Testversie Firefox toont zoekopdracht in plaats van url in url-balk

De testversie van Firefox, Nightly, is begonnen met het tonen van de zoekopdracht in de url-balk in plaats van de volledige url van de zoekopdracht. De functie is uit te schakelen. Firefox vervangt de url alleen bij het gebruik van de standaardzoekmachine in de browser.

Het is onbekend waarom Mozilla de wijziging wil testen. Ghacks merkt op dat de wijziging terug te draaien is door een optie in het instellingenmenu uit te vinken. De functie is daar te vinden onder Zoeken of Search en staat daarbij onder de optie om de url-balk als zoekbalk te gebruiken.

Die staat standaard ingeschakeld in Nightly en zorgt ervoor dat gebruikers in plaats van de volledige url van de zoekopdracht de zoekterm zien. De url is ook niet makkelijk op te roepen, waardoor gebruikers de link naar een zoekopdracht bijvoorbeeld niet kunnen kopiëren. Daarnaast kunnen gebruikers niet langer het domein waarop ze zitten verifiëren, zegt Ghacks.

Het is onbekend of en wanneer de functie in de stabiele versie van Firefox terecht zal komen. Doorgaans duurt het enkele weken tot maanden tot functies in de Nightly-versie in de stabiele versie komen te zitten. De wijziging zit in Nightly-versie 110, waarvan de stabiele versie in februari moet uitkomen.

Firefox: zoekterm in plaats van url-balk. Links: stabiele Firefox 108, rechts Firefox Nightly 110

Reacties (63)

[etiennebruines]

Daarnaast kunnen gebruikers niet langer het domein waarop ze zitten verifiëren, zegt Ghacks.

Dat lijkt me niet zo'n probleem. Firefox/browsers kunnen dat veel betrouwbaarder verifiëren dan mensen.

[Gropah]

Ik snap de opmerking van het niet kunnen controleren wel. Het is weer zo'n edge case. Gebruikers worden op dit moment verteld dat ze de adresbalk moeten checken om te kijken of ze wel op het goede domein zitten. En daar staat dan straks de zoekopdracht. En hoe ver gaat dat?

Is dat alleen bij bekende zoekmachines? Maar dat is dan inconsistent als je een minder bekende en niet ondersteunde zoekmachine gebruikt. Of ga je alle query parameters daar laten zien? Want dan zit je weer met het probleem dat je niet kan controleren of je op het goede domein zit. Want tvveakers.net is ook een valide domein, maar niet het domein wat je op dit moment bezoekt.

[Hardfreak]

Firefox vervangt de url alleen bij het gebruik van de standaardzoekmachine in de browser.

In theorie zou dit dus enkel en alleen kunnen werken als je de standaard search engine gebruikt en in dit geval zou de url dus altijd moet kloppen. Kom je ineens op een ander domein terecht dan google/ddg/bing/... die niet je standaard search engine is dan zou ik verwachten dat hier de volledige url komt te staan.

Dus ook als je een minder bekende search engine gebruikt ga je deze feature hebben (als je de zoekbalk hebt gebruikt en dit je standaard search engine is).

Het lijkt er iig steeds meer en meer op dat ze proberen om zoveel mogelijk mensen af te schermen van informatie, in plaats van heel de url te laten zien zoeken browser bouwers precies steeds meer en meer manieren om dit "mooi" te maken terwijl dit niet hoeft. Het is alsof ze het hebben opgegeven om mensen iets bij te leren en gewoon de handdoek in de ring gooien en alles zo n00b mogelijk te maken (hetzelfde gevoel heb ik trouwens ook met besturingssystemen en gsm's).

[Blokker_1999]

En hier kom ik, als hacker, en weet ik je browser te manipuleren door een bug dat die mijn website gaat gebruiken als jouw default search engine. En als jij naar je bank gaat, laat ik je gewoon vanop mijn "searchengine" jouw bankpagina zien waarbij de URL je zoekopdracht is.

De dag dat men deze functie geforceerd aanzet is de dag dat ik stop met deze browser te gebruiken. Ik vind het al erg genoeg dat EV certificaten niet meer zichtbaar zijn, maar dit gaat voor mij een stap te ver.

De zoekterm die ik heb ingegeven zie ik wel terug op de site van mijn default search engine, dat moet niet in mijn URL balk staan.

[Anoniem: 1576590]

Volstrekt mee eens.

Wat is de volgende stap, alle domeinnamen helemaal weglaten omdat een deel van de internetters er niet naar kijkt maar verstandige mensen juist wel?

Bovendien is elke verandering verwarrend voor veel mensen, en daar hebben we er al veel te veel van gehad.

Uit deze Rabobank pagina:

• Een echte Tikkie begint altijd met
https://www.tikkie.me

Dus als ik in de adresbalk tikkie.me zie, is dat foute boel? En als dat geen foute boel is, waarom zou www-tikkie.me dan wel foute boel zijn?

Regiobank schrijft dat ook en:

Zo weet u of het certificaat echt is
Klik met uw muis op het slotje in de adresbalk rechts bovenin uw scherm. Controleer of het certificaat:
• Echt is en verleend is aan RegioBank (de Volksbank N.V.)
• Uitgegeven is door DigiCert..

Wilt u het helemaal zeker weten?
Klik dan op certificaat weergeven en bekijk of de vingerafdruk overeenkomt. Het hangt van de browser af die u gebruikt welke vingerafdruk (MD5, SHA1 of SHA-256) u ziet. Sommige browser tonen alleen SHA1, MD5 of SHA-256. Sommige browsers tonen alle drie.

Certificaat geldig van 01-02-2022 tot 25-02-2023
SHA-256 Fingerprint:
[...]

Succes daarmee op een tablet of smartphone. Safari laat helemaal niets meer zien van het certificaat en Firefox alleen wie de certificaatuitgever is. Bijvoorbeeld van hxxps://realest0022-secondary.z13.web.core.windows.net/ is dat Microsoft, deze pagina (al dagen live) suggereert een OneDrive pagina te zijn waar je op moet inloggen (naast dat jouw account gekaapt wordt, kun je dan malware downloaden).

Ik begrijp überhaupt niet waarom een adresbalk tevens een zoekveld moet zijn (voor een deel van de zoekopdrachten werkt dit niet eens goed - en deze functionaliteit kan ik al niet meer uitzetten in Firefox). Is dit omdat Google, als een ordinaire keylogger, elke letter wil zien die je intikt?

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 09:15]

[emn13]

Er zijn minstens 2 problemen met je inzet hier. Eerst even inhoudelijk, en dan kwa aanpak.

Inhoudelijk: ik heb even de nightly versie uitgeprobeerd waar dit in zit, en het risico wat jij omschijft lijkt al in de huidige versie niet te zitten. Nightly toont alleen de zoek-opdracht als je zelf iets in de url balk tikt. Echter, als je naar een zoekopdracht navigeert via een link of vanuit JS dan voor zover ik kan zien krijg je de url te zien. Dus het scenario wat je omschrijft lijkt me niet mogelijk. Daarnaast heb ik mijn vraagtekens bij hoe relevant het scenario is als je al de aanname maakt dat een malafide site de default zoek engine kan overnemen. Als dat al kan, heb je denk ik hoe dan ook een groot probleem, ook zonder deze specifieke feature.

Daarnaast gebruiken de meeste mensen inmiddels smartphones, en internet heeft zich niet alleen allang daarop aangepast, maar zal dat ook verder blijven doen. En dat betekent dat inzetten op een veiligheidstechniek die in praktijk alleen soms door een kleine subset desktopgebruikers goed gebruikt enigszins fragiel is. Als klein onderdeel van het groter geheel is zo'n domein check zeker zinvol, maar je moet wel reëel blijven over het doel hier - je geeft mensen de mogelijkheid om te kiezen voor een extra handmatige validatie; maar eentje die maar zelden door een gebruiker gedaan wordt, zelfs niet door technisch competente mensen.

Ik werk in deze sector, en ik ben er trouwens van overtuigd dat EV certificaten in het geheel dingen minder veilig maken; het is een goeie zaak dat deze minder benadrukt worden (je kunt ze nog steeds gebruiken voor niche toepassingen, en daar hebben ze mogelijk waarde, maar zelf dat lijkt me niet risicoloos). Het is dus ook geen toeval dat alle browser hier afstand van gedaan hebben - dat hebben ze doordacht en slim gedaan.

Kwa aanpak: Je bent uiteraard vrij om whatever browser, bedrijf, product, etc dat je maar wilt te gebruiken. Doe dat ook vooral. Echter, als je je keuze maakt op basis van dit soort kleine, oppervlakkige reacties op features zonder er bereid te zijn een klein beetje mee te denken - naja, dan ga je netto keuzes maken obv waar je toevallig over struikelt en obv een gevoel van boosheid, en dus niet op basis van factoren die er echt toe doen. Als er al een keuze gemaakt wordt die "fout" is, dan kijk toch reëel naar de impact op jou, en hoe redelijk die keuze is, en hoe omkeerbaar, en naar de alternatieven. Bij het minste of geringste netto dreigen met een boycott is uiteraard je volledige recht... maar is dat echt zinvol en proportioneel? Hoe zeker ben je dat je eerste onderbuikgevoel er niet naast zit? Hoe veel andere factoren negeer je hiermee, als je je keuzes op deze manier reduceert tot een specifiek punt?

Ik heb de feature waar het hier over gaat nu letterlijk 3 keer uitgeprobeerd, en heb er nog geen mening over. Zou best kunnen dat het een slecht idee is. Zou zelfs kunnen dat Mozilla er desondanks mee doorgaat. Maar kan ook dat het een goed idee blijkt, of, waarschijnlijker nog, grotendeels irrelevant. Zou ook kunnen dat ze zich bedenken. Of dat andere browsers dit nadoen. Maar wat wel duidelijk is is dat je reactie best overtrokken is, en tevens het concrete security risico dat je omschrijft nu al niet optreed, en dat het al helemaal niet duidelijk is in hoeverre andere wel reëel risicos onvermijdelijk zijn, of oplosbaar. Dat uitzoeken kost tijd en nadenken.

[Reactie gewijzigd door emn13 op 23 juli 2024 09:15]

[Anoniem: 1576590]

emn13 schreef:

ik ben er trouwens van overtuigd dat EV certificaten in het geheel dingen minder veilig maken

Totaal niet mee eens. Waarom?

[lenwar]

Ik weet niet waar @emn13 op doelt hiermee.

Maar:
Een probleem dat ik zeker erken is dat het een schijnveiligheid kan geven.
Stel dat ik in Brazilië een bedrijfje laat registreren met de naam HEMA, dan kan ik dus een EV-certificaat ontvangen met de naam HEMA er in. (( ik ga er even vanuit dat HEMA niet actief is in Brazilië - het gaat om het idee ))
Ik heb dan procedureel een prima EV-certificaat in handen, want wie is de CA om de Nederlandse HEMA wel een EV certificaat te geven en de Braziliaanse niet.

(( dit is de primaire reden dat browsers ze niet met laten zien, want het kan schijnveiligheid geven - wat gevaarlijker is dan niet-veiligheid ))


Ik weet niet of ik het er mee eens ben, dat het het geheel onveiliger maakt, maar ik zie er ook niet echt meer een toegevoegde waarde van in, omdat iedere slager of telefoonhoesjeswinkel er één kan kopen.
Als ze beperkt waren tot bijvoorbeeld overheden (en de betreffende instellingen), financiële instellingen, notarissen, enz, enz, dan zou ik er wel iets in zien. (( sterker nog, dan zou ik het zelf goed vinden als ze verplicht worden voor die entiteiten ))

[Anoniem: 1576590]

In de adresbalk stond, bij EV, ook het land, zoals "NL" (voorbeeld).

Als ik mij niet vergis zijn de browsermakers gestopt met het tonen van EV-info omdat een beveiligingsonderzoeker aantoonde dat je voor twee bedrijven, gevestigd in twee verschillende USA staten, twee EV-certs met dezelfde bedrijfsinfo kom verkrijgen. Kennelijk mogelijk doordat de USA geen federale KVK heeft die dat voorkómt.

Een domeinnaam zou wel altijd uniek moeten zijn, maar je kunt niet van internetters verwachten dat zij snappen dat je voor jouw VISA-kaart bij
icscards.nl moet zijn en niet bij bijvoorbeeld icscardonline.nl.

En ik snap ook wel dat men in mobiele browsers niet wil dat het halve scherm gevuld is met bewijs van identiteit van de (eigenaar van de) website.

Maar browsers hadden wel zichtbaar kunnen maken (met een kleur o.i d.) of het om een DV, OV of EV certificaat gaat. En de informatie uit het certificaat toegankelijk laten.

Aanvankelijk ondersteunde Firefox voor Android nog de plugin Certainly Something van April King, maar ook die is helaas geschrapt (deze certificate viewer is wel in de desktop-versie van Firefox geïntegreerd).

De meeste banken gebruiken nog EV-certificaten, maar voor browsers die geen enkel verschil meer laten zien met een OV en DV certificaat is dat totaal zinloos.

Ik ontken niet dat cybercriminelen EV-certificaten kunnen verkrijgen, maar dat is wel een heel stuk lastiger (en het vergroot de pakkans) dan een DV-cert zoals van Let's Encrypt.

Bovendien zou geen enkele EV-verstrekker een certificaat af horen te geven voor bijvoorbeeld
login.microsoftonline.ccisystems.us (deze stond gisteren in een lijst met nieuwe/hernieuwde phishing sites). Let's Encrypt doet dat wel.

Mede doordat organisaties op hersenloze wijze domeinnamen kiezen en browsers voortdurend veranderen, kan ik aan minder digitaal vaardige mensen steeds minder goed uitleggen waar zij op moeten letten om redelijk veilig te kunnen surfen, en voor veel mensen is het simpelweg onbegrijpelijk geworden.

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 09:15]

[emn13]

EV werkte niet. De menselijke controle die EV zou moeten bieden werkt niet, omdat EV niet voorkomt dat er verwarrende hostnames kunnen zijn, en er een berg mogelijke verwarringen zijn, en een boel aanbieders, dus attackers kunnen dat prima misbruiken. Sterker nog - omdat EV primair rust op bedrijfsnamen is er een extra risico; er zijn namelijk veel plekken waar je een bedrijf kunt registreren (vaak heeel goedkoop), en het is gewoon te veel gevraagd om van mensen te verwachten dat ze zowel de DNS als het bedrijfsnaam als het land moeten controleren.

In praktijk zie je dat bedrijven heel vaak niet geregistreerd zijn waar je ze zou verwachten, of dat de bedrijfs of handelsnaam niet overeenkomt met het merknaam wat de website hanteert. EV kan in dat soort gevallen hoe dan ook verwarrend zijn. En niemand ooit checkt standaard details van certificaten; vermoedelijk doet bijna iedereen dat zelfs steekproefsgewijs in gevallen waar ze wantrouwen hebben niet of vrijwel niet. Het is wel belangrijk dat sommigen dat wel kunnen doen; maar beschouw het meer als audit trail - je verwacht niet dat elke klant de boeken van elke business bekijkt waar die zaken mee doet, al profiteer je wel ervan dat sommigen dat soms wel doen (en kunnen doen).

Het is ook zinvol hier om bij het attack-model stil te staan. Phishing attacks hoeven niet perse een hoge kans op slagen te hebben; sterker nog, een hele lage kans kan vaak nog uit. Als defender is het dus belangrijk dat je probeert hier echt idiot proof te zijn, en zelfs dan... Phishing attacks slagen vaak per toeval, als iemand toch al een relevant mailtje verwachtte, of zelf op reis is en denkt dat site-verschillen mogelijk daardoor en niet door een attacker komen, of om wat voor reden die er toevallig aan bijdraagt dat iemand de tekenen van een scam mist. Een van de beste manieren om om fouten te verminderen is door dingen simpel te houden - ga dus niet van gebruikers verwachten dat ze DNS+bedrijfsnaam+kleur+land etc. in de gaten houden.

Zelf ben ik een web-dev, en ik ben maar bij een aantal EV registraties betrokken geweest, maar desondanks zijn er bij 2 ervan zulke fouten gemaakt dat ik achteraf niet kan verklaren hoe de EV-verkoper die niet opgemerkt heeft; bedrijfsnamen die door menselijke fouten gewoon niet klopten. Ik kan alleen concluderen dat EV verkopers niet echt checken wat je zou denken dat ze checken.

EV certs zijn ook duur en omslachtig. Het waren dus ook certs die je zo lang mogelijk probeerde te rekken; snelle cert roulatie was absoluut uit den boze - maar dat is juist weer een risico, en inmiddels zijn browsers daar ook strenger op geworden.

Dan zijn er ook nog praktische problemen van EV in browsers; namelijk dat de UI-space die EV probeerde te gebruiken super waardevol is, zelfs of desktop, maar zeker op mobiel. Er is niet veel ruimte om hier iets te plaatsen, niet op desktop, maar zeker niet op mobiel. Je kunt daar niet zo maar iets toevoegen zonder netto iets anders minder nadruk te geven. Is het verstandig de DNS naam minder nadruk te geven ten faveure van de potentieel misleidende bedrijfsnaam?

Het idee achter EV klinkt goed. Misschien had een ietsje andere implementatie ook goed kunnen werken, maar vergeet niet dat EV o.a. een revenue enhancer voor de cert bedrijven was, dus het ontstond niet uit het niets in deze vorm; er moet ook een business model zitten achter een leuk idee. Maar alles bij elkaar leverde het niks op, en erger nog, kon het bijdragen aan verwarring door een detail te zijn die niet iedereen snapt op een plek waar juist zo veel mogelijk mensen zo betrouwbaar en snel mogelijk moeten kunnen herkennen dat er iets mis is.

Dit is trouwens allemaal al enorm oud nieuws, dus ik ben vast veel vergeten inmiddels, maar uiteraard zijn er anderen die echt op dit gebied specialiseren die dit soort dingen goed analyzeren, zo vond ik bijv. deze anlyze uit 2018 door Troy Hunt (de maker van haveibeenpwned) https://www.troyhunt.com/...on-certificates-are-dead/. Er zijn vast nog meer die hierover geschreven hebben; Mozilla, MS, Apple en Google hebben allemaal gekozen er niet meer aan mee te werken, en dat is niet uit het niets gebeurt.

Edit: nog iemand - https://scotthelme.co.uk/...-paper-theyre-written-on/, 2017

Edit 2: en nog technische problemen met EV certs: https://blog.webpagetest....ate-performance-overhead/

[Reactie gewijzigd door emn13 op 23 juli 2024 09:15]

[Anoniem: 1576590]

Dank voor jouw uitvoerige antwoord, maar ik ben het totaal niet met je eens.

emn13 schreef:

EV werkte niet.

Dat kan jouw ervaring zijn, maar mijn ervaring was dat het prima werkte, in eln geval voor banken en overheidssites (waaronder digid.nl).

emn13 schreef:

en het is gewoon te veel gevraagd om van mensen te verwachten dat ze zowel de DNS als het bedrijfsnaam als het land moeten controleren.

Wellicht vervelend en voor een deel van de mensen lastig, maar er is geen alternatief geïmplementeerd (en ik ken ook geen alternatief).

Op z'n minst zul je moeten weten van wie een website is om, op basis van reputatie, in te schatten of je die partij voldoende kunt vertrouwen.

Het maakt nu nauwelijks nog uit of een website een DV- of een EV-cert heeft, met een mobiele browser zie je geen enkel verschil meer. En alle phishingsites hebben DV-certs.

emn13 schreef:

In praktijk zie je dat bedrijven heel vaak niet geregistreerd zijn waar je ze zou verwachten, of dat de bedrijfs of handelsnaam niet overeenkomt met het merknaam wat de website hanteert. EV kan in dat soort gevallen hoe dan ook verwarrend zijn.

Kan. Er zijn vast situaties waarbij er verwarring kan ontstaan bij specifieke organisaties, maar m.i. werkte het prima bij banken en andere veelbezochte sites. In elk geval kon ik aan minder digitaalvaardige mensen uitleggen waar zij op moesten letten, nu is dat nauwelijks tot niet mogelijk.

emn13 schreef:

En niemand ooit checkt standaard details van certificaten

Ik wel. En ik weet van andere verstandige mensen dat zij dit doen. Dus niet niemand.

emn13 schreef:

Het is wel belangrijk dat sommigen dat wel kunnen doen; maar beschouw het meer als audit trail - je verwacht niet dat elke klant de boeken van elke business bekijkt waar die zaken mee doet, al profiteer je wel ervan dat sommigen dat soms wel doen (en kunnen doen).

Wat een onzinnige vergelijking.

Het vaststellen van de identiteit van een zakenpartner is iets heel anders dan het uitzoeken of die zakenpartner betrouwbaar is.

Als een ander zich voordoet als jouw beoogde zakenpartner, is het totaal zinloos om de boeken van jouw beoogde zakenpartner te gaan bekijken voordat je zaken doet - met een identiteitsfraudeur.

emn13 schreef:

Het is ook zinvol hier om bij het attack-model stil te staan. Phishing attacks hoeven niet perse een hoge kans op slagen te hebben; sterker nog, een hele lage kans kan vaak nog uit. Als defender is het dus belangrijk dat je probeert hier echt idiot proof te zijn, en zelfs dan... Phishing attacks slagen vaak per toeval, als iemand toch al een relevant mailtje verwachtte, of zelf op reis is en denkt dat site-verschillen mogelijk daardoor en niet door een attacker komen, of om wat voor reden die er toevallig aan bijdraagt dat iemand de tekenen van een scam mist.

Ja en?

Ik wil aan mensen, die dat willen horen, kunnen uitleggen waar zij op moeten letten om niet in phishing en andere misleiding te trappen. Nogmaals, dat kan ik nu nauwelijks of niet.

emn13 schreef:

Een van de beste manieren om om fouten te verminderen is door dingen simpel te houden - ga dus niet van gebruikers verwachten dat ze DNS+bedrijfsnaam+kleur+land etc. in de gaten houden.

Leg mij dan maar eens uit hoe het simpel maar wel stukken beter kan dan nu. Of vind je dat het nu prima gaat en niet de verkeerde kant op?

Uit deze pagina van de U.S. overheid:

• More than 90% of successful cyber-attacks start with a phishing email.  A phishing scheme is when a link or webpage looks legitimate, but it’s a trick designed by bad actors to have you reveal your passwords, social security number, credit card numbers, or other sensitive information. Once they have that information, they can use it on legitimate sites. And they may try to get you to run malicious software, also known as malware. If it’s a link you don’t recognize, trust your instincts, and think before you click.

Phishing is één van de manieren waarmee aanvallers de netwerken van organisaties binnendringen, vertrouwelijke gegevens exporteren en ransomware uitrollen. En dat gaat echt heel erg de verkeerde kant op.

"Trust your instincts" is net zo idioot als tegen medewerkers van personeelszaken zeggen dat ze geen bijlagen moeten openen in e-mails van onbekende sollicitanten.

We moeten mensen handvatten geven om hun werk te kunnen doen of privé niet in een val te trappen. Krijg je dat ooit waterdicht? Nee. Maar het kan stukken beter dan nu het geval is.

emn13 schreef:

Ik kan alleen concluderen dat EV verkopers niet echt checken wat je zou denken dat ze checken.

Dan had dat, en zou dat, veel harder aangepakt moeten worden. Het Internet is niet meer "leuk voor nerds" maar we zijn er als samenleving steeds meer van afhankelijk.

Zonder betrouwbare "trust anchors" is het volslagen idioot als wij straks ons paspoort op onze smartphone moeten zetten en, met verschillende betrouwbaarheidsniveaus, moeten authenticeren op websites waarvan we geen idee hebben van wie zij zijn (idem, onder plus artikel) - met grote risico's op privacy-inbreuken en identiteitsfraude als gevolg.

emn13 schreef:

EV certs zijn ook duur en omslachtig.

Duur? Weet je wat het jouw klanten kan kosten als zij in een val trappen van een partij die zich voordoet als jou?

Omslachtig? Mooi, dat schrikt cybercriminelen veel harder af dan nette mensen.

emn13 schreef:

Dan zijn er ook nog praktische problemen van EV in browsers; namelijk dat de UI-space die EV probeerde te gebruiken super waardevol is, zelfs of desktop, maar zeker op mobiel. Er is niet veel ruimte om hier iets te plaatsen, niet op desktop, maar zeker niet op mobiel. Je kunt daar niet zo maar iets toevoegen zonder netto iets anders minder nadruk te geven. Is het verstandig de DNS naam minder nadruk te geven ten faveure van de potentieel misleidende bedrijfsnaam?

Dat er op mobiele devices weinig ruimte is weet ik. Maar ik vind het essentieel dat ik (vooral als mij dat potentieel geld kan kosten of mij op andere wijze kan benadelen) alle noodzakelijke, en noodzakelijkerwijs betrouwbare, identificerende informatie van een website zichtbaar kan maken. Sterker, totdat ik weet dat een website niet nep is, ben ik nog geheel niet geïnteresseerd in de inhoud van die website.

emn13 schreef:

Het idee achter EV klinkt goed. Misschien had een ietsje andere implementatie ook goed kunnen werken, maar vergeet niet dat EV o.a. een revenue enhancer voor de cert bedrijven was

Als je grondige en betrouwbare identiteitsverificatie doet (wat een vereiste is voor EV), en je een verzekering biedt, kost dat gewoon geld. Advocaten en notarissen zijn ook hartstikke prijzig (daar zie ik niemand tegen demonstreren). Voor de sites waar ik EV-certs voor wil zien, zijn de kosten ervan peanuts.

emn13 schreef:

specialiseren die dit soort dingen goed analyzeren, zo vond ik bijv. deze anlyze uit 2018 door Troy Hunt

Troy doet prima werk, maar is geen autoriteit als het om certificaten gaat. Hetzelfde geldt voor Scott Helme; beiden heb ik hoog zitten maar ben het op dit punt totaal niet met hen eens. En met oplossingen op dit vlak komen zij niet.

emn13 schreef:

Edit 2: en nog technische problemen met EV certs: https://blog.webpagetest....ate-performance-overhead/

OCSP heeft, in principe, helemaal niets met EV-certs te maken. Google en werknemer Adam Langley (ook iemand die ik respecteer, maar op punten van mening verschil) had/heeft een hekel aan OCSP en daarom was dat eerder al geschrapt voor DV en OV certs in Chrome.

Je hebt een betrouwbaar revocation-mechanisme nodig, mensen maken fouten (OCSP-stapling mag ook van mij, of andere methodes, als het maar betrouwbaar is). Een geldigheidsduur van certs tot 3 maanden inperken lijkt leuk, maar dat is véél te lang bij misbruik. Als jouw pinpas gestolen wordt, wil je deze ook zeer snel in kunnen trekken, zo mogelijk voordat jouw rekening leeggetrokken wordt.

Nb. bij misbruik na fouten bij de uitgifte van https servercertificaten (of lekken van de private key) gaat het niet om de rekening van de eigenaar van de website, maar van diens klanten.

Als de markt (vertegenwoordigd in het CA/B-forum) zichzelf niet fatsoenlijk reguleert en/of onvoldoende voor de belangen van eindgebruikers opkomt, terwijl (niet alleen) de overheid steeds verder digitaliseert, zal de overheid regels moeten gaan opstellen en gaan handhaven. Anders loopt het helemaal uit de klauwen met fraude op internet.

[emn13]

Oh wow, want een uitgebreid antwoord - ik zal er nog eens goed doorlezen en overnadenken, maar alvast bedank ervoor en prettig 2023!

[Anoniem: 1576590]

Ook jij fijne dagen en een voorspoedig jaar gewenst!

[lenwar]

En dan kom ik als andere hacker en zorg ervoor dat door een bug, de URL die jij ziet niet overeen komt met de werkelijkheid en jou doorstuurt naar mijn nep-zoekmachine wanneer jij je standaard zoekmachine hebt gebruikt.

Zodra er misbruik gemaakt wordt van bugs hang je natuurlijk sowieso.

Begrijp me niet verkeerd, ik vind dit ook een vreemde functie, maar voornamelijk omdat ik het niks vind toevoegen

[F_J_K]

En, edge case maar toch: zoek op 'https://www.google.com' (of www.jebank.nl), zie https://www.google.com in de zoekbalk, zie de Edge-zoekmachine. Lijkt me niet erg duidelijk.

[WillySis]

Volstrekt mee eens.
FireFox heeft een mooie instelling waarmee je de zoekfunctie in een eigen vakje op de werkbalk kunt zetten. Dan heb je de URL en de oorspronkelijke vraag netjes in de werkbalk staan.

[Zenomyscus]

Wellicht denken ze dat er een noodzaak is om het eenvoudiger te maken voor de gebruiken inderdaad. Ze zouden ook minder meuk kunnen toevoegen en gewoon puur op browsen kunnen focussen. Niet dat ik vind dat FF nou zoveel meuk heeft, maar al die browsers maken steeds weer nieuwe features. Features die voor de simpele gebruiker te complex zijn en daarmee de gehele browser moeilijker te gebruiken maken. Device sync? Pocket? Etc etc, allemaal niet nodig als je een site wilt bezoeken. Hoe meer features een browser heeft, hoe complexer het wordt voor gebruikers. Hoe conplexer het wordt, hoe meer men de noodzaak ziet om dingen simpeler te maken. Met als gevolg dat dingen die er al tig jaar in zitten ineens anders moeten. Wat weer een verandering is die mensen moeten leren begrijpen. Ik verwacht binnenkort dit gesprek: "Oh dus alleen als ik zoek op Google kan ik het domein niet zien?", "Klopt ma, als Google je standaard zoekmachine is werkt dat alleen daar.", "Hoe weet ik dan of ik bij de site van de bank zit?", "Zelf naar de website gaan en niet meer via de zoekmachine".

[etiennebruines]

Het lijkt er iig steeds meer en meer op dat ze proberen om zoveel mogelijk mensen af te schermen van informatie

Domeinnamen as-is laten zien is ook niet zonder problemen. Zo'n zoek-icoontje lijkt me zowel veiliger als nuttiger dan de URL te laten zien. Tenminste wanneer het (zoals hier het geval) gaat om de standardzoekmachine van de gebruiker.

[The Zep Man]

Ik snap de opmerking van het niet kunnen controleren wel. Het is weer zo'n edge case. Gebruikers worden op dit moment verteld dat ze de adresbalk moeten checken om te kijken of ze wel op het goede domein zitten. En daar staat dan straks de zoekopdracht.

Firefox vervangt de url alleen bij het gebruik van de standaardzoekmachine in de browser.

Dus voor elke bezochte site die niet de standaard ingestelde zoekmachine is, zie je gewoon de URL zoals gebruikelijk. 'Standaard' is de zoekmachine die gebruikt wordt wanneer je zoektermen in de adresbalk intikt en niet expliciet een zoekmachine kiest.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 09:15]

[kodak]

Nogal verwarrend en omslachtig. Het is al een probleem dat die url balk zich als zoekmachine gedraagt bij tikfoutjes in een url, nu komt daar nog bij dat gebruikers moeten leren dat als ze 'kiezen' voor een (standaard) zoekopdracht geen url krijgen maar als ze bewust kiezen voor een andere zoekmachine wel.

Dus iemand tikt een verkeerde url in, met de gedachten dat die goed is, en ziet dan die 'goede' url in beeld met als content de resultaten van een 'zoekopdracht'.

Niet heel handig of gebruiksvriendelijk dat gebruikers extra moeten nadenken en moeite moeten doen te doorgronden wanneer een browser wel en niet een url of zoekopdracht toont.

[Ayporos]

Nou, het is gewoon kant en klare onzin natuurlijk.
Zoals je in het rechter plaatje bij dit artikel kunt zien is je 'standaard zoekmachine' (welke dat ook wezen moge) prima in staat om jou OP DE PAGINA ZELF te laten zien waar je naar gezocht hebt.
Als ze willen dat mensen minder op die adresbalk focussen, en meer OP DE PAGINA ZELF focussen, waarom zou je dan gaan lopen sjoemelen met die adresbalk???

Het enige wat ik kan bedenken is dat ze willen dat mensen meer in de adresbalk (blijven) zoeken (na een eerste query) en minder OP DE PAGINA ZELF (van de zoekmachine)... en waarom dat zou mogen zijn?.. tja, I dunno.. maar ik geloof niet dat het echt in het belang van de gebruiker zal zijn.

[R4gnax]

Het enige wat ik kan bedenken is dat ze willen dat mensen meer in de adresbalk (blijven) zoeken (na een eerste query) en minder OP DE PAGINA ZELF (van de zoekmachine)... en waarom dat zou mogen zijn?.. tja, I dunno.. maar ik geloof niet dat het echt in het belang van de gebruiker zal zijn.

Waarom? Simpel: kick backs. Mozilla sluit deals af met zoekmachines om hen binnen verschillende wereldregio's als standaard binnen Firefox te configureren. Zoals bijv. al jaren (decennia?) gedaan wordt met Google. Wss. zijn in elk geval een stevig gedeelte van die deals geregeld op basis van een pay-per-use/-hit model en dan is het natuurlijk erg lucratief om mensen langer via de adresbalk a/h zoeken te houden.

[Reactie gewijzigd door R4gnax op 23 juli 2024 09:15]

[Caviatjuh]

Ik denk niet dat gebruikers hier extra over na hoeven te denken. Die combibalk zal voor de meeste mensen de standaard zoekbalk zijn, dus dan is het ook niet vreemd als die zich zo gedraagt.

Zelf heb ik zoeken via de adresbalk uit staan en gebruik ik een aparte zoekbalk. Daar blijft ook gewoon de zoekopdracht in staan. Ik verwacht dat de meeste power users zoeken via de addresbalk uit hebben staan, en die zullen dan ook geen 'last' hebben van deze feature.

[Anoniem: 1576590]

Door kodak:

Nogal verwarrend en omslachtig. Het is al een probleem dat die url balk zich als zoekmachine gedraagt bij tikfoutjes in een url [...]

Gevaarlijker: andersom gebeurt ook.

Stel je wilt info over een IP-adres en zoekt naar: 213.239.154.31

Dát adres is nog niet zo'n probleem, maar als je zoekt naar bijvoorbeeld één van de andere IP-adressen genoemd in deze pagina, en niet heel goed uitkijkt waar je uitkomt (mits Firefox de domeinnaam tegen die tijd nog laat zien), dan...

[Keypunchie]

Maar hoe weet de browser welk domein ik wil, dan?

[Terry A Davis]

Iedereen kan toch met Let's Encrypt een certificaat ondertekenen? Soms kom ik grote sites tegen die Let's Encrypt gebruiken, maar vroeger een eigen duur certificaat hadden.

[aikebah]

Gelukkig niet.... iedereen kan een door Let's encrypt ondertekend certificaat krijgen voor een domein waar ze aantoonbaar controle over hebben.

Als ze met Let's Encrypt een certificaat konden ondertekenen was de private sleutel van Let's Encrypt gelekt.

[joo5ty]

Maak het nog ff makkelijker voor phising websites

[Cyb]

Dat maakt weinig uit voor phising sites. Het gaat alleen om pagina's van de standaard ingestelde zoekmachine.

[dmantione]

Dat ben ik niet met je eens: Hoe meer je mensen afschermt van de URL, hoe minder vertrouwd ze er mee zijn en over het hoofd zullen zien als ze wel op de website van een vissersman zitten. Browsers moeten mensen juist bombarderen met URL's, zodat het begrijpen ervan een tweede natuur is.

[Cyb]

als ze wel op de website van een vissersman zitten

Als ze op een fishing site zitten, werkt de hele feature niet, tenzij die gebruiker die phising site expliciet in de browser heeft ingesteld als standaard zoekmachine.
Overigens ben ik het met je eens dat educatie over urls extreem belangrijk is, en hoeft de feature van mij dus ook niet.

[etiennebruines]

Lijkt me juist moeilijker. Een gevaarlijke URL kan er nog best "onschuldig" uit zien, maar wanneer gebruikers een zoek-icoontje gewend zijn en er plots een volledige adresbalk staat dan valt dat net wat meer op dat er iets mis is.

[Finraziel]

Dit lijkt mij echt een vreselijk slecht idee... Die balk daar kun je wel al lang zoektermen in typen, maar als een pagina geladen wordt dan staat daar altijd waar je je op dat moment bevindt. Nu dus niet meer. Daarmee wordt de betekenis van dat veld dus minder duidelijk. En een voordeel zie ik eigenlijk niet zo snel... Waarom?

[sdsnatcher73]

Voor mij hoeft het ook niet hoor, maar stel je zoekt iets maar vind de resultaten nog niet specifiek genoeg dan kun je snel een zoekterm toevoegen in de adresbalk (dat lijkt mij tenminste de belangrijkste usecase)

[Finraziel]

Dat is inderdaad wel een voordeel. Een kleintje, want het is nou niet dat omhoog scrollen en het zoekveld op de site gebruiken zoveel werk was

[sdsnatcher73]

Nee precies, niet heel boeiend en ik zie ook liever gewoon een URL

[Bitzer]

Op een bepaald moment was Firefox eigenlijk af, er viel niets meer te verbeteren aan de interface maar dat kan niet, er moet wat veranderd en 'verbeterd' worden en dan gaan ze dingen verzinnen en zo komen ze dan met die flauwekul die het leven van de internetter zuur maakt en die met veel moeite weer gecorrigeerd moet worden wat niet altijd goed lukt. En vooral niet luisteren naar de klachten, verzoeken en opmerkingen van de gebruikers. Die zijn alleen maar dom en lastig want ze 'begrijpen het niet'. En dan begrijpen ze bij Mozilla maar niet waarom de populariteit van Firefox zo gedaald is.

[Reactie gewijzigd door Bitzer op 23 juli 2024 09:15]

[Enai]

Dat heb je toch ook met Android (alle zinloze visuele updates), Windows (weer eens een nieuw startmenu), enz.

[jimshatt]

Ben ik de enige die mij dit wel handig lijkt? Zolang het alleen om de adresbalk gaat wanneer je aan het zoeken bent, maar dat wordt er volgens mij gezegd.
Heel vaak zoek je iets en vind je niet helemaal wat je wil. In plaats van naar boven te scrollen om je zoektermen aan te passen in een tekstveldje kun je dit nu direct in de adresbalk doen. Kon eerst ook al maar dan moest je alle woorden opnieuw intypen.

[kuurtjes]

Beter dat het opt-in is dan. Dan kan jij het lekker gebruiken

[jimshatt]

Opt-in vind ik prima. Meestal wil je nieuwe features op een of andere manier wel zichtbaar maken maar mij maakt het niet uit hoe.

[com2,1ghz]

Laat nou die URL balk eens met rust. Bij Chrome krijg je soms ook al geen URL te zien op sommige pagina’s. Heel irritant als ontwikkelaar.
Dit soort zaken werken ook averechts tegen phishing.

[ShadLink]

Chrome verbergt standaard het protocol en "www". Je kan dit trouwens met 2 klikken uitschakelen. Rechtermuisknop op de adresbalk, linkermuisknop op "Altijd volledige URL's bekijken".

In FireFox zit het in de instellingen, dus ook daar is het aan te passen.

Opzich is het handig voor onwetende gebruikers om het te verbergen.

[com2,1ghz]

Nou nee. Chrome gebruikt wel eens de titel van de pagina. Ik weet alleen even niet of dit komt omdat het een bookmark is.
Bijvoorbeeld:
https://domein.nl/dir/1234/
Wordt in de browser bar getoond als:
(Paginanaam)/dir

Waarbij (Paginanaam) in het blauw is.

Hierdoor kan je met je cursor niet door de URL heen gaan. Pas wanneer ik de pagina opgevraagd hebt kan dat.

[kuurtjes]

Bedankt! Handige tip.

[lenwar]

Het is sowieso een goed idee om het te verbergen.
Bij hxxps://rabobank.nl.betalen.bla.bla.malafidesite.ru/nogmeerspul/putiniscool/grapje.php zie je nu malafidesite.ru staan. Dat kan meer opvallen.

Want eerlijk is eerlijk voegt het nou echt wat toe om heel de tijd de volledige URL in beeld te hebben bij ‘regulier surfen’?

[Anoniem: 1576590]

Dus omdat een deel van de mensen niet begrijpt hoe belangrijk het is om te weten van wie een website is, moeten de mensen die dat wél begrijpen (bijvoorbeeld omdat dit voor hun werk noodzakelijk of zelfs persoonlijk van levensbelang is), maar zonder?

Want in de pagina kun je wel zien van wie een website is?

Regelmatig krijg je op zoekmachines bovenaan nepsites te zien.

En als een pagina suggereert van Albert Heijn te zijn en meldt dat je een prijs gewonnen hebt (met als domeinnaam "lnkshort.ru"), dan wil in elk geval ik die domeinnaam zien.

Dit notabene in de aanloop naar een paspoort in onze smartphone.

Aanvulling 10:03: 3 dagen geleden waarschuwde de FBI nog voor:

Cyber Criminals Impersonating Brands Using Search Engine Advertisement Services to Defraud Users
[...]
Tips to Protect Yourself

The FBI recommends individuals take the following precautions:

• Before clicking on an advertisement, check the URL to make sure the site is authentic. A malicious domain name may be similar to the intended URL but with typos or a misplaced letter.
[...]

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 09:15]

[jimshatt]

Je kunt het uitschakelen dus als het van levensbelang is dan doe je dat gewoon. En het is alleen op je standaard zoekmachine dus op alle andere pagina's kun je braaf het advies van de FBI volgen. Niet overdrijven.

[Anoniem: 1576590]

Je kunt het uitschakelen dus als het van levensbelang is dan doe je dat gewoon.

Ik kan in Firefox al niet meer uitschakelen dat de adresbalk tevens een keyloggend zoekveld is (nodeloos verwarrend en niet zonder risico's).

Dit wordt het volgende. Waarom is de default niet andersom? Als telemetry straks uitwijst dat de meeste mensen niet weten waar ze dit kunnen uitzetten en/of niet snappen waarom, kun je het binnenkort niet meer uitzetten.

Vervolgens: waar zou je überhaupt nog een adres (URL) laten zien? De meeste mensen kijken nu al niet meer naar de domeinnaam, maar uitsluitend naar logo's in de pagina.

Straks met ons paspoort in onze smartphones zijn er meerdere betrouwbaarheidsniveaus van onze authenticatie - terwijl we steeds minder betrouwbaar weten wie wil dat we ons bij hen authenticeren - met alle risico's van dien (privacy en identiteitsfraude).

Webbrowsers worden steeds verder gesloopt "voor het gebruiksgemak" (van mensen met ongeveer nul digitale vaardigheden) terwijl ze, tegelijkertijd, met de meest onzinnige meuk worden uitgebreid (zoals Web MiDi).

Alsof phishing geen probleem is dat uit de klauwen loopt, met steeds meer gehackte organisaties als gevolg.

[jimshatt]

Ik ben het met je eens dat de default andersom mag zijn. Maar je opmerking dat dat het volgende is nergens op gebaseerd.

Overigens vind ik Web MIDI een fantastische ontwikkeling. Jij hebt er misschien niets aan maar voor veel artiesten is het super handig. Off-topic, maar goed.

[Campo di Casa]

Ik kan mij echt geen reden bedenken waarom ik dit zou willen. En dan niet eens de mogelijk meer hebben om te kunnen zien op welk domein ik op dat moment zit, lijkt mij ook niet wenselijk.
Dat een browser prima kan verifiëren of een domein veilig is, tuurlijk, maar neemt niet weg dat ik daar blind op ga vertrouwen en ook echt wel zelf met mijn boerenverstand kan bepalen of ik iets wil vertrouwen of niet.

[kuurtjes]

Wat een nutteloze toevoeging. Hopelijk wordt het opt-in en gaan ze hier niet op focussen.

De zoekterm staat trouwens bij zowat elke searchengine vlak onder de URL balk.

[youridv1]

Als er maar een vinkje is waarmee het uit kan is het goed. Nutteloze “feature”