Firefox stuurde zonder toestemming crashrapporten naar Mozilla
Firefox heeft negen maanden lang zonder toestemming van gebruikers crashrapporten naar Mozilla gestuurd, zo heeft de browserontwikkelaar laten weten. In het geval Firefox crasht kan de browser informatie over het probleem naar Mozilla sturen, zodat eventuele bugs kunnen worden verholpen.
Standaard zal Firefox gebruikers toestemming vragen om de crashrapporten te versturen. Crashrapporten kunnen namelijk gevoelige en persoonlijke informatie bevatten. Het gaat dan bijvoorbeeld om geopende tabs en de geheugeninhoud van Firefox. Met de lancering van Firefox 52 op 7 maart van dit jaar werd er een bug in de browser geïntroduceerd die ervoor zorgde dat crashrapporten zonder toestemming van de gebruiker werden verstuurd. De bug is deze week via Firefox 57.0.3 verholpen.
Mozilla laat weten dat het niet kan zien welke gebruikers toestemming hebben gegeven voor het versturen van crashrapporten en welke niet. "Hoewel we het crashrapportagesysteem hebben ontwikkeld zodat het lastig naar individuen te herleiden is, moeten we er bewust van zijn dat crashdumps de inhoud van de crashende tab kunnen bevatten. In geringe aantallen kan het om privé of identificerende informatie gaan", zegt Mozilla's Chris Lonnen. Mozilla heeft daarom besloten alle toegestuurde data te verwijderen. Updaten naar Firefox 57.0.3 kan via de automatische updatefunctie of Mozilla.org.
Nee, jij geeft te denken.
Probeer maar eens uit te leggen waarom het niet toevallig is, maar dan zonder de woorden "zij" of "mozilla" te gebruiken. Probeer het eens met "ik".
Hoezo ? Dat een bug de oorzaak is van het sturen van reports zonder expliciete toestemming van de gebruiker en dat die bug niet met opzet is gemaakt is aannemelijk en plausibel. Het omgekeerde, dat de bug intentioneel is, is daarentegen zeer onaannemelijk.
Het is in ieder geval niet goed dat zoiets niet in een ula dan wel service beschrijving staat. Nu geeft Mozilla zelf toe dat ze niet kunnen uitsluiten dat in een dump persoonlijke data per ongeluk mee komt. Dat is helaas achteraf.
Hierboven staat wat anders. In een crashrapport kan altijd persoonlijke data staan. punt. Door deze bug hebben ze echter crashrapporten van mensen die wel en niet toestemming gegeven hebben. Dit kunnen ze niet onderscheiden, dus gooien ze maar alle rapporten weg. Volgens mij hebben rapporten al snel geen waarde meer als er veel aan de code verbeterd is. Dus dat weggooien zal hen niet erg zeer doen.
Hierboven staat wat anders. In een crashrapport kan altijd persoonlijke data staan. punt.
Dat ze het gewoonlijk oplossen via een popup voor het versturen is een technische invulling. Helaas foutgevoelig.
Fouten oplossen in software zou niet nodig zijn als alles perfect zou zijn. Praktisch is dat ideaal onmogelijk gebleken dus telemetry en calling home is iets wat er bij hoort voor de consumentenmarkt.
Verschillen we ergens van inzicht?
Je onderschat dat zowel in de Open- alswel Closed Source Software Development sector allemaal mensen werkzaam zijn die, al of niet sterk beïnvloed door verplicht of uit eigen initiatief marktgericht denken, niet alleen slim maar ook sluw kunnen zijn. Beide eigenschappen zijn de mens niet vreemd. sterker nog: een absolute voorwaarde tot evolutie/progressie.
Voorbeeld:
(a.u.b. niet aangrijpen om over Operatings Systems te gaan bakkelijen! Ik gebruik het slechts als voorbeeld:)
De "bug" in het dialoogscherm van een naderende upgrade naar Windows 10 die indien je op de close button klikte toch een ugrade naar Windows 10 veroorzaakte, was natuurlijk géén bug maar vanzelfsprekend - in je woorden - intentioneel.
https://www.extremetech.com/extreme/229040-microsofts-latest-trick-clicking-x-to-dismiss-windows-10-upgrade-doesnt-stop-upgrade-process
Net als slim zijn is sluw een uiting van intelligentie en veroorzaakt deze verandering, of zo je wilt vooruitgang; hoe vreemd dit ook mag klinken in de oren van onbaatzuchtige mensen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
