ความปลอดภัยเชิงรุกของ Mozilla - ผมชอบมาก!
อัปเดต: 19 ตุลาคม 2009
บทความนี้เกี่ยวกับการติดตั้ง browser plugins แบบเงียบๆ ไม่ได้ขอจาก Microsoft โดยเฉพาะ components .NET ลงใน Firefox อีกครั้ง และวิธีที่ Mozilla จัดการช่องโหว่ด้านความปลอดภัยในปลั๊กอินเหล่านี้อย่างเชิงรุก นอกจากนี้ ผมจะอธิบายว่าแต่ละปลั๊กอินทำอะไร และคุณสามารถทำอะไรได้บ้าง
เรียกผมว่าแฟนบอย ก็ได้ แต่มันสดชื่นเสมอเมื่อคุณเห็นบริษัทซอฟต์แวร์จัดการปัญหาความปลอดภัยที่เกี่ยวข้องกับผลิตภัณฑ์ของตนอย่างจริงจัง ความปลอดภัยออนไลน์เป็นหัวข้อน่าสนใจวันนี้ บ่อนทองของชื่อเสียงที่ heroes และ villains ของอินเทอร์เน็ตถูกหลอมขึ้น
ทีม Mozilla โดดเด่นในฝูงชน ด้วยแนวทางที่ aggressive และ proactive ต่อความปลอดภัย ในสัปดาห์ที่ผ่านมา Mozilla ได้เปิดตัวบริการใหม่ๆ ที่ช่วยทำให้ Firefox ของคุณดีขึ้น ปลอดภัยขึ้น
Plugin Check - รักษา plugins ให้ทันสมัย!
official link
Mozilla Plugin Check เป็นบริการสะดวกที่จะตรวจสอบ browser plugins ทั้งหมดของคุณ และบอกว่ามีอะไรเก่าเกินไป หรือมีช่องโหว่ด้านความปลอดภัยที่รู้จักแล้ว หากพบ บริการจะค้นหาอัปเดตและติดตั้งให้คุณ
บริการยังใหม่ และมีปัญหาการตรวจจับบางรายการ แต่จะแก้ได้เร็วๆ นี้
Plugin Check เริ่มต้นเป็นโครงการทดลอง เปิดตัวพร้อม Firefox update ล่าสุด หลัง restart browser ผู้ใช้ที่รัน Adobe Flash Player plugin เวอร์ชันเก่าที่มีช่องโหว่ จะไปหยุดที่หน้าที่บอกว่า Flash plugin เก่าเกินไป การตอบสนองจากสาธารณะเป็นอย่างยิ่งใหญ่ มีมากกว่า 10 ล้านการเยี่ยมชมเว็บไซต์ Adobe อัตราคลิกก็มหัศจรรย์ ประมาณ 30% ในขณะที่ banner messages ประเภทนี้มักได้แค่ 5% ไม่เพียงแต่การตรวจสอบง่ายๆ นี้ช่วย Firefox users หลายล้านคนได้ระดับความปลอดภัยสูงขึ้น มันยังแสดงแนวโน้มเชิงบวกของผู้ใช้ Firefox ต่อความปลอดภัย
ในอนาคต บริการนี้จะถูกรวมเข้าในเบราว์เซอร์ ดังนั้น นอกจาก browser และ add-on updates คุณจะยังมี automated, unattended plugin self-update ซึ่งควรเพิ่มความปลอดภัยของเบราว์เซอร์อีก โดยไม่ต้องพึ่งพาการโต้ตอบหรือวินัยของผู้ใช้ในการรักษา baseline ที่ทันสมัย
คุณยินดีไปที่หน้า Plugin Check และประเมินสถานะ plugin ของคุณ
Add-ons blocklist
official link
หากคุณอ่านบทความ .NET framework ของผม คุณจะรู้แล้วว่า บริษัทบุคคลที่สาม Microsoft ในกรณีนี้ ได้พยายามเพิ่ม plugins ของพวกเขาเข้า Firefox เป็นส่วนหนึ่งของประสบการณ์เว็บที่ "เพิ่มพูน" อย่างน่าสงสัย กล่าวคือ ไม่ได้แค่ติดตั้งแอปพลิเคชัน คุณยังได้ browser plugins สำหรับเทคโนโลยีออนไลน์ที่เกี่ยวข้อง ซึ่งคุณไม่ได้ขอ
Microsoft ได้แก้ไขปฏิบัติการบ้าง โดยทำให้ add-on ที่ถอนไม่ได้ กลายเป็นถอนได้ แต่ไม่เปลี่ยนข้อเท็จจริงว่า Firefox users ได้ browser ที่ถูก "pimp" ด้วย steroids ที่ไม่ได้ต้องการ สิ่งแย่ที่สุดคือ ส่วนใหญ่ของ add-ons เหล่านี้เต็มไปด้วยช่องโหว่ด้านความปลอดภัย ทำให้เบราว์เซอร์ดีของคุณกลายเป็น Swiss cheese
ดูเหมือนทีม Mozilla เหลื่อมลืมแล้ว มากจนพวกเขาพัฒนา Add-ons blocklist! Ta-dam! สิ่งที่เกิดคือ หากคุณพยายามติดตั้ง plugin ใดๆ ที่มีช่องโหว่ที่รู้จักและยังไม่ได้ patched มันจะถูก blocklisted - disabled by default เบราว์เซอร์ของคุณปลอดภัย ยอดเยี่ยมมาก
มาดู blocklist: หลักๆ คือ toolbars ไร้ประโยชน์บางอย่าง download managers บางอย่าง แม้แต่องค์ประกอบ anti-virus และ Microsoft .NET Framework Assistant
จริงๆ แล้ว หลังจากคุณติดตั้ง .NET 3.5SP1 และเปิด Firefox คุณจะได้ prompt นี้:
หรือ หากคุณมี plugins ที่กล่าวมาอยู่แล้ว คุณอาจเห็น popup บอกว่า vulnerable plugins ถูก disable เนื่องจากปัญหาเสถียรภาพหรือความปลอดภัย ณ จุดนี้ คุณแค่ต้อง restart Firefox และทำงานต่อได้ปกติ
ผมพอใจ
สิ่งนี้พบว่าถูกประสานงานกับ Microsoft และ plugins อาจถูก unblock แล้ว อาจ block และ unblock อีกในอนาคต แต่มันแสดงความคิดที่ถูกต้องและความมุ่งมั่นจริงจังต่อความปลอดภัยของผู้ใช้
ปลั๊กอินอื่นๆ
คุณอาจพบ Microsoft plugins อื่นๆ ในเบราว์เซอร์ของคุณ รวมถึง Microsoft DRM items คำถามใหญ่คือ สิ่งเหล่านี้สร้างปัญหาไหม และควร disable ไหม?
คุณควรอ่าน Mozilla knowledge base articlenี้
ปลั๊กอินเหล่านี้ทั้งหมดเกี่ยวข้องกับ Windows Media Player สอง DRM plugins และ Dynamic Library เป็น plugins มาตรฐาน Windows Media Player Firefox Plugin เป็นตัวใหม่ สำหรับ Windows OS และ Firefox browser เวอร์ชันใหม่กว่า
หากถามผม คุณสามารถ disable plugins เก่า legacy ได้อย่างปลอดภัย และดูว่ามันเป็นอย่างไร คุณควรไม่มีปัญหาเล่น Windows Media ภายในเบราว์เซอร์ แต่หากสังเกตว่าสูญเสียฟังก์ชัน คุณสามารถ restore ได้ สิ่งสำคัญที่สุดคือ คุณแน่นอนไม่ต้องการทั้งสอง ตัวเก่าเป็น legacy leftover และถูกแทนที่โดย plugin ใหม่ นอกจากนี้ 99.9% ของเนื้อหา media เป็น Flash ดังนั้นคุณอาจไม่พลาดอะไร
สรุป
ผมชอบแนวทางนี้จริงๆ มาก แทนที่จะรอผู้ใช้มาทะลุปราการด้วยไม้กวาดและไฟ Mozilla ก้าวหน้าสามขั้นพยายามคาดการณ์ความต้องการที่ลับหลอน เปลี่ยนแปลงของตลาดเบราว์เซอร์ที่วุ่นวาย เน้นความปลอดภัยมากโดยไม่ทำลายประสบการณ์ผู้ใช้ ซึ่งเห็นได้จากบริการหลายอย่างที่ใช้และสร้างขึ้น เพื่อให้การใช้งาน Firefox ราบรื่นที่สุด
นอกจากนี้ นี่คือแนวทางที่ถูกต้องต่อปัญหาที่จริงจัง หากเบราว์เซอร์ของคุณถูก compromise คนจะไม่ไปร้องเรียนที่ plugin vendors พวกเขาจะรู้แค่ว่าเบราว์เซอร์ของพวกเขาถูก compromise และจบ Mozilla ไม่สามารถปล่อยให้สิ่งนี้เกิดขึ้นได้ ซึ่งเป็นเหตุผลที่พวกเขาควบคุมลูกของพวกเขาอย่างเข้มงวด
ด้วย Plugin Check และ Add-on Blocklist ความปลอดภัยของ Firefox เพิ่งกระโดดสูงขึ้นสองระดับ นี่เป็นข่าวดีสำหรับแฟน Firefox ที่รักความปลอดภัย
Cheers.
