nebularia26 сен 2013 в 14:46

Добавляем безопасности браузеру Firefox

5 мин

71K

FirefoxИнформационная безопасность *

+29

Комментарии 65

BeLove 26 сен 2013 в 14:54

Ещё он точно защитит от XSS

Если рассматривать XSS как взаимодействие с другими сайтами — то да, но если evil js выполняется в контексте того же домена (меняет пароль, рассылает сообщения и т.п.) — то нет.

НЛО прилетело и опубликовало эту надпись здесь

BeLove 26 сен 2013 в 15:41

Same Site Scrtipting — SSS
ок :]

alex_bel 26 сен 2013 в 15:04

Сюда еще можно добавить Ghostery и Self-Destructing Cookies

nebularia 26 сен 2013 в 15:08

Это проприетарщина и непригодна для других целей. Я же назвал расширения общего применения.

nebularia 26 сен 2013 в 15:22

Это сейчас про Ghostery было, про Self-Destructing Cookies я просто не слышал.

qw1 26 сен 2013 в 16:21

Что там не так, только лицензия не нравится?
Код не обфусцирован, бинарных модулей нет. Фактически, xpi-файл это архив с js-исходниками.

differentlocal 27 сен 2013 в 04:35

Ghostery умеет тоже самое, что и RequestPolicy.

nebularia 27 сен 2013 в 04:53

Ога, но запрещает только следилки. А всё остальное — не сможет.

differentlocal 27 сен 2013 в 05:48

Что «все остальное»?

Виджеты комментирования соцсетей, социальные закладки и т.д. — прекрасно может.

nebularia 27 сен 2013 в 05:52

Вообще всё. Без разделения по типу, работать по вайтлисту.

qw1 27 сен 2013 в 09:03

Что «все остальное»?

Имеется в виду ручная настройка пользователем.

И ещё, когда снёс ghostery, у меня браузер перестал падать на случайных сайтах, а также с Ghostery при закрытии он пару минут висел в процессах — теперь нет. Я думал, это нормально, потому что в сессии 500 табов (некогда всё прочитать), однако чистый firefox хорошо оптимизирован.

Sterhel 26 сен 2013 в 15:04

Топик про расширения из категории «Безопасность», «Отвалите от меня и не следите», и вы забыли упомянуть www.ghostery.com/, ай-яй-яй.

Krypt 26 сен 2013 в 15:26

> Я вот одно время ходил по Интернету с User Agent'ом, сформированным как браузер IE 10 под Linux.
Кстати, советую менять UserAgent под linux-версию браузера. Многие сайты, которые пытаются впихнуть какую-нибудь хрень с сертификатом mail.ru — перестают это делать, и отдают напрямую запрашиваемый файл.

nebularia 26 сен 2013 в 15:30

У меня и так Linux'овая версия. И вообще Linux, так что неактуально для меня. Но добавил в пост.

Krypt 26 сен 2013 в 15:32

Так сложилось, что я таки не перешёл на Linux (под C# писал), так что приходится извращаться )

qw1 26 сен 2013 в 16:18

Вместо Cookie Monster использую Selective Cookie Delete — вроде то же самое (однако, localstorage не очищает, при входе на mega.co.nz попадаю в свой авто-созданный профиль).

Крайне рекомендую Ghostery. Возможно, она слабее RequestPolicy, но преднастроена для чайников.

И ещё google-no-tracking-url — очищает страницы выдачи гугла от redirect-ссылок, при клике попадаешь сразу на нужный сайт, а не на редирект, учитывающий кто что выбрал в результатах поиска.

nebularia 26 сен 2013 в 16:25

Крайне рекомендую Ghostery.

Про Ghostery помимо проприетарности ещё можно сказать, что она была основана компанией, изначально имевшей название Better Advertising. Можно делать выводы.

И ещё google-no-tracking-url — очищает страницы выдачи гугла от redirect-ссылок, при клике попадаешь сразу на нужный сайт, а не на редирект, учитывающий кто что выбрал в результатах поиска.

NoScript имеет подобную функциональность.

qw1 26 сен 2013 в 16:41

Спасибо, заменил Ghostery на RequestPolicy. Пока доволен. Белый список всё-таки надёжнее чёрного.
Разве что широким массам рекомендовать её нельзя — требует внимания и понимания тонкостей web.

nebularia 26 сен 2013 в 16:42

Ну, это да. Я упоминал в посте.

BaNru 26 сен 2013 в 18:39

А как же FlashBlock?

nebularia 27 сен 2013 в 04:02

NoScript покрывает его функциональность.

BaNru 27 сен 2013 в 09:58

Неа.
Взять тот же ютуб. Там у меня местные и нужные скрипты разрешены. Если ФлешБлок активирован, то при заходе на страницу видео не воспроизводиться сразу. А если деактивирован, то видео сразу воспроизводиться.
Если попадаешь на сервис, где куча видео на страницы, то без ФлешБлока все флешки подгружаются, создавая лишний процесс ПлугинКонтейнер.

Pongo 29 сен 2013 в 16:33

С некоторых пор файрфокс из коробки умеет это. В списке плагинов можно отключить ненужные или перевести их в режим «включать по запросу (клику)». На нужных сайтах можно изменить режим на «включен постоянно».

BaNru 29 сен 2013 в 17:37

Да, читал обещания, но «реализацию» не видел. Буду благодарен, если поделитесь инструкцией.
На данный момент подобную опцию найти не получилось (FF 24), а через гугл получилось найти только
about:config => plugins.click_to_play
Но это не работает.

Pongo 29 сен 2013 в 17:55

Меню Firefox — Дополнения — Плагины (слева). Справа от каждого плагина можно поставить «включать по запросу».

BaNru 29 сен 2013 в 19:12

Появилось там после включенияопции
about:config => plugins.click_to_play
Спасибо.

alcr 30 сен 2013 в 11:51

Негодный способ однако. Не получается в один клик как у флэшблока, только в два, да и ответ куда-то кэшируется и следующая вкладка ютуба внезапно оказывается с включенным флэшом

Pongo 2 окт 2013 в 13:16

Установите addons.mozilla.org/ru/firefox/addon/click-to-play-per-element/
Поможет.

Если ютуб все равно весь грузится, то нужно отменить временное разрешение флеша при помощи кнопки слева от адресной строки.

BaNru 29 сен 2013 в 19:16

Испробовал. Не сравнится это с плагином.

Если ФлешБлок активирован, то при заходе на страницу видео не воспроизводиться сразу. А если деактивирован, то видео сразу воспроизводиться.
Если попадаешь на сервис, где куча видео на страницы, то без ФлешБлока все флешки подгружаются, создавая лишний процесс ПлугинКонтейнер.

Чтобы понять о чем я говорю — можно открыть десяток вкладок ютуб и будет приготовлен известный рецепт уши в трубочку.

Pongo 2 окт 2013 в 13:17

Поможет установка аддона addons.mozilla.org/ru/firefox/addon/click-to-play-per-element/
В фф 24 изменился алгоритм работы встроенной click to play функции.

BaNru 2 окт 2013 в 13:29

А смысл менять шило на мыло?

Pongo 2 окт 2013 в 13:59

Так указанный мной аддон не является блокировщиком флеша. Он лишь корректирует поведение встроенной в фф функции click to play.

slipknot_LeX 26 сен 2013 в 18:46

Пользовался NoScript наверное лет 5, удалил, надоели проблемы почти после каждого апдейта. К примеру, на последнем апдейте фокса (24) видео на флеше то не загружалось то браузер дико тормозил, удалив данное расширение браузер как будто подменили! :) Профилю от силы год. Врядли когда-нибудь еще поставлю.

BaNru 26 сен 2013 в 20:26

Мне всегда казалось, что он наоборот ускоряет работу, отключая туеву хучу скриптов, особенно всякие слайдеры навороченные с эффектами. А когда ещё и пару десятков вкладок открыто…

Взять хотя бы Яплакал, который не самый плохой вариант — бывает и хуже:

скрин

slipknot_LeX 27 сен 2013 в 12:42

Я тоже так думал, комп то не слабый — i7 3770k (ит.д.) и все это на ссд. Всё остальное летает тока в путь ну и любимый фокс сейчас тоже :)

BaNru 27 сен 2013 в 13:10

Пользовался NoScript наверное лет 5

i7 3770k (ит.д.) и все это на ссд

Привет из будущего?

slipknot_LeX 28 сен 2013 в 10:55

Железо на данный момент такое конечно же.

xget 27 сен 2013 в 10:38

У меня такой же опыт, из-за неоправданных задержек в загрузке, отказался от него.

xget 26 сен 2013 в 19:00

Владельцам слабых машин следует помнить, что каждый такой дополнительный аддон негативно влияет на производительность браузера, особенно noscript.
И еще, подписка adblock'а fanboy's social blocking list хорошо заменяет ghostery.

nebularia 27 сен 2013 в 04:04

noscript

С ним всё наоборот. Особенно с тяжёлыми страничками с кучей скриптов. Затраты на NoScript ничто по сравнению с затратами на выполнения всех скриптов тяжёлых страниц.

eps 27 сен 2013 в 04:07

При этом каждый невыполненный скрипт, каждый невыполненный flash-объект и каждый незагруженный баннер ускоряют работу браузера.

Тут интересно будет найти баланс.

Flashblock, вероятно, сильно ускоряет браузер. Noscript — тоже.

Adblock и Ghostery ускоряют браузер, одновременно замедляя его, сканируя страницу для каждого своего правила. Писали, что Adblock при подключении некоторых особо жирных подписок здорово тормозит систему.

Особенно это интересно в контексте Firefox для Android: на ARM-системах вычислительной мощи гораздо меньше.

alcr 27 сен 2013 в 09:06

Flashblock ускоряет в разы. А вот носкрипт как то плохо справляется с флэшем/сильверлайтом. А Flashblockу кликнул на картинку и флэш подгрузится, да еще и белый список есть.

xget 27 сен 2013 в 09:21

Вы правы, к выбору подписок надо подходить внимательнее и не выбирать много и пересекающиеся по содержанию. Плюс я для ускорения браузера обновляю их вручную.
Самое грустное, что на маленьком экране нетбука chrome почему-то удобнее… (

Sardar 27 сен 2013 в 00:54

У браузерных расширений есть один большой минус - низкая гранулярность политики безопасности. Зачастую расширению требуются права на все элементы всех страниц и вообще ко всему, о чем можно подумать, что позволяет перехватывать и изменять что угодно. Пусть расширение изначально не содержало вредоносного кода, но чем больше их стоит, тем больше шанс, что репозиторий одного из расширений взломают и добавят скрытую проблему.

AVGUR 27 сен 2013 в 05:05

Надо ещё добавить дополнений, да побольше побольше…

ZUZ 27 сен 2013 в 07:46

Кто-нить, подскажите, существует ли плагин, который позволяет открывать ссылки в выдачи поисковиков сразу прямые ссылки, а не через всякие анализаторы кликов соответствующих поисковиков?
Это же тоже относится к категории «отстаньте от меня».

nebularia 27 сен 2013 в 07:53

habrahabr.ru/post/195052/#comment_6779038

Ну, или addons.mozilla.org/ru/firefox/addon/google-search-link-fix/

qw1 27 сен 2013 в 09:13

NoScript когда-то давно стоял, но был снесён.
Потому что он стал громоздким комбайном, каждую неделю обновлялся и тратил моё внимание на страницу с what's new, а чем он мне помогает, я не так и не понял. Куча настроек, куча неявного поведения (например, что он поисковые ссылки google очищает, я только что узнал).

Лучше заменить на несколько простых и понятных инструментов.

seleko 27 сен 2013 в 08:29

RequestPolicy+YesScript гораздо лучше NoScript, imo.

xcilessMore 27 сен 2013 в 08:46

MaskMe + DoNotTrackMe — неплохая связка, имитирующая шапку-«невидимку».

shanker 30 сен 2013 в 08:40

Кстати, тут ниже посоветовали менять User Agent на Linux'овый (если у вас и так не Linux), так как благодаря этому некоторая малварь к вам просто не будет посылаться. Странный, конечно, способ, но есть такое мнение.

Ничего не странный способ. Простой и сердитый — против многих экспсплоит паков (связок с эксплоитами) работает. Т.к. они часто по User-Agent и определяют ОС и версию браузера под который подсовывают жертве сплоит. Не панацея, конечно, но в ряде случаев работает.

Похожий способ предложили тут. Суть — заставить вирус «думать», что он попал на комп к вирусному аналитику и тем самым заставить сработать его же собственный код для предотсращения дальнейшего заражения компа (а-ля самоудалиться с этого компа). Такая вот полезная мимикрия.

qw1 19 окт 2013 в 13:36

Need Help, please!

Часто замечаю в Request policy, что многие сайты ссылаются на jquery с google или yandex.
Существует ли add-on для подмены файлов этих библиотек на локальные копии?
Тупо чтобы после загруки страницы заменял в ней всякие script src="//ajax.googleapis.com/ajax/libs/jquery/1.10.1/jquery.min.js" на script src="file://c:/jslib/jquery.min.js"

nebularia 19 окт 2013 в 14:29

Юзерскрипт попробуйте поискать, должно быть.

qw1 19 окт 2013 в 15:16

Написал такой greasemonkey скрипт

var tags = document.getElementsByTagName('script');
for (var i = 0; i < tags.length; i++) {
  var src = tags[i].src;
  var dst = null;
  if (src == 'http://ajax.googleapis.com/ajax/libs/jquery/1.10.1/jquery.min.js' ||
      src == 'https://ajax.googleapis.com/ajax/libs/jquery/1.10.1/jquery.min.js')
    dst = 'file://c:/jslib/ajax.googleapis.com/ajax/libs/jquery/1.10.1/jquery.min.js';
  if (src == 'http://ajax.googleapis.com/ajax/libs/prototype/1.7.0.0/prototype.js' ||
      src == 'https://ajax.googleapis.com/ajax/libs/prototype/1.7.0.0/prototype.js')
    dst = 'file://с:/jslib/ajax.googleapis.com/ajax/libs/prototype/1.7.0.0/prototype.js';
  if (dst) tags[i].src = dst;
}

Сайты работают.
Но есть проблемы:
1. View Page Source показывает исходник со старым URL (хотя Inspect Element — с новым)
2. Сайт googleapis.com не исчезает из списка заблокированных у Request Policy (из-за этого трудно понять, все ли файлы я подменил на локальные).

nebularia 19 окт 2013 в 15:23

1. Это нормально.
2. Это тоже может быть нормальным.

Но вот file://с:/jslib/ это как-то… Странно. Не лучше прифигачить его к юзерскрипту нормальным способом? (чтобы не только у вас работало)

qw1 19 окт 2013 в 15:36

Так всё равно скачивать файлы и размещать в файловой системе приходится вручную.

Хотя, может это быть хорошей идеей: проверять, есть ли файл
http://<site>/<path> где-то в $(FirefoxProfile)/<site>/<path> и, если есть, подменять.
Вот только непонятно, как это скажется на производительности браузера — перелопачивать большую страницу и обращаться к файловой системе каждый раз…

BaNru 19 окт 2013 в 16:34

Неправильно ты дядя Федор бутерброд ешь (с)

Блокируете NoScript'ом или чем там блокируете, не важно. Чтобы запросы вообще не шли на гугл.

Ставите Scriptish, у которого отсутствует sandbox, как у GM и просто копипастите туда исходник JQ, можно так же обернуть в условия.

Если надо GM, то в хедере указываем

// ==UserScript==
// ...
// @resource    jq    http://ajax.googleapis.com/ajax/libs/jquery/1/jquery.min.js
// ...
// ==/UserScript==

и потом уже подключаем его в условиях
..src="'+GM_getResourceURL("jq")+'"...

Профит. Не надо отдельно качать.

Вот только непонятно, как это скажется на производительности браузера — перелопачивать большую страницу и обращаться к файловой системе каждый раз…

Он это делает в любом случае, как ни крути. Не из сырости же он берет скрипты и файлы (код) :D

BaNru 19 окт 2013 в 16:38

Поломался код

// ==UserScript==
// ...
// @resource jq http://ajax.googleapis.com/ajax/libs/jquery/1/jquery.min.js
// ...
// ==/UserScript==

qw1 19 окт 2013 в 17:36

resource — интересная команда.
Добавил в скрипт, файл скачивается, но при попытке обратится к GM_getResourceURL (или GM_getResourceText) скрипт прекращает работу без видимых причин. Например, этот скрипт

Скрытый текст

// ==UserScript==
// @name        Local Files
// @namespace   http://www.example.com/home
// @version     1
// @grant       none
// @resource jq101 http://ajax.googleapis.com/ajax/libs/jquery/1.10.1/jquery.min.js
// @resource jq132 http://ajax.googleapis.com/ajax/libs/jquery/1.3.2/jquery.min.js
// @resource proto1700 http://ajax.googleapis.com/ajax/libs/prototype/1.7.0.0/prototype.js
// ==/UserScript==

var img = document.createElement('img');
img.src = 'http://habr.habrastorage.org/avatars/d8d/d12/0b6/d8dd120b6352e39753b9976c1bcce3de_small.png';
document.body.appendChild(img);
var z = GM_getResourceURL("proto1700");
var img2 = document.createElement('img');
img2.src = 'http://habr.habrastorage.org/avatars/a73/b42/1a2/a73b421a2032952b85813b10077a6e01_small.png';
document.body.appendChild(img2);

Добавляет первый img на любую страницу, но не добавляет второй. Вероятно, какая-то несовместимость моей версии FF (24.0) и GM (1.12)

qw1 19 окт 2013 в 17:55

Разобрался, нужен @grant GM_getResourceURL.
Спасибо, BaNru. Узнал немного интересного о user-скриптах.

BaNru 19 окт 2013 в 18:37

Да, забыл про grant )

qw1 19 окт 2013 в 17:37

Он это делает в любом случае, как ни крути. Не из сырости же он берет скрипты и файлы (код) :D

Это я к тому, что обращаться к диску на любом теге <script> может быть накладно.

BaNru 19 окт 2013 в 16:44

if (src == 'http://ajax.googleapis.com/ajax/libs/jquery/1.10.1/jquery.min.js' ||

Тут лучше воспользоваться регуляркой, типа

"~https?://ajax.googleapis.com/ajax/libs/jquery/(1|2)(.+[0-9]+)?/jquery.(min.)?js~"

Работоспособность гарантирую на 98% :D

qw1 18 мая 2014 в 18:44

Дошли руки допилить selectivecookiedelete.
Описание изменений — addons.mozilla.org/en-US/firefox/addon/selectivecookiedelete/reviews/590636/
Там же — ссылка на pastebin с файлом

FirefoxPortable\Data\profile\extensions\selectivecookiedelete@siju.mathew\chrome\selectivecookiedelete.jar\content\selectivecookiedelete.js

, которым надо заменить оригинал.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий