Firefox schrapt favicon uit url-balk vanwege beveiliging

In de nieuwe nightly-versie van Firefox is de favicon uit de url-balk verdwenen. Dat is gebeurd met het oog op de veiligheid; gebruikers kunnen nu altijd zien of een site beveiligd is. Ook is zichtbaar of een ssl-certificaat extended validation ondersteunt.

Volgens Mozilla-ontwikkelaar Jared Wein geven sommige sites een hangslotje weer als favicon, waardoor gebruikers kunnen denken dat de site een beveiligde verbinding heeft, terwijl dat niet zo is. Daarom wordt de favicon in de nieuwste nightly-build van Firefox geschrapt. In plaats daarvan wordt getoond of een website een beveiligde verbinding heeft, schrijft Wein op zijn weblog.

Is dat zo, dan wordt een hangslotje getoond; is dat niet zo, dan ziet de gebruiker een wereldbol. Als een ssl-certificaat ondersteuning voor extended validation heeft, is het hangslot groen; anders is het grijs. Bij ssl-certificaten zonder extended validation wordt de hostname niet langer getoond, omdat die al dikgedrukt wordt weergegeven in de url.

In de tabbladenlijst blijft de favicon overigens wel zichtbaar, zodat het icoontje van 16x16 pixels, dat sinds 1999 bestaat, niet helemaal uit Firefox verdwijnt. In Google Chrome gebeurt hetzelfde; ook daar wordt de favicon enkel in de tabbalk getoond. Wein verwacht dat de wijzigingen halverwege juli in de stabiele versie van Firefox worden doorgevoerd. Overigens bestaat altijd de mogelijkheid dat de wijzigingen worden teruggedraaid.

Firefox en favicons: boven de laatste stable, onder de laatste nightly

Reacties (76)

[Domokun]

Dus omdat een paar onoplettende mensen zo gemakkelijk in een simpele truc trappen, moet de rest van de Firefoxgebruikers die wel snapt hoe het internet werkt boeten. Firefox voert de laatste tijd dingen door waar ik het totaal niet mee eens ben, bijvoorbeeld ook het centreren van plaatjes op een grijze achtergrond zonder de optie dit in about:config terug te kunnen draaien. Na vele jaren gebruik toch maar eens naar alternatieven beginnen te kijken.

[Verwijderd]

huh? kan dat er niet gewoon naast ofzo dan?

[Abductee]

Het gaat erom dat sommige websites een afbeelding van een slotje gebruiken als favicon, om de gebruiker onterecht te laten denken dat de verbinding beveiligd is. Firefox haalt nu de favicon weg, zodat deze misleiding niet meer toegepast kan worden...

[cyberstalker]

Naast wat? Naast het hangslotje? Dan is er nog steeds geen duidelijk verschil tussen een site over een SSL verbinding zonder favicon, en een site zonder SSL met een slotje als favicon.

[Verwijderd]

Tuurlijk wel, de eerste is altijd dit, de tweede is altijd dat. Maar goed, het is wel verwarrend ja. Gewoon alleen de favicon in de tabs en favorieten en in de URL het slotje of de wereldbol.

[pe1dnn]

Wat voor toegevoegde waarde heeft die favicon dat je die perse wil bewaren in de URL balk? Als de reden alleen is "omdat je het nu ook kan zien" dan is dat lijkt me niet voldoende. Als het geen waarde heeft voor de eindgebruiker kun je het beter gewoon weglaten. Volgens mij stond dat icoontje daar alleen omdat het kon. Nu die misbruikt blijkt te kunnen worden kan het beter gewoon weg. Ik zal het niet missen.

[Bonez0r]

Ik gebruik het altijd om makkelijker te bookmarken (favicon slepen naar de gewenste folder). Nu moet ik dus de tab zelf gaan slepen en die staat bij mij links en een heel eind bij het bookmark menu vandaan (ik gebruik de addons treestyle tab en multiple tab handler). Waarom geven ze niet gewoon het slotje onder in de statusbalk weer, dan is het probleem ook weg en kan de favicon blijven.

[Verwijderd]

Nu moet ik dus de tab zelf gaan slepen...

Waarom zou je dat moeten?

Of er nu een icoontje staat of een slotje, je kan toch beide naar je bookmarks slepen? Ik zou niet weten waarom Mozilla die functionaliteit zou om gaan gooien.

[CrackSlet]

Zoiets heb ik ook ja. Die 2 tekens die de adresbalk daar korter door wordt zullen we ook wel overleven toch? Of zoals Morphix zegt op het tabblad, daar kijk ik veel vaker dan in de adresbalk.

[joostverkaik]

Waarom? Ik denk ook zoals Morphix zegt dat dit niet de uitgesproken plek is voor een favicon. Ik denk dat het beter past bij de tabbalk. Waarom ook twee plekken überhaupt?
Staan al genoeg icoontjes in mijn adresbalk, en een tabbalk is om aan te geven op welke pagina je zit en als extra herkenning is de favicon daar ook voldoende m.i.

[Kama]

Dat wordt een beetje raar voor sites zonder favicon en ssl.... Dan komen er 2 wereldbolletjes naast elkaar ofzoiets? Punt is dat je kwaadwillenden niet de kans wilt geven om te suggereren dat een site beveiligd is door onterecht een hangslot icoontje te tekenen.

Nu weet je in ieder geval zeker dat het icoontje in de adresbalk altijd van FF afkomt.

Ik vind het overigens wel merkwaardig dat ze kennelijk ook de lichtgroene achtergrondkleur hebben laten vervallen, want dat is imho juist veel duidelijkere "onbeinvloedbare" signalering dan dat icoontje.

[robkamp]

Ht gaat erom dat als een website SSL ondersteund dat Firefox dan een slotje toont. Als een website geen SSL ondersteund, maar als favicon een slotje icoon heeft, dat getoond wordt in de adresregel, dan kan dat de gebruiker misleiden en denken met een beveiligde website te maken te hebben.

Door nu niet meer een favicon te tonen in de adresregel, zit de gebruiker geen slotje meer in de regel als er geen SSL verbinding is. Dus geen misleiding van de gebruiker meer.

[Aphelion]

Dat staat het toch al? Ongeveer een centimeter naar linksboven.

[Futureal]

Nee, want dan weet je niet welke nu het slotje, en welke het favicon is

[himlims_]

dan zit toch de fout bij het tonen van hun slotje om aan de gebruiker kenbaar te maken dat het om een secure verbinding gaat.

wat ik veel opmerkelijker vind, en hier niets over zie. Is dat de nieuwe firefox v12 build de window UAC omzeild bij toekomstige update!

[Reactie gewijzigd door himlims_ op 23 juli 2024 05:59]

[David Mulder]

Niks omzeilen, simpelweg niet gebruik maken van features en mappen waar je extra rechten voor nodig hebt. Mooi toch

[TvdW]

Da's wat Chrome doet, ja, maar Firefox heeft een andere aanpak. Je installeert Firefox nog steeds op het hele systeem en voor alle gebruikers, maar hebt wel de voordelen van een "onzichtbare" update.

[BillyBee]

Wat een onzin - apps kun je allang installeren in de appData, microsoft support het zelfs met ClickOnce: http://en.wikipedia.org/wiki/ClickOnce
Verder zijn er portableApps die je niet eens hoeft te installeren.

Blokkeren op bedrijfs netwerken dat doe je met GroupPolicies en andere aangewezen tools.

Verder is de service methode niets nieuws. Mogelijk dat het problemen kan veroorzaken in geval van een beveiligings lek in de service, maar anders, lijkt het mij niet zo problematisch.

[Remus]

Mooi toch? Ik verwacht dat dus de volgende populaire attack vector wordt. Ik vind het zeer ernstig dat steeds meer programma's deze beveiliging omzeilen door bestanden te installeren op locaties die daar niet voor bedoeld zijn.

[Bauknecht]

Heb je eigenlijk wel de link gelezen mbt tot de UAC? Het gaat hier totaal niet over bestanden op locaties die daar niet voor bedoeld zijn, maar om een service met adminrechten die de installaties verzorgt. Op die manier is er enkel UAC nodig voor de installatie van de service, de updates die die service doet, kunnen dan stil gebeuren.
Trouwens een systeem dat Adobe Flash en Google Chrome ook gebruiken. Wens je die service niet te gebruiken, schakel je hem toch gewoon uit? Zoals ik gedaan heb bij de services van Chrome en Adobe, omdat ik die software toch zo min mogelijk gebruik.

Waar jij het over hebt, is waarschijnlijk de installatie in de AppData mapbij Chrome. Dat is inderdaad niet koosjer.

[Korben]

Hoezo is dat niet koosjer? ClickOnce, een systeem van Microsoft zelf, werkt ook op die manier.

[Joolee]

ClickOnce is dan ook met recht een bagger systeem te noemen. En niet alleen om deze reden, er zijn er meer te noemen.

[tweakerbee]

Het probleem is dat er straks een lek zit in die mooie updater service, en dat je dan zonder dat je het doorhebt programma's met admin-rechten door je OS hebt fietsen.

[SunnieNL]

Een service die applicatie voor je gaat installeren via admin rechten. Dat is niet zo best, en biedt een attach surface voor virussen die dan zonder tussenkomst van de gebruiker kunnen installeren.
Adobe flash gebruikt dat niet, ik moet bij Flash nog steeds bij elke update nog steeds de UAC melding voorbij zien te komen.

[hackerhater]

cq Die programma's zijn dus op Windows de package-manager van Linux na het bootsen?

[TvdW]

Als die daar niet voor bedoeld zijn dan moet Windows een betere map vinden om applicaties op gebruikersniveau te installeren. Mac OS X heeft dat op /Users/<naam>/Applications en ook Linux laat gebruikers applicaties installeren in bijv. /home/<naam>/bin. Wat is daar zo slecht aan?

[Zer0]

Het maakt het veel moeilijker om het installeren van applicaties te voorkomen, en dat is iets wat men in een bedrijfsomgeving wel wil.

[TMDevil]

De UAC beveiliging is er niet voor om te zorgen dat je iets niet kan installeren. Daarvoor zijn er andere methoden die veel effectiever zijn. Firefox kan je nu overigens ook al starten vanaf een USB stick.

[mschol]

helaas is het zo dat een programma dat UAC omzeilt zich in de application data directory gooit.. waardoor het tegenhouden van rotzooi op bedrijfssystemen echt een klote klus wordt...

het blokkeren van installers, of een gebruiker geen installatie rechten geven, werkt daardoor nog maar half..

[SunnieNL]

Gewoon user management applicaties als RES Workspace Manager of AppSense draaien. Daarnaast kent windows ook een applicatie guard van zichzelf die je kan gebruiken.

[Belg]

Is er al altijd geweest in Windows: %appdata%.

[TvdW]

Dat is applicatiedata, niet de applicaties zelf.

[Aham brahmasmi]

Idd. Daar komen de profielen van Firefox.

[Blue_Entharion]

Program files was de normale installatiemap geloof ik...

[Verwijderd]

Mooi? Ze gaan hun applicatie in mijn appdata folder installeren. Die is daar niet voor bedoeld

Ik zit hier niet op te wachten, ik installeer het meeste spul namelijk op een andere drive (heb een SSD en normale HDD).

[ocwil]

gebruik je toch een symbolic link problem solved kun je alles neer zetten waar je maar wilt
Dit doe ik bijvoorbeeld met een gedeelte van mijn steam games de spelen die ik wat minder vaak speel staan op me hdd maar wel met een symbolic link vanaf me ssd

[Reactie gewijzigd door ocwil op 23 juli 2024 05:59]

[YopY]

Omzeilt, en dat is op zich niet verkeerd (of moeilijk), Chrome doet het al vanaf het begin door heel eenvoudig de applicatie in de gebruikersdirectory te installeren ipv Program Files. Zolang de Firefox updateserver beveiligd blijft moet dat geen probleem zijn. Sowieso drukken mensen nu ook al klakkeloos op de 'toestaan' knop uit gewoonte.

[Verwijderd]

In een nieuwsposting over een update in FierFox aangaande verbetering veiligheid...

Een mooie reactie over het 'omzeilen' van UAC...

wat ik veel opmerkelijker vind, en hier niets over zie. Is dat de nieuwe firefox v12 build de window UAC omzeild bij toekomstige update!

...wat na wat klikwerk op de link naar de volgende URL leidt...
https://blog.mozilla.org/.../03/16/silencing-updates/

...waarbij FireFox me prompt een certificate fout in m'n gezicht gooit;

blog.mozilla.org uses an invalid security certificate.
The certificate is only valid for tbpl.mozilla.org
(Error code: ssl_error_bad_cert_domain)

[TvdW]

Het is uiteraard technisch erg mooi dat ze dat voor elkaar gekregen hebben, maar dat Firefox UAC omzeilt is niet iets waar gebruikers of ontwikkelaars bij het gebruik veel van zullen merken.

[Perkouw]

Nu moet ik zeggen dat ik een Favicon niet echt een meerwaarde vind bieden, hoewel met dat ik het typ voor mijn favorieten in de bladwijzerwerkbalk van FireFox kan het wel weer handig zijn. Evenals in je tabbladen.

Dat gezegd hebbende, als ik wil weten of een verbinding beveiligd is dan kan ik toch gewoon naar de kleur ? Voorheen vond ik dit duidelijk als ik nu kijk naar de twee verschillende plaatjes. Als iemand überhaupt al wilt weten of de verbinding beveiligd is dan klikt men meestal wel op het deel waar nu ''ING BANK N.V. (NL)'' staat voor meer informatie.

Ik heb het idee dat dit dan weer een beetje overdreven is, wellicht iemand anders een andere insteek/gedachte ?

[Remcoder]

Waarom biedt het geen meerwaarde?

Het is een onderdeel van de identiteit van de website die je bezoekt, daaraan herkennen veel mensen gelijk om welke website het gaat.

Dingen van t.net herken ik ook vaak aan de favicon van t.net.

Dus het biedt wel zeker een meerwaarde op het gebied van de marketing rond een website.

[torp]

Dus het biedt wel zeker een meerwaarde op het gebied van de marketing rond een website.

Zo kun je aan de gang blijven. De meerwaarde van een favicon is miniem. De adresbalk is om het adres van een website in te vullen, meer niet. Veel mensen zetten die balk zelfs uit.

Weet je wat (unieke feature!), zou het niet nog handiger zijn als in de favicon ook vast een korte samenvatting van de actuele content staat? De grenzeloze mogelijkheden om dit te marketen!

[Bonez0r]

Zeker als je veel tabs hebt openstaan (ik heb er zo'n 100 op dit moment), is een favicon erg handig om in één oogopslag de tab te vinden die je zoekt, in plaats van dat ik van elke tab de tekst moet lezen.. Ik zie hier nu nijvoorbeeld een aantal met rode favicon (youtube), groene (tweakers), gele (imdb) enz. Een plaatje zegt meer dan 1000 woorden.

[me_mrtn]

Jij klikt misschien op het certificaatgedeelte, maar dat doet het gros van de mensen niet. Die heeft immers te horen gekregen dat als er een slotje staat het veilig is. Die nemen het gewoon aan. Dus als er een favicon wordt gebruikt met een slotje, dan kan dat verwarrend zijn.

Nu gebruik ik zelf geen FireFox, maar ik vind dit eerlijk gezegd een behoorlijke usability blunder.

[Brummetje]

Ik kan niet zonder favicons.... In Chrome de bladwijzer balk zet ik alles in.. bewerk ik ze en haal ik de naam weg... Op deze manier staan alleen de icons er.. Ik kan nu rond de 50-80 icons kwijt in die balk

[Blitzdoctor]

Als je 10+ tabs hebt openstaan zijn ze het makkelijkst te onderscheiden ahv de favicon

[Verwijderd]

Daar ben ik niet blij mee, aangezien ik deze gebruik als snelkoppelingen zonder naar in mijn bookmark werkbalk.

Ben bang dat ik dan toch ga switchen.

[Paul - K]

Waar naartoe? Chrome gaat het zelfde doen. Opera heeft 't ook zo.

[Korben]

Gaat hetzelfde doen? Chrome doet dit volgens mij al sinds het begin zo'n beetje. Ik zie het in ieder geval al een flink aantal releases zo.

[joostverkaik]

De favicon staat ook ergens anders, in je tabblad balk.

[Morphix]

Het voegt in de eerste plaats uberhaubt niet zo veel toe, als de favicon ook al op het tabblad te zien is. Sterker nog, dat is imo een veel betere plaats voor dat ding.
Een nogal logische stap wat mij betreft, maar toch goed dat de gebruiker (van Firefox) beter te zien krijgt of hij veilig zit.

[ArtyShock]

Browsen doe ik voornamelijk met Opera en die heeft precies de aanpak die Firefox nu volgt al een tijdje. In de URL een slotje voor SSL of een wereldbol voor non-SSL. De tabjes en de bookmarks gebruiken wel het favicon.

Firefox wordt tenslotte behoorlijk wat meer gebruikt dan Opera, dus voor de wat minder technisch onderlegde gebruiker die met Firefox het web opgaat een goede zaak.

[MossMan]

En, zoals vaker, Firefox volgt Opera's voorbeeld... Wereldbol of hangslot in adresbalk, favicon in tab. Exact hetzelfde.

Vraag me daarom af of ze ook hetzelfde doorvoeren in de adres drop-down lijst, en of ze daarna dezelfde backlash van de gebruikers zullen ontvangen...

[Verwijderd]

De interfaces van alle browsers gaan steeds meer op elkaar lijken, inderdaad is het meestal Opera dat het voortouw neemt op zowel technische als aestetische vlakken.

Firefox mag er dan wel hetzelfde uitzien als Opera; als je de menu's gaat gebruiken komt het toch allemaal heel karig over. Zie ook de context-menu's. Het is net Opera Lite. En dan heb je nog dingen die (default) niet netjes geïntegreerd zijn, zoals het Downloads-venser.
Hoewel Opera bij de introductie van Opera 8 ( 5 jaar geleden?) een grote stap maakte door zeer veel functies die voorheen via de menu's makkelijk vindbaar waren, te verbergen/verwijderen of alleen via de 'config' beschikbaar te maken, is het nog steeds de browser die de meeste features hands-on toegankelijk maakt.

[NoUseWhatsoever]

Alles dat onervaren internetters helpt duidelijk te krijgen wat veilig is en wat niet, vind ik goede vooruitgang. Vooral bij de explosie in de nieuwe markten als India en Afrika zijn er veel onervaren gebruikers die overal intrappen. Als dan een favicon wordt gebruikt om daar misbruik van te maken, is het prima dat het op die locatie niet meer getoond wordt.

[mvd64]

Ik vind zo'n groot groen vlak met donkergroene letters eerlijk gezegd een stuk duidelijker dan een wit vlak met groene letters...

[Ramon]

Wat een rare oplossing, zet dan de info van de beveiliging ergens anders neer. Maar gelukkig zijn elders in de browser (tabs, favbar) de favicons nog steeds te gebruiken.