Security Tweaks für Firefox

Der kostenlose und quelloffene Browser Firefox von Mozilla ist sehr weit verbreitet. Dies hat natürlich Gründe. Ein besonderer Grund ist die Erweiterbarkeit durch Add-Ons. Mit diesen Erweiterungen kann man den Browser fast beliebig mit Werkzeugen, Sicherheitstools, Werbeblockern, Downloadmanagern und vielem mehr ausstatten. In einer älteren Anleitung haben wir bereits beschrieben, wie Firefox BenutzerInnen vor Phising und Viren schützen will und deshalb die Google Safebrowsing API benutzt und dieses abschaltet.

Google via HTTPS und GoogleSharing

Um eine Webseite aufzurufen wird das HTTP-Protokoll genutzt. Dieses sendet und empfängt im Klartext die Informationen. Um die übertragenen Informationen zu schützen existiert seit Jahren die gesicherte Verbindung HTTPS. Diese verschlüsselt mit SSL den kompletten Datenverkehr zwischen Browser und Webseite. Sprach vor Jahren noch die hohe Auslastung bei verschlüsselten Anfragen gegen den Einsatz, gibt es heutzutage keine Argumente gegen den Einsatz von HTTPS. Selbst Goolge und Co. bieten ihre Dienste nunmehr verschlüsselt an. Daher haben Entwickler von EFF und Tor eine Erweiterung veröffentlicht, welche eine Vielzahl von Webseiten automatisch auf HTTPS leitet, statt die unverschlüsselte Variante zu wählen. Darunter Google, Wikipedia, Facebook, Twitter & Co. Mit wenigen Handgriffen kann man jede beliebige Seite so umleiten, wenn sie denn mit HTTPS erreichbar ist. Aber vorsicht, mit HTTPS verschlüsselt ihr lediglich den Datenstrom zwischen euch und dem Dienst. Die Daten auf eurem Rechner bzw. im Browser und den Server des angesurften Dienstes sind auch dadurch nicht sicherer!

GoogleSharing ist offline seit mitte 2012. Alte Seite ansehen im Internet-Archiv.

Bei Google zeichnen sich derzeit eher unschöne Entwicklungen ab. Zum einen hat der Internetriese der vielbeschworenen Netzneutralität abgeschworen und möchte, dass seine Dienste bevorzugt durchs Netz geleitet werden. Vorerst wird in den USA verhandelt, aber es ist nur eine Frage der Zeit wann diese Entwicklung in Deutschland ihren Lauf nimmt. Ein weiterer sehr kritischer Punkt ist die Aussage von Google CEO Eric Schmidt: „If you have something that you don’t want anyone to know, maybe you shouldn’t be doing it in the first place.“ Um zu verhindern, dass Google euch mit den Suchergebnissen, Routen, Karten oder angesehen Videos bei Youtube verbinden kann wurde ein Proxy entwickelt, der genau das verhindert. GoogleSharing leitet Suchanfragen über einen Proxy und verhindert somit, dass ihr identifiziert werden.

Mittlerweile nutzen sehr viele Webseiten „aktive Inhalte“ - programmiert in: Java , JavaScript oder Flash um sich zu präsentieren. NoScript erlaubt das Ausführen von JavaScript, Java (und anderen Plugins) nur bei vertrauenswürdigen Domains eurer Wahl (z.B. deiner Homebanking-Website / Youtube / systemli.org/jabber ). Der auf einer Positivliste basierende präventive Ansatz zum Blockieren von Skripten verhindert das Ausnutzen von ( bekannten und unbekannten!) Sicherheitslücken ohne Verlust an Funktionalität.

BetterPrivacy dient vor allem dem Schutz vor unlöschbaren Langzeit-Cookies, einer neuen Generation von Super-Cookies.Diese neue Cookie-Generation bietet der Industrie und der Marktforschung endlich die Möglichkeit, Aktivitäten der Computer Nutzer unbegrenzt erfassen zu können. Bezüglich des Datenschutzes sind derzeit vor allem 2 Klassen von Langzeit-Tracking bedenklich: 'Flash' und 'DOM Storage' -Cookies. Flash-Cookies (Local Shared Objects) sind Informationen, welche via Flash Plugin in zentralen Ordnern des Computers platziert werden. So sind diese Super-Cookies in der Regel vor dem Löschen geschützt. Sie werden -wie normale Cookies- von sehr vielen Webseiten benutzt.Mit BetterPrivacy ist es möglich, Dateien mit der Endung *.sol aufzuspüren und zu löschen. Und sie werden nie gelöscht! BetterPrivacy macht Schluss damit und kann Flash-Cookies vollautomatisch bei jeder Firefox-Beendigung entfernen.

Firefox vertraut vielen Certificate Authorities blind, immer wenn man eine HTTPS Webseite aufruft. Die Root-CA's delegieren die Möglichkeit Zertifikate auszustellen an sogenannte Sub-CA's. Da jeder selber sich so eine CA kaufen könnte, öffnet dieses Prinzip der Sub-CA's Tür und Tor für man-in-the-middle-Attacks. Um diesem vorzubeugen Plugin Certificate Patrol, welches bei jeder Änderung des Zertifikats Alarm schlägt.

CA Patrol-Website