligingsrisico is". Dat is een bewering die
zacht als boter is en zomaar van de ene op de andere dat totaal onwaar kan blijken te zijn. Dat kun je als ontwikkelaar
beter niet zeggen.
Voor mij is Noscript onmisbaar om zelf de controle over mijn browser te houden. Het komt de industrie niet goed uit omdat zij geen vrij spel meer hebben en diegene die onze vrijheid in dit zouden moeten verdedigen als grote speler zijn vaak te afhankelijk van die industrie.
Dan zal het duidelijk zijn waar het probleem ligt: Bij FF die geen waterdichte sandbox heeft.
En Mozilla-topman Nick Nguyen doet wat veel topmannen doen: recht praten wat scheef is. Het was beter geweest als deze persoon uit eigen beweging op deze zwakte in zijn produkt had gewezen.
Zo komt het op mij over:
Onderzoekers: NoScript heeft een ernstig probleem!
Maone: Doe verdorie niet zo dramatisch, wat jullie aankaarten is lang niet zo erg als jullie het voorstellen.
Security.nl: Maone stelt dat NoScript probleemvrij is.
Jammer, want zo heeft niemand daar wat aan.
Overigens naast uMatrix en met een goed adblocker vindt ik script-blocking nog de beste vorm van in-browser-beveiliging.
Maar malware script detector userscript van d0ubl3_h3lix http ://yehg.net draaien in de browser via Tampermonkey is ook een goed beveiligingsidee, lees: http://www.slideshare.net/guest31a5be/introducing-malware-script-detector
Heb nog al eens wat aanvalscode en xss scriptjes ermee gedetecteerd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
