Mozilla: verwijderen FTP-support brengt volledig veilig web dichterbij
Vorige week lanceerde Mozilla Firefox 90, waarmee de ondersteuning van het FTP-protocol in de browser volledig werd verwijderd. Het is niet meer mogelijk om vanuit de browser verbinding met een FTP-server te maken. Ook andere browsers hebben aangegeven de support van FTP te zullen stoppen. Volgens Mozilla brengt dit een volledig veilig web dichterbij.
Het grootste probleem met FTP is dat data onversleuteld wordt uitgewisseld, waardoor aanvallers het kunnen onderscheppen en aanpassen. Daarnaast vinden er volgens Mozilla ook aanvallen plaats waarbij FTP wordt gebruikt om malware op de systemen van gebruikers te downloaden of compromitteren aanvallers FTP-servers om daarvandaan malware te verspreiden.
"Het verwijderen van FTP brengt ons dichterbij een volledig veilig web dat alleen HTTPS gebruikt", zegt Christoph Kerschbaumer van Mozilla. Naast FTP is Mozilla ook van plan om de ondersteuning van het HTTP-procotol uit te faseren. Wanneer dit echter zal plaatsvinden is nog onbekend. Het plan hiervoor werd al meer dan zes jaar geleden aangekondigd.
Zodat malware voortaan alleen nog over HTTPS kan worden gedownload. Extra veilig want dan kan het ook niet meer
herkend worden in netwerk virus scanners die op een veilige manier werken. Grote stap dus, Mozilla!
En dan download je FileZilla omdat je toch nog ergens FTP voor nodig hebt en krijg je meteen een sloot potentially unwanted programs (PUPS) mee.
Mozilla heeft last van TLS-fetisj..
Omdat er bij de markup language geen JavaScript om de hoek komt kijken, de pagina's standaard over TLS lopen, en de Hypertext gelimiteerd is tot de tekstuele content(los van links naar media).
Ehm, hoe ga ik dan m'n localhost testjes draaien?
Voor zover ik weet kan ik geen HTTP/2 draaien
zonder TLS.
Zo zullen er ook genoeg legale sites zijn, die HTTP gebruiken. Moet je daarom niet richting een veiliger web ? Die sites passen zich verder echt wel aan.
Ik heb laatst nog een tijd met https verplicht gesurft, maar het aantal sites met een ongeldig certificaat of helemaal geen https is nog veel te hoog.
Dat kan nog altijd prima met sftp, het zijn de oude formaten die ze uitfaseren.
Een veilig web zou zijn:
* een web waar alle verbindingen veilig zouden zijn (dat komt nu dichterbij)
* een web waar phishing niet bestaat (wordt nu niets aan gedaan)
* een web waar websites zijn wie ze claimen te zijn (wordt nu niets aan gedaan)
* een web waar geen kwetsbaarheden in zitten (wordt nu niets aan gedaan)
Oftwel, en niet meer dan dat:
Mozilla: verwijderen FTP-support haalt weer een onveilig verbindingsprotocol weg
Het gevaar is voor de gebruiker, die kan slachtoffer worden van man-in-the-middle aanvallen. Een MitM aanvaller kan zonder encryptie eenvoudig een download vervangen door malware. Daar zijn de aanvallers heel blij mee.
.-~~~~~-.
.' `.
| R I P |
| |
| FTP |
| ~~~ |
| Telnet |
\| |//
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
"Is er straks voor HTTP nog wel plaats over?"
"Is er straks voor HTTP nog wel plaats over?"
Nee, wel voor HTTPS.
Ehm, hoe ga ik dan m'n localhost testjes draaien?
Voor zover ik weet kan ik geen HTTP/2 draaien
zonder TLS.
Wat als je getrackt en gemonitord wordt op veilige(r) manier, toch blijft er iets gebeuren, dat jij wellicht niet wenst?
Dat is veilig voor degenen, die jou het product willen laten blijven, niet voor het "product" zelf, jij en ik.
HTTPS zou veiliger zijn, indien juist die aspecten ervan transparant te controleren vielen.
ik weet niet welke dope hij gebruikte, maar proberen wil ik het niet.
http://ftp.nluug.nl/os/Linux/distr/
Welke spyware?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
