Новости Firefox Опции

[hook]

Mozilla выпустила свой рейтинг конфиденциальности гаджетов. Чем он может быть интересен для Вас?



Как уже не раз писали ранее, многие подключенные к Интернету устройства не так безопасны, как им бы следовало быть. Некоторые из них собирают персональные данные и передают их третьим лицам, при этом они не всегда сообщают вам о том, что делают.
Именно по этой причине новый отчет Mozilla о конфиденциальности устройств под названием * privacy not included report должен представлять повышенный интерес. Исследователи в области безопасности проанализировали несколько популярных устройств и оценили, насколько они безопасны, и можно ли им доверять свои персональные данные. Эти устройства, несомненно, очень популярны среди новогодних и рождественских подарков, а потому мы надеемся, что вам будет интересно ознакомиться с результатами этого исследования.
Каждое устройство оценивалось по 4 ключевым направлениям для оценки того, является ли устройство «ужасным» с точки зрения конфиденциальности данных или нет:
Может ли оно шпионить за вами? Имеет ли владелец устройства полный контроль над камерой, микрофоном и данными о своем местоположении.
Что устройство знает о вас? Передает ли оно ваши данные третьим лицам? Шифруются ли данные при передаче?
Можете ли вы контролировать устройство? Можно ли изменить пароль или удалить данные, которое оно собирает?
Беспокоится ли производитель о пользователе? Регулярно ли он предоставляет обновления безопасности? Какова поддержка клиентов?
Вероятно, что процесс оценки более сложный, но успешно пройдя все четыре теста, устройство получает от Mozilla награду “Minimum Security Standards”, гарантирующую наличие минимально необходимых стандартов безопасности.
«Умные» колонки и игровые консоли показывают хорошие результаты
Согласно отчету, «умные» колонки всех основных производителей (Amazon Echo, Google Home, Apple HomePod, Sonos One) получили очень высокие оценки, причем большинство из них смогли получить награду. То же самое касается и большинства популярных игровых приставок – Nintendo Switch, Sony PlayStation 4 и Microsoft Xbox One.
Впрочем, другие подключенные устройства не так хороши. На игрушке Evo Robot можно заблокировать камеру, микрофон и данные о местоположении, но при этом она может передавать ваши персональные данные третьим лицам без видимых на то причин. Всегда популярный Nest Thermostat также не смог получить награду, провалив тест «Может ли устройство шпионить за мной».
Отчет Mozilla показывает, как сложно сделать подключенное к Интернету устройство с правильным уровнем безопасности и как некоторые производители искажают правила доступа к информации, которую вы хотели бы сохранить в тайне.
Что это значит для вас?
Отчет * privacy not included report в настоящий момент содержит список всего из 74 устройств, поэтому он далек от абсолютной полноты картины. Вполне возможно, что многие имеющиеся у вас устройства не представлены в нем и не оценены. Но все же отчет является весьма полезным и наглядным.
Когда в следующий раз вы захотите купить подключенное устройство, вы можете использовать результаты тестов Mozilla, чтобы проверить, какое устройство является более безопасным и менее «жутким». Задайте себе, например, такие вопросы:

Могу ли я заблокировать доступ к камере, микрофону и данным о местоположении?
Могу ли я изменить пароль на устройстве, заданный по умолчанию?
Передает ли устройство/приложение мои данные третьим лицам?
Насколько регулярно устройство обновляется патчами безопасности?
Могу ли я удалить данные, собранные устройством и хранящиеся на нем?
Ответив на эти вопросы, вы сможете выбрать подходящее устройство и повысить безопасность ваших персональных данных.

Чтобы подробнее узнать о подключенных к Интернету устройствах и безопасности, пожалуйста, смотрите другие статьи в блоге Panda Security

Оригинал статьи:

Mozilla releases their gadget “creepiness” ratings – what do they mean for you?

securitylab.ru

[hook]

Продемонстрирован способ хищения файлов через 17-летнюю уязвимость в Firefox



Атака эксплуатирует реализованный в Firefox механизм Same Origin Policy. Независимый эксперт Барак Тавили (Barak Tawily) продемонстрировал, как злоумышленники могут получить доступ к файлам на компьютере с помощью вредоносного HTML-файла и известной уязвимости в браузере Firefox. Атака эксплуатирует реализованный в Firefox механизм Same Origin Policy (политика единого происхождения, SOP) для схемы URI "file://", позволяющий любому файлу в папке на системе получить доступ к другим файлам в той же папке и подпапках. Поскольку точного определения SOP для схемы URI File в документации RFC нет, производители браузеров и программного обеспечения по-разному реализуют ее в своих продуктах. По словам Тавили, Firefox – единственный из основных браузеров, в котором до сих пор используется ненадежная реализация SOP для схемы URI File, а также Fetch API. Как видно в видео ниже, с помощью комбинации кликджекинга и бага «переключения контекста» эксперту удалось получить список файлов, расположенных в той же папке, куда был загружен вредоносный HTML файл, прочитать контент определенных или всех файлов с помощью Fetch API и отправить собранные данные на удаленный сервер. Для успешной атаки злоумышленнику потребуется убедить жертву загрузить и открыть вредоносный HTML-файл в браузере Firefox и кликнуть на фальшивую кнопку. Вся вредоносная деятельность происходит незаметно для пользователя, а сама атака занимает секунды. Тавили сообщил о проблеме инженерам Mozilla, однако в компании заявили, что ее реализация SOP разрешает любому file:// URL получить доступ к файлам в тех же папках и подпапках. Судя по всему, Mozilla не намерена исправлять ситуацию. Альтернативным решением, по мнению Тавили, будет на уровне RFC обязать производителей браузеров использовать более безопасные подходы и не разрешать разработчикам оставлять без исправления ошибки, подвергающие пользователей риску. Политика единого происхождения (правило ограничения домена, Same Origin Policy) - концепция безопасности для некоторых языков программирования на стороне клиента, таких как JavaScript. Политика разрешает сценариям, находящимся на страницах одного сайта, доступ к методам и свойствам друг друга без ограничений, но предотвращает доступ к большинству методов и свойств для страниц на разных сайтах. Одинаковые источники — источники, у которых совпадают три признака: домен, порт, протокол.

securitylab.ru