'Toolbars voor Firefox vormen toenemende dreiging'

Onderzoeker Christopher Soghoian meent dat een aantal populaire Firefox-toolbars een veiligheidsrisico vormen. Volgens de doctoraalstudent gebruiken de werkbalken van onder andere Google en Yahoo tijdens een update geen beveiligde ssl-verbinding.

Door het gebruik van 'open verbindingen' zou het risico bestaan op een man-in-the-middle-aanval. Het opzetten hiervan zou volgens Soghoian niet eenvoudig zijn, maar zeker niet onmogelijk. Zo zou een kwaadwillende een publiek toegankelijk wifi-toegangspunt kunnen opzetten. Elke client die een update van zijn toolbars wil uitvoeren, zou doorgestuurd kunnen worden naar een besmettingshaard. Hoewel Mozilla's site voor addons wel het ssl-protocol gebruikt, waarbij een certificaat de gebruiker aangeeft dat het met de juiste server is verbonden, kiezen enkele populaire aanbieders van toolbars niet voor deze oplossing. Naast de addons van Google en Yahoo zijn onder andere de toolbars van Del.icio.us, Facebook, Ask.com en LinkedIn potentieel onveilig. Soghoian roept de bedrijven op om zo snel mogelijk over te stappen naar ssl-verbindingen.

Gadi Evron, een beveiligingsspecialist van Beyond Security, kwalificeert de Soghoian's bevindingen als een niet kritiek gevaar. Het gebruik van onbeveiligde verbindingen noemt hij wel 'dom' en Evron roept net als Soghoian de genoemde bedrijven op om de fout snel te herstellen. Als tweede stap moet er volgens Evron kritisch naar het basisontwerp van Firefox-addons gekeken worden, om zo toekomstige beveiligingsrisico's bij het updateproces uit te sluiten. Inmiddels heeft Google aangekondigd om het probleem 'snel' op te gaan lossen.

Reacties (75)

[Verwijderd]

Werkelijk ik snap niet wat je met die toolbars moet, het is voor mij alleen maar reclame troep. Ik heb mijn browser juist zo clean mogelijk, is er meer ruimte om te surfen, daar gaat het toch om? Ik zie regelmatig bij mensen dat prominente plaatsruimte word weggenomen door toolbars maar ik zie ze nooit gebruik er van maken.

[buzzin]

Ik ben het met je eens hoor, begrijp me niet verkeerd.

Druk eens op F11 (full-screen)
In FF houd je dan nog wel de adresbalk.
Ik gebruik vaak voor presentaties Opera full-screen....deze is de enige die ECHT fullscreen gaat.
Dat heeft zo z'n nadelen trouwens...maar ziet er voor presentatie wel mooi uit

@deviltje
Thnx handig voor m'n werk
Zelf ben ik een Opera gebruiker. (heb niets tegen FF)

@mesjetskie
ehm....jaaa
IE is hier in de ban....niemand mag het nog gebruiken.

[deviltje]

misschien is de fuller-screen extensie iets voor je.
https://addons.mozilla.org/en-US/firefox/addon/4650

volledig full-screen met FF en ook nog presentatie ondersteuning

[Mesjefskie]

Ik gebruik vaak voor presentaties Opera full-screen....deze is de enige die ECHT fullscreen gaat.

Of anders kiosk mode van IE... is toch ook full screen?

Start, run, iexplore -k http://tweakers.net



(wij mogen hier juist alléén IE (6) gebruiken... vandaar)

[Trubo]

Ik zie hierboven 1 toolbar die van nuttige waarde kan zijn. Het gaat om de 6e toolbar "Webdeveloper Toolbar" die heel handig kan zijn mocht je websites ontwikkelen. Je kan zo bijvoorbeeld plaatjes of css bestanden niet laden.
De laatste toolbar zou in sommige gevallen nog nuttig zijn maar de rest lijkt me alleen maar onzin.

[geez]

My thoughts exactly, gebruik hem zeer frequent bij het devven of analyseren van iets dat ik tegenkom.
https://addons.mozilla.org/en-US/firefox/addon/60

[Martinspire]

Maar daar heb je alleen wat aan als je aan het ontwikkelen bent, verder staat ie bij mij in ieder geval uit...

[The Zep Man]

Ik heb mijn browser juist zo clean mogelijk, is er meer ruimte om te surfen, daar gaat het toch om?

Hierom ben ik ook een fan van Littlefox, een theme voor Firefox welke zeer weinig schermruimte in beslag neemt.

Trouwens, de site waar je Littlefox (en updates) kan ophalen maakt wel gebruik van SSL.

[elmuerte]

Ik gebruikte littlefox vroeger ook, maar sinds firefox 2 gebruik ik gewoon de standard theme (met een zeer minimale config).
littlefox was toch redelijk broken voor sommige dingen.

[Marlibica]

Jij zou toch als Tweaker moeten begrijpen dat mensen die toolbars niet bewust installeren maar dat ze meekomen met bijvoorbeeld Adobe reader of zo. Ze kijken gewoon niet naar het vinkje wat er voor kan zorgen dat je hem niet krijgt. Bovendien hebben sommige mensen wel behoefte aan zo'n ding. Je idee zelf ga ik in mee.

[Maurits van Baerle]

Dat hangt er vanaf. Persoonlijk ben ik bijvoorbeeld verslaafd aan de GoogleToolbar, zou niet zonder kunnen. Andere mensen hebben veel baat bij een WebDeveloper Toolbar.

[brobro]

Handige toolbars / plugins??
De firefox webdeveloper toolbar. Wat zou je daar mee moeten?
Of FireFTP? Best handig ftp...
Flashgot plugin, voor wel eens iets download van meer dan 2 mb...
FEBE plugin voor een backup van je toolbars.. (en favoriten)...

Maar ik geef toe, -tig actieve toolbars zijn niet handig, want je hebt geen beeld meer over. Maar die plugins in het algemeen... super!

[Ce tan]

Persoonlijk gebruik ik alleen de googlebar (niet de google toolbar; het is een andere extensie..) Kan ik iedereen adviseren!
Deze is erg praktisch...

Verder inderdaad 'as clean as possible...'

[Bor]

Open deur die natuurlijk niet alleen voor toolbars geld maar voor elke plugin / addon. Behalve de vaststelling (wat al langere tijd duidelijk was) dat veel leveranciers / aanbieders van addons en toolbars geen SSL gebruiken weinig nieuwswaarde.

[Olaf van der Spek]

SSL is ook niet de beste oplossing, de bestanden zelf moeten gewoon digitaal ondertekend worden.

[johnbetonschaar]

SSL is ook niet de beste oplossing, de bestanden zelf moeten gewoon digitaal ondertekend worden.

Digitale ondertekening maakt deel uit van SSL

[Bor]

Olaf van der Spek doelt op code signing wat echt iets anders is dan het ondertekenen van packets door SSL.

Linkje naar meer info: http://nl.wikipedia.org/wiki/Code_signing

[Verwijderd]

met een hashcode kan ook gerommeld worden,
paar bits erbij, paar bits eraf en voila, verschillende code, zelfde hash.

[Korben]

Die uitspraak op zich is al betwistbaar, maar het is bijna onmogelijk om een plug-in zo te veranderen dat de hash hetzelfde blijft, maar dat de code daadwerkelijk doet wat je wilt.

[Ravek]

Met een hashcode kan je niet rommelen als je een fatsoenlijk cryptografisch hash-algoritme hebt. Zelfs al heb je de oorspronkelijke code en diens hash, dan is het met een goed hash-algoritme (zeg, SHA-256) nog praktisch onmogelijk een ander stuk code te maken met dezelfde hash.
Met praktisch onmogelijk bedoel ik dan dat je het met een supercomputer nog in geen tien jaar voor elkaar krijgt.

[J.J.J. Bokma]

@omixium - Ik wil je dat graag zien doen. Ja, mag MD5 zijn.

[Gepetto]

De oplossing voor dit probleem is eigenlijk heel simpel.

[Rian_BE]

Dat SSL niet de beste methode is klopt. Het protocol vereist zelfs niet dat er een geldig certificaat is. Het is eigenlijk aan de browser om te melden dat er een mogelijks beveiligingsprobleem is opgetreden. De verbinding op zich kan verder de meest onveilige encryptie toepassen áls die al wordt gebruikt.

[Zeror]

De enige toolbar waar ik al een hele langetijd op zit te wachten, is een tweede bladwijzerbalk. Die ene heb ik helemaal niet genoeg aan

Voor de rest heb ik geen extra toolbars nodig. En daarnaast lijken de meeste toolbars op elkaar en bevat minstens de helft ervan spy of adware.

Nee, toolbars heb ik echt nodig.

edit: klein foutje

[Verwijderd]

wat bedoel je met een 2de navigatiebalk?

[guidooo]

Die balk in FF waar je je favorieten hebt staan, bij ,mij is ie ook te klein.

[Ge Someone]

Je er ook een paar folders (bij) op zetten, openen zich als pull down menu.

[GoBieN-Be]

Idd deed ik ook mapjes in bladwijzerwerkbalk dan worden dan leuke drop-downs.

Maar nu heb ik de del.icio.us favorieten balk. Maar zelfde principe daar heb ik een drop down per favoriete tag.

[Nanaki]

http://www.oxymoronical.com/web/firefox/Thinger

[Zeror]

OK, thanx. Die is idd best handig.

[brobro]

eh.. .Ctrl-B ?

[Verwijderd]

je kan je bookmarks ook in mapjes zetten op die balk... zo heb ik de map _n. --> alle nieuwssites
_d. --> downloads

kzeg maar iets

[Verwijderd]

grote god al die toolbars !
misschien 1 of 2 zijn soms wel nuttig en handig maar als je er 11 hebt staan dan kun je toch kats je scherm niet meer zien

[FabianNL]

Ik denk dan ook dat dit niet serieus is en hier dus mensen gewoon mee internetten, maar alleen om te laten zien hoeveel (onbeveiligde?) toolbars er wel niet zijn...

Of was het geen serieuze opmerking van je?

[Verwijderd]

ja weet ik wel maar lijkt me erg onhandig werken met al die toolbars (heb trouwens wel vaker meegemaakt dat ze kats 5 of 6 van die dingen hadden geinstalleerd) gebruikers klikken namelijk zomaar verder bij een installatie van bv. google earth (zit ook een toolbar bij) je kunt ze altijd uitschakelen maar dan nog.

@hieronder
dat bedoel ik dan ook, lijkt me erg vervelend werken, en als je de standaard gebruiker vraagt of ze die toolbars ook daadwerkelijk gebruiken dan is het van: "nee, hij stond er ineens"

[SnakeMind]

Je wilt anders niet weten hoe vaak ik laptops zie langskomen van mensen waar minstens 6 verschillende toolbars onder elkaar hangen... Te triest voor woorden...

@hierboven, was dan ook een reactie op Fabian, toen ik dit typte stond die van jou er nog niet

[Verwijderd]

Zo gek is het nog niet. Ik heb ze wel eens gezien met een heleboel toolbars, zodat er nog een klein schermpje voor het browsen overbleef.
Dat komt meestal doordat dit soort toolbars met andere applicaties meegeleverd worden en mensen dit expliciet uit moeten vinken.
Hoeveel gemakzuchtigen klikken tijdens een installatie gewoon op OK, OK, OK, OK etc zonder te lezen waarom ze op OK klikken? Antw: Een heleboel.

[FreshMaker]

En moet eerlijk zeggen, het is vaak zo simpel.
Mijn zoontje van (bijna) 6 installeert ( jammer genoeg ) zelf soms spelletjes, maar hem al wel aangeleerd dat hij op dingen moet letten bij het klikken

en bij dit soort dingen... Als het nodig is dat er een vinkje moet komen, is het NIET aangevinkt, en als "ik" het niet wil staat het er juist wel

de meeste toolbars die mee ge-installeerd worden vragen om een aanvinkoptie om het mee te krijgen, dan staat het uit, en spellen met snelkoppeling op desktop, die staan vaak uit

en de knul doet het dan ook keurig, ik moet op zijn pc wel regelmatig andere rommel verwijderen, maar toolbars héél zelden, dus waarom volwassenen het niet kunnen tegengaan, is een raadsel

[Bulls]

als je het plaatje aanwijst, zie je ook de tooltip "collage"
Ik neem aan dat iedereen wel weet wat dat is?


1 Toolbar is wel genoeg lijkt me
(ik heb niet eens een toolbar en installeer ze ook nooit, alleen in FF zit een google searchbar standaard)

[Olaf van der Spek]

1 Toolbar is wel genoeg lijkt me

Een? Ik heb zelfs de standaard toolbars van Firefox uitstaan.

[aequitas]

@barbedwire: Als je t.net als thuispagina instelt is dat toch niet nodig??

[Verwijderd]

Ik neem aan dat je Adres-toolbar aan heb laten staan

[Cyw00d]

Als je t.net als thuispagina instelt is dat toch niet nodig??

http://www.t.net/
"De webpagina kan niet worden weergegeven"

Dan kom je helemaal nergens

[Hero of Time]

Wat doet F2 eigenlijk bij Firefox? Bij IE niets, bij Opera kan je een website intypen om te openen. Geen adresbalk meer nodig .

[RuddyMysterious]

Die zit standaard in Opera ook hoor.

[Verwijderd]

In Internet Explorer 7 ook hoor... wel met live search, maar aanpasbaar als je wil...

[dynosu]

ik gebruik nooit zulk soort toolbars ... veroorzaakt vaak alleen maar problemen ... dus dit verbaast mij allerminst

[Niemand_Anders]

En waarom moet Mozilla naar de plugin architectuur kijken? Alle plugins/add-ons en themes van Mozilla gaan zoals het artikel aangeeft via SSL. punt.

Alleen zijn een aantal bedrijven (Google, Yahoo) te beroerd om een paar dollar aan een SSL certificaat uit te geven. Het Enigste wat Mozilla kan doen is als er een update over http plaats vind dat er een melding verschijnt.

Het beveilings risico zit niet in de Mozilla producten (Mozilla Suite/Netscape, Firefox, Thunderbird, etc) maar bij zogenaamde third party providers. Maar zelfs als Firefox een melding geeft, vraag ik mij af hoeveel gebruikers niet de update zouden uitvoeren..

Een betere oplossing zou zijn om gewoon geen updates 'onderweg' uit te voeren via publieke WiFi access points, want *daar* zit het probleem! Maar via die access points moet je ook geen windows update uitvoeren. Maar dat bevat geen nieuws waarde en wordt er 'iets' gezocht om toch in de publiciteit te komen.


Er zijn namelijk teveel SSL certificaat aanbieders waar je in 1 minuut zonder afdoende authorisatie een certificaat kunt aanvragen. Je vraagt simpelweg een certificaat aan op windowsupdate.microsoft.com en installeert die op je eigen machines. Het AccessPoint laat re-route vervolgens de bezoekers naar de 'corrupte' website. En vervolgens geeft elke browser een 'slotje' weer want het domein op het certificaat matched.

[Verwijderd]

Toolbars zet je alleen aan als je ze nodig hebt, anders laat je ze gewoon onder water zitten, geen centje pijn

[Jormungandr]

Buiten de webtech toolbar en de XML toolbar heb je feitelijk niets nodig. Die twee heb je zelfs helemaal niet nodig als je een gewone thuisgebruiker bent die geen sites ed maakt.

[orgus]

en indien je die wel nodig hebt zet je die enkel aan als je ze nodig hebt! Het zou me enorm storen om te surfen met die 2 toolbars constant in beeld.

Trouwens alle knoppen van die toolbars staan bij 'Extra --> Web Developer / XML Developer' dus hier zijn ze zo goed als nooit zichtbaar!

[Witchhammer]

Dan heb je dus blijkbaar nog nooit veelvuldig moeten refreshen en de toolbar nodig hebben gehad. Want het is dus heel erg vervelend om de hele tijd naar extra te gaan voor dezelfde functie.

[J.J.J. Bokma]

Refresh: Ctrl+R of Ctrl+Shift+R onder Windows.

Je kan overigens dingen vanaf toolbars naar reeds aanwezige toolbars slepen, en het origineel verstoppen, zie: http://johnbokma.com/fire...-toolbar-customizing.html

[kiang]

wie gebruikt er nu toolbars in FF?
de enige 'toolbar' die ik gebruik is de ingebouwde zoekbar van FF zelf, maar al de rest vind ik maar bagger:s

[mr_mister2004]

De hoeveelheid toolbars die mensen in hun ie of firefox hebben staan is soms schrikbarend.

Mijn ouders en schoonouders hebben er soms al 5 in staan omdat ze zomaar even op ok drukken en denken dat alles goed is.

[Verwijderd]

Weet je zeker dat je niet Internet explorer bedoeld ?

ik heb nog heel weinig software gezien die een toolbar voor firefox als meegeleverde software installeerd , mits je het vinkje niet uitzet

(en dat wil ik eigenlijk ook graag zo houden)