Dotaz: Bezpecnost a SOUKROMI internetovych prohlizecu

[petrfm]

Ahoj, dnes po aktualizaci firefoxu na verzi kdo vi kolik, jsem se zamyslel, proc ho jeste pouzivam, jestli je vubec jeste svobodny, nebo je to uz kopie google chrome, kam si google potichu nacpal svuj smirovaci kod.

To mne dovedlo k otazce, jestli vubec nekdo zkouma zdrojovy kod prohlizecu a zda je firefox opravdu bezpecny v tom smyslu, ze NEMUZE sam od sebe (pokud vypnu hlaseni o padu, atd) posilat nejake informace mozille, potazmo googlu, ktery ji v podstate plati. Tohle ale resit nechci, aby nevznikl flame, je tedy jedno, kam informace jdou, jde mi o to, zda je Firefox bezpecny prohlizec, ktery cti SOUKROMI.

Kdysi jsem se velmi branil pouziti google chrome, protoze jeste kdyz jsem pouzival Win, tak mne neustale obtezoval nejakymi hlaskami, prislo mi, ze bezi na pozadi a porad mi vnucuje google. Pripadal jsem si, ze mam pocitac napichnuty nejen microsoftem, ale i googlem. Proto bych se dnes, kdyz pouzivam linux a citim se mnohem lepe, mel dobry pocit i pri prochazeni webu. Jasne, weby jsou prospikovane sliditky od googlu, facebooku, twitteru, atd. To je mi jasne, ale to je moje volba, na ne chodit a kvalitu tech stranek neovlivnim. Muzu ale ovlivnit vyber prohlizece.

Proto prosim o radu a nazor tech, kteri do toho vidi, zda :

1) je firefox cisty a neposila nikam informace

2) ma google chrome v sobe neco, co posila data do googlu?

3) casto se setkavam s pojmem chromium - to je v podstate jadro google chrome, ktere se pouziva v prohlizeci chrome? Takze prohlizece vyuzivajici toto jadro pak mohou mit stejne smiracke funkce, jako samotny chrome?

Diky, P.

Odpovědi

[PanZvedavy]

1. ne

2. jo

3. ne

[Filip Jirsák]

Ad 1) a 2) – záleží na konfiguraci. Můžete si je nakonfigurovat tak, aby synchronizovaly konfiguraci, oblíbené položky, zapamatované položky formulářů atd. do cloudu, takže když se přihlásíte na jiném počítači, máte tam svou konfiguraci prohlížeče. Můžete si je nakonfigurovat tak, že používají našeptávání adres a bezpečnostní analýzu webu, kam se chystáte jít (ochrana proti phishingu a malware). Můžete je nakonfigurovat tak, že odesílají obecné informace o používání. A nebo to vše můžete vypnout, pak prohlížeč žádné informace nikam neodesílá, pouze přes DNS přeloží název požadovaného serveru a pak s ním komunikuje přes HTTP(S).

Chromium je opensource webový prohlížeč postavený na jádru Blink (fork WebKitu, což je fork KHTML). Chrome je uzavřený prohlížeč Google založený na Chromiu – tj. Google vezme Chromium, přidá k němu svůj uzavřený kód a výsledek je Chrome.

[rastos]

Ad 1) a 2) – záleží na konfiguraci.

Odporúčam otvoriť URL about:config a vyfiltrovať tie, ktoré majú v hodnote "http".

[petrfm]

to je mazec

[xkucf03]

WTF je zejména:

• devtools.gcli.jquerySrc = http://ajax.googleapis.com/ajax/libs/jquery/2.1.1/jquery.min.js
• devtools.gcli.lodashSrc = http://cdnjs.cloudflare.com/ajax/libs/lodash.js/2.4.1/lodash.min.js
• devtools.gcli.underscoreSrc = http://cdnjs.cloudflare.com/ajax/libs/underscore.js/1.6.0/underscore-min.js

+ je tam toho spousta s https://

[Zopper]

Hmm? Devtools - to bude ten panel pro "inspect element" a tyhle věci, něco jako Firebug. A s ohledem na tom, že FireFox UI je postavené na HTML, proč by ten panel nemohl používat jquery? Ty konkrétní scripty bude mít spousta stránek, takže už budou nejspíš v cache...

[xkucf03]

proč by ten panel nemohl používat jquery? Ty konkrétní scripty bude mít spousta stránek, takže už budou nejspíš v cache

Co si představuješ pod jQuery? Je to nějaký javascript, který mi právě teď přitekl odkudsi po síti po nešifrovaném spojení? Případně ten, který mi po síti přitekl před týdnem, resp. vůbec nevím, kdy a odkud, nemám nad tím žádnou kontrolu? Nějaká neuchopitelná posloupnost bajtů, která se může kdykoli změnit, aniž bych se o tom dozvěděl, a za kterou nikdo neručí a nikdo se pod ni nepodepsal? (nemluvím o skutečných autorech knihovny, ale o neznámých zdrojích + MITM, od kterých se soubor s daným názvem stahuje)

Tohle má hezky řešené XML – JavaScript by se tím mohl inspirovat. Viz /etc/xml. Máš tam definované např.

<?xml version="1.0"?>
<!DOCTYPE catalog PUBLIC "-//OASIS//DTD XML Catalogs V1.0//EN" "file:///usr/share/xml/schema/xml-core/catalog.dtd">
<catalog xmlns="urn:oasis:names:tc:entity:xmlns:xml:catalog">
  <delegatePublic publicIdStartString="-//OASIS//DTD XML Catalogs V1.0//EN" catalog="file:///usr/share/xml/schema/xml-core/catalog.xml"/>
  <delegateSystem systemIdStartString="http://globaltranscorp.org/oasis/catalog/xml/tr9401.dtd" catalog="file:///usr/share/xml/schema/xml-core/catalog.xml"/>
  <delegatePublic publicIdStartString="-//GlobalTransCorp//DTD XML Catalogs V1.0-Based Extension V1.0//EN" catalog="file:///usr/share/xml/schema/xml-core/catalog.xml"/>
  <delegateSystem systemIdStartString="http://www.oasis-open.org/committees/entity/release/1.0/catalog.dtd" catalog="file:///usr/share/xml/schema/xml-core/catalog.xml"/>
</catalog>

A XML, které se odkazuje na definované URI (např. DTD, šablony atd.), dostane soubor hezky z tvého disku (kam se dostal přes standardní balíčkovací systém tvé distribuce – samozřejmě v podepsaném balíčku) a nic se nebude stahovat ze Sítě.

Jednak to šetří šířku pásma a snižuje odezvy aplikací a jednak je to bezpečné a spolehlivé – takový systém se pak chová deterministicky, předvídatelně – ne nahodile podle toho, co ti zrovna nějaká externí entita podstrčila.

[Jendа]

Nepovedlo se mi to stažení vyvolat (gcli jsem spustil a chvíli v něm písmenkoval).

[nobody]

chromium je opensource na kterem je postavene chrome pridanim par vlastnost (smiractvi,flash,obarvena_ikona)
to je oficialne, kolik a jestli je pripadne zadnich vratek/sledovacu neoficialne v chromium tezko rict...

at uz firefox nebo chromium(nebo jinej prohlizec), smirujou te stranky na ktere lezes, takze jestli nemas Ghostery kterej je deaktivuje, tak pres na strankach umistene facebook_like, google_sluzby, reklam_sluzby atd se o tobe da poznat/propojit kde co...

dalsi vec je otisk prohlizece

proste pokud "totalni" chces soukromi, je potreba se odpojit od internetu a odstehovat do lesa...

[petrfm]

Jasne, rozumim, ze tajemstvi neexistuje, ale rad bych minimalizoval mnozstvi info, ktere o mne nekam putuje.

Takze chromium bylo drive, nez chrome? A firefox je postaveny na cem? Ma sve vlastni jadro?

Hele, na prvni pohled, ghostery = nedavam informace o svem pohybu na internetu googlu, ale jine firme, je to tak? Idealni by proste bylo, kdyby prohlizec prelozil IP webove stranky a zakazal presmerovani a pristup na jine servery. Vim, ze by tak nejely ruzne pluginy na strankach, ale to je mi u prdele. Jde mi o to, aby kdyz otevru frantatomsuxxx.cz tak se netahaly ikony, pisma a kraviny z webu google, fb, atd. Ze to rozbije pulku webu, to je vec druha. Ja se treba snazim tyhle veci na svych webech omezovat a cachovat si nahledy treba youtube videi, takze je na uzivateli, jestli klikne a video si prehraje, ale google ho na mem webu nespehuje, protoze komunikace bezi jen mezi klientem a mym webem.

To jsme ale odbocili.

[Filip Jirsák]

Chromium a Chrome vznikly současně. Obojí vytvořil Google, akorát to celé neudělal jako jeden uzavřený prohlížeč, ale vyčlenil otevřenou část, kterou nazval Chromium, a teprve na ní staví svůj uzavřený prohlížeč – Chrome.

Firefox má své vlastní jádro – Gecko.

To tahání obrázků, písem a skriptů z jiných serverů není nějaký rozmar autorů webů, ono to má pro uživatele pozitivní efekt. Tyhle statické soubory poskytují web servery, které jsou na poskytování statických souborů optimalizované, takže je dokážou poskytovat rychleji, než obecný server. Navíc těch serverů může být víc, tím pádem mohou být blíž uživateli, takže se zkrátí doba odezvy serveru. Další efekt (i když méně výrazný, než bylo v plánu) je to, že ty soubory mohou být sdílené mezi různými weby (třeba když různé weby používají jQuery ve stejné verzi), takže ty soubory mohou být nakešovány v prohlížeči u uživatele a síťová komunikace odpadne úplně.

[petrfm]

Jasne rozumim, ale tohle jen dokazuje, ze kazde smirovani je dnes doprovazeno dobrym umyslem. Bohuzel, clovek si musi vybrat, zda horsi odezva, nebo smirovani. Ja mam jasno.

[Filip Jirsák]

Váš výklad pojmu "šmírování" je asi velmi široký. Pravděpodobně pod něj spadá i to, že když se chcete podívat na nějakou stránku, prohlížeč naváže TCP/IP spojení s příslušným serverem (takže server zjistí, že se k němu chce připojit někdo s určitou IP adresou), a pak ještě pošle požadavek na konkrétní stránku (takže server dokonce zjistí, kterou přesně chce uživatel stránku). Podle mne je takové vymezení kontraproduktivní, protože to odvádí pozornost od takového šmírování, které je doopravdy nebezpečné.

[nobody]

a jeste zkus prosim vylozit pojem demagogie ;)

[petrfm]

Rozumim, samo o sobe by to nebyl problem, neni to zadny zasadni unik informaci, kdyby dany server nedokazal diky tomu zjistit, odkud dany uzivatel prisel. A protoze z refereru se to zjistit da, neni potom tak tezke, zacit propojovat stranky, uzivatele a tyhle informace vy(zne)uzivat.

[Filip Jirsák]

V tom případě ale stačí prohlížeči zakázat posílat referery, ne?

[petrfm]

To muzes udelat ty, nebo ja (i kdyz ani nevim, ze to jde), ale ne treba navstevnik eshopu, nebo webu, ktery je pak diky takovym vymozenostem dokonale sledovan a profilovan.

[Filip Jirsák]

U návštěvníka e-shopu je z refereru zajímavá informace jenom o tom, odkud do e-shopu přišel. Pro další pohyb po e-shopu už není refrer potřeba, protože o něm má obchodník kompletní přehled i bez jakékoli „sledovací“ technologie. A u toho příchodu ten referer také není tak zajímavý, protože různé reklamní kampaně bude mít e-shop označené i bez refereru. Takže z refereru je pro ten e-shop zajímavé nanejvýš to, z jakého přišel uživatel vyhledávače, případně zda přišel z nějakého článku nebo blogu.

Jinak to, že e-shop vytváří můj profil podle toho, co navštívím, považuji za velké plus. Jsem mnohem radši, když mi nabízí věci, které kupuji, než kdyby mi nabízel nějaké (z mého pohledu) nesmysly. A nepovažuju to za šmírování, v klasickém koloniálu věděli o zákazníkovi mnohem víc, než co ví e-shop.

[petrfm]

Spatne jsi to pochopil. Vidim to z pozice majitele eshopu. Kdy defakto pouzitim takovych skriptu, ktere se tahaji ze serveru tretich firem, posilam tem firmam info o SVYCH zakaznicich. A dale, ze se zase konkretni osoba muze timto profilovat. Podle toho, jake zbozi navstivi, apod. Pak staci, aby se pripojila ke sluzbe, kde ma vyplnene osobni udaje, na ktere dana firma dosahne (typicky nejaky profil, na FB, google+, twitteru a jinych) a uz vime, o koho se jedna. A muzeme nabizet konkurencni zbozi za lepsich podminek. Hmm? Uz chapes?

[Filip Jirsák]

To je ale čistě na rozhodnutí toho e-shopu, zda na své stránky ty skripty třetích stran přidá. Skripty konkurenčních e-shopů na svůj web asi přidá jen blázen.

[Jendа]

Eshopy, eshopy… Ale Era (a tedy asi i ČSOB) mají Google Analytics uvnitř internetbankingu!

[Filip Jirsák]

Mají tam vložený skript z domény Google, nebo vlastní?

[Jendа]

Se podívejte… Normálně z GA (po přihlášení je to tam taky).

[Filip Jirsák]

Tak to je poněkud zvláštní, asi autoři nevědí, že se GA dá používat i bez toho vloženého skriptu. I když pokud mají udělané správně ověřování transakcí (nezávislým kanálem), může Google nanejvýš teoreticky číst data (zůstatek účtu, pohyby na účtu), ale nemůže dát žádný příkaz. Na druhou stranu, pokud bych měl porovnávat důvěryhodnost české banky a Google, nevím nevím, zda by vyhrála ta banka...

[xkucf03]

pokud mají udělané správně ověřování transakcí (nezávislým kanálem), může Google nanejvýš teoreticky číst data (zůstatek účtu, pohyby na účtu), ale nemůže dát žádný příkaz

Např. když je to SMS, tak by v ní měly být všechny kritické údaje (komu a kolik platím, měna…) a uživatel by si je měl zkontrolovat a podle toho kód ze SMS opsat. Ale asi se najde dost uživatelů, kteří rovnou opisují kód…

Další věc je, že pro doménu blabla.google.com může uživatel v klidu odkliknout varování o neplatném certifikátu, protože to nepovažuje za důležité, nechce to řešit… navíc to na něj vyskočí z jiné stránky než z bankovní (opět z nějaké nedůležité, kde si uživatel nedává pozor a ani ho nenapadne přemýšlet o bezpečnosti). MITM útočník si tak připraví půdu a pak toho schváleného certifikátu využije ve chvíli, kdy se uživatel přihlašuje na nějakou důležitou stránku.

Na druhou stranu, pokud bych měl porovnávat důvěryhodnost české banky a Google, nevím nevím, zda by vyhrála ta banka...

Řetěz je tak silný jako jeho nejslabší článek – a není důvod do něj přidávat další články s nedefinovanou nebo nižší/vyšší spolehlivostí. A viz výše – i kdyby Google byl svatý a vše měl perfektně zabezpečené, klient vůbec nemusí komunikovat s Googlem, ale s MITM útočníkem.

[Filip Jirsák]

To, že klient nekomunikuje s Googlem, ale s útočníkem, může daleko snáz nastat přímo u banky. Protože certifikátům Google minimálně Chrome věnuje zvláštní pozornost, což pro českou banku asi neplatí.

[petrfm]

Panove, jdete na to strasne jednoduse. Nevim, jestli jsem uz takovy paranoik, nebo mam jen vetsi predstavivost, ale do prcic, to si jako vazne myslite, ze google potrebuje nekomu hackovat bankovni ucet?! Ze firmu, ktera by utahla rozpocet nasi republiky, zajima nejakych priblblych par korun na Vasich uctech?

Tady jde o neco uplne jineho. Jde o to, ze stav bankovniho uctu je v dnesni dobe obrazem cloveka. Pokud nekdo vidi do IB, tak ma pristup samozrejme i k platbam, proste ten obrazek, tza vase "slozka" se plni daty. Tady se kazdy ohani tim, jak STB plnila slozky lidi informacemi, ale kazdemu je dneska u prdele, ze firmy jako google vedi co snidate, v kolik vstavate, jakou mate stolici, jake berete leky, co mate v diari, jake veci hledate, jake nakupujete, s kym komunikujete, koho milujete, koho podvadite, s kym sukate, kolik mate na ucte, kolik jste si pujcili, kolik jste si chteli pujcit, ale nedostali jste, kam posilate penize, odkud vam penize chodi, jake mate auto, jake mate spodary, jake mate kremy na bedary, kam jedete na dovolenou, kde jste byli na dovolene, jak tam bylo, maji vase fotky, videa, audio. Muzu psat jeste pet minut... je to malo? I kdyby byl agent STB vase milenka, nebo manzelka, neziskal by ani tretinu informaci, co o vas vi google. Pulku ma z toho, co mu lidi sami sveri, druhou pulku mu zajistuji prave tyhle smiracke praktiky a skripty na webu, protoze webu se vetsina lidi sveruje vice a vice, dokud se nezamyslite, jake informace projdou Vasi klavesnici a mysi, tak si to ani neuvedomite.

[pavlix]

Panove, jdete na to strasne jednoduse. Nevim, jestli jsem uz takovy paranoik, nebo mam jen vetsi predstavivost, ale do prcic, to si jako vazne myslite, ze google potrebuje nekomu hackovat bankovni ucet?! Ze firmu, ktera by utahla rozpocet nasi republiky, zajima nejakych priblblych par korun na Vasich uctech?

Ty si myslíš, že v googlu nepracují lidi? :)

[petrfm]

To ano, ale myslim si, ze google si dava na toto pozor. Kdyby se provalilo, ze nekdo vinou googlu, nebo nejake google sluzby prisel o prachy, byl by to pro google desnej pruser. Ano, asi je mozne si takto umest cesticku pro utok jinym zpusobem, ale neverim, ze by google, nebo nejaky jeho zamestnanec vedl utok na neci internet banking zpusobem, ktery by jasne nasvedcoval tomu, ze za to mohl nejaky google script. I ta banka v pripade, ze k nejakemu utoku dojde, urcite zjistuje, jak se to stalo, nebo mohlo stat a pokud nenajde zadny cizi pristup k IB?

Ale kdyz se nad tim zamyslim, asi se to da udelat tak, aby na to neslo prijit Jenom je docela pravdepodobne, ze nad lidmi, kteri maji v google pristup k takovym informacim, jsou nejake kontrolni mechanismy. I kdyz kdo vi, do doby nbusr123 si to mohl clovek u NBU myslet taky

[Filip Jirsák]

Tady se kazdy ohani tim, jak STB plnila slozky lidi informacemi, ale kazdemu je dneska u prdele, ze firmy jako google vedi co snidate…

Ne, Google to neví. Google by to mohl vědět, ale neví to. V tom je diametrální rozdíl. To, co věděla StB, mohl teoreticky vědět kde kdo – jenže ty informace neshromažďoval. Právě na rozdíl od StB.

[Jendа]

Ne, Google to neví. Google by to mohl vědět, ale neví to.

Lze tuto informaci nějak ověřit? Rozsvítí se mi někde světýlko když to najednou začne vědět?

[Filip Jirsák]

Třeba se lze podívat do toho skriptu ga.js, který by ty bankovní výpisy měl získávat.

[ano]

Skript sa moze kedykolvek zmenit, napr. aj cielene a clovek to nezisti, ak na to teda explicitne celu dobu neciha.

Dalej uz len samotny fakt ze google vie kedy leziem do bankovnictva, a ze MOZE ziskat vsetky moje udaje, pripadne ich skusit ukradnut je na zamyslenie.

Dalsia dobra otazka na zamyslenie je ako budem dokazovat, ked sa nejaky z adminov v googli rozhodne vyluxovat mi konto. Ako dokazem banke ze z googlu mi prisiel javascript kvoli ktoremu som videl nieco ine nez som odoslal?

Na riesenie trivialnych problemov sa z lenivosti/nevedomosti/blbosti pouzivaju postupy, ktore generuju tazko riesitelne problemy "niekoho ineho"

[Filip Jirsák]

Dalsia dobra otazka na zamyslenie je ako budem dokazovat, ked sa nejaky z adminov v googli rozhodne vyluxovat mi konto. Ako dokazem banke ze z googlu mi prisiel javascript kvoli ktoremu som videl nieco ine nez som odoslal?

Pokud má vaše banka alespoň základně zabezpečené bankovnictví, potvrzujete transakce nějakým nezávislým kanálem. Např. vám přijde SMS s údaji o transakci a vy z ní opíšete bezpečnostní kód, pokud údaje souhlasí. Takže JavaScriptem může někdo měnit co chce, ale v SMS uvidíte ty skutečné údaje.

[xkucf03]

Pokud v tom mobilu neběží proprietární build (jinak svobodného) Androidu od Googlu…

[xkucf03]

+1

[petrfm]

Hele, ty do toho asi vidis vice, nez ja... Co se pres takovej javascript da vsechno ziskat? Da se ziskat jakakoliv informace na vygenerovane strance a odeslat na server? Da se pomoci JS treba pristupovat i na ostatni otevrene stranky v prohlizeci? Do historie? Da se stahnout cizi cookies, nebo zjistit, jestli je ulozena? Nebo jsou proti tomuhle prohlizece nejak chranene?

Jde o to, jestli kdyz mam v prohlizeci nacachovane pristupy treba na IB, ebay, aukro, paypal, google ucet, facebook, apod, jestli muze stranka, ktera obsahuje nejaky script zjistit, ze jsem na techto strankach byl, pripadne ziskat nejaky ulozeny login - to asi ne, ale treba cookies s session, nebo necim, cim mne dokaze identifikovat?

[Jendа]

Co se pres takovej javascript da vsechno ziskat? Da se ziskat jakakoliv informace na vygenerovane strance a odeslat na server?

Ano (hledej XSS, což je technika, jak to zneužít).

Da se pomoci JS treba pristupovat i na ostatni otevrene stranky v prohlizeci?

Nemělo by, ale moc bych tomu nevěřil.

Do historie?

Jde ověřit, jestli je konkrétní stránka v historii. Přímo vypsat historii by jít nemělo (opět, nevěřil bych tomu).

Da se stahnout cizi cookies, nebo zjistit, jestli je ulozena?

Nemělo by.

Nebo jsou proti tomuhle prohlizece nejak chranene?

Existují různé ochrany, které omezují, co může skript na jedné stránce dělat s jinou stránkou, a na skoro každou takovou metodu minimálně deset útoků

jestli muze stranka, ktera obsahuje nejaky script zjistit, ze jsem na techto strankach byl

Ano.

pripadne ziskat nejaky ulozeny login

Jen když je bug v prohlížeči (na same origin policy něco bylo) nebo na té stránce, na kterou se útočí (XSS, CSRF).

[Peter Golis]

Alebo ten tovar a služby ponúkne starému zákazníkovi za horších podmienok. Zľavy sa predsa týkajú hlavne nových zákazníkov.

[nobody]

firme Ghostery nedavas informace o pohybu, seznam trackeru ktere blokuje(s) se ti aktualizuji do lokalniho uloziste doplnku... pokud nekdo alespon trosicku chce minimalizovat soukromi je Ghostery prvni co by mel nainstalovat a pak povypnout veskere auto-vlastnosti prohlizece :)

[pavele]

Běž na tyto stránky nebo zkus paypal a na druhé ploše si spusť xterm jako root a napiš:

netstat -natup

Zasměješ se, když uvidíš, kam se všude připojuje Firefox...

[petrfm]

Da se to nejak refreshovat? nebo ulozit vyfiltrovane jen na ten firefox do souboru? Asi pres STDOUT a grep, ze?

Existuje tedy nejaka mene smirujici varianta prohlizece pro linux?

[Jendа]

Da se to nejak refreshovat? nebo ulozit vyfiltrovane jen na ten firefox do souboru? Asi pres STDOUT a grep, ze?

Doporučil bych použít nějaký software na analýzu HTTP(s) provozu přímo určený. Třeba Burp (komerční, existuje osekaná free verze, která bohatě stačí). Nebo OWASP něco má.

Existuje tedy nejaka mene smirujici varianta prohlizece pro linux?

Možná Midori nebo qupzilla… Zase tam nepojedou důležitá rozšíření jako HTTPS Everywhere nebo Do Not Track Me.

[nobody]

parametr c pridava continued rezim (tedy refresh po 1s)...
btw: vis ze ten Net Activity Viewer kterej se ti libil dela +- to same vcetne autorefresh,filtrovani,ulozeni do txt atd ? ;)

[petrfm]

Vidis, to je fakt... ja to jeste nezkousel, nenasel jsem chvilku casu. Nainstaluju a zabiju dve mouchy jednou ranou, diky za tip

[JanM]

pokud nekdo alespon trosicku chce minimalizovat soukromi je Ghostery prvni co by mel nainstalovat

Spíše maximalizovat, ne?

[2015]

Možná jsem paranoidní, ale Ghostery se mi moc nezdá. Nenahradím tak jednoho "špióna" jiným?

[nobody]

ne nahradis desitky az tisice spionu jednim nespionem :)
pokud jsi tak paranoidni udelej si audit dostupneho codu (nebo si ho rozbal primo z doplnku)
pokud te napadlo, co z toho Ghostery ma pokud neni spion ? pripadne cele FAQ
no a taky muzes pouzivat lynx, links, nebo holuba ;)

[2015]

Na notebooku, kde mi v podstatě nezáleží na funkčnosti určitých stránek (hlavně mi jde o svobodu a soukromí), jsem přešel na GNU IceCat.

Na druhém počítači nechám Firefox s tím, že použiju Ghostery... Díky!

[jadd]

Společnost Evidon Inc se sama živý reklamou. Ještě když existovala stránka evidon.com a měl jsem zaplé Ghostery jejich trackery doplněk neregistroval. Proč? Dle mého doplněk stvořili jen pro ničení konkurence. Dnes se stránka evidon.com přesměruje do https://www.ghosteryenterprise.com/company-overview/

[jadd]

Zkrátka možná bezpečnost na webu je možná jen s dopňky Adblock Plus, NoScript (bluehell-minimalistic fork), LibreJS!

[nobody]

AdBlock Plus ma nasmlouvane partnery ktere ji plati za to ze je neblokuje (Google, Amazon, Microsoft,Taboola) takze si to klidne pouzivej, ja rozhodne vzdy radeji sahnu(l) po serioznejsim AdBlock

Tady ale nikdo(ani Ghostery Inc.) nepopira spojitost s Evidon, ani to ze prodavaji anonymni data z GhostRank (ten je ale vypnutej, a nic se neodesila pokud/dokud to nezapnes)... z Ghostery FAQ:
- Jak vyděláváte peníze?
- Co přesně je Ghostrank?
- Nevlastnila vás společnost Evidon? Co se s ní stalo?

[Josef Kufner]

AdBlock není open-source, to jen ukradl jméno staršímu projektu. AdBlock Plus ano (ten ten starší projekt forknul).

[nobody]

no nevim, ja pouzivam AdBlock kterej je GNU GPLv3 a narozdil od AdblockPlus se nezaprodava ;)

[David]

A co privacy badger, je to od EFF. Pravda není to automatické, musíš se sám rozhodnout co chceš blokovat.

[nobody]

hodne letmej pohled na info, vypada to dobre, melo by to kombinovat Adblock i Ghostery, postavene na AdblockPlus ale EFF se verit snad da ze to nezaproda :) ale zasadni problem je jen pro FF a Chrome a neni pro Operu(12) kterou pouzivam, v budoucnu ma bejt pro Opera, ale pocitam ze verzi >=2x. Nicmene dik za tip vyzkousim to s Vivaldi :)

[nobody]

tak s Vivaldi problem ze se nedostanu do nastaveni(zatim umi extension neofiko a nezobrazi mu ikonu) kde je potreba rucne zakazovat :)
zkusil sem teda v chrome... snad pridaj "switch pro vse" a moznosti s "nastavit vychozi chovani" :)

[kuba77]

Já používám už jen µBlock s vhodně zvolenými filtry. Dřív jsem používal Adblock + Ghostery a Facebook disconnect. Ale zjistil jsem, že mi stačí jen µBlock, vyblokuju s ním kromě reklam také všechny ty like tlačítka, GA a spoustu dalších věcí.

[tomvec]

Dá se někde najít "lidsky srozumitelný" popis jednotlivých filtrů pro uBlock, ať to člověk nemusí luštit ze zdrojáků filtrů? Který filtr řeší šmírovaní ala Google Analytics?

[xkucf03]

Ten používám současně s AdBlockem, vhodně se doplňují.

[Jendа]

K Firefoxu.

Jasne, weby jsou prospikovane sliditky od googlu, facebooku, twitteru, atd.

Něco se dá omezit rozšířeními jako Do Not Track Me nebo Ghostery.

[xkucf03]

Tohle by dle mého měla být integrální součást prohlížeče resp. obecně způsobu, jakým lidé přistupují k webu.

Až jednou napíšu vlastní prohlížeč :-), tak to tam bude. Ve výchozím stavu se budou načítat prvky (obrázky, skripty atd.) pouze z domény, kterou vidí uživatel v adresním řádku. A uživatel si bude moci vytvořit graf, co se odkud může načítat. Příklad:

*.abclinuxu.cz → *.itbiz.cz
*.root.cz → *.twitter.com
* → imgur.com
moje-doména.tld → *

Kde *. znamená všechny poddomény. A * libovolnou doménu (používat opatrně).

Tzn. když budeš na Ábíčku, budou se moci načítat obrázky z ITBizu, když budeš na Rootu, budou se moci načítat věci z Twitteru. Ze všech webů půjdou načítat obrázky z imgur.com. Ze svojí domény si můžeš načíst, co chceš.

Dále to bude mít správu JavaScriptových knihoven – podle URL se detekují známé knihovny včetně jejich verzí a nebudou se stahovat z různých nedůvěryhodných CDN, ale vezmou se z tvého disku, kam sis prověřené knihovny nainstaloval. Tzn. i když se web bude odkazovat na http://nějaká-šmírácká-cdn.com/nsa-upload/jquery-1.2.3.js, tak se nic takového stahovat nebude a použije se tvoje lokální knihovna.

A teď už se jenom naklonovat a tohle všechno napsat.

[Václav "Darm" Novák]

Zvlášť ty lokální knihovny zní jako super nápad a solidní urychlovač.

[2015]

Nestačilo by pouze vzít existující jádro (Gecko apod.) a trochu si s ním pohrát? Jinak jestli to opravdu napíšeš a vydáš pod nějakou "rozumnou" licencí (nejlépe asi GNU GPL v3), tak se hlasím jako tester.

[xkucf03]

Nestačilo by pouze vzít existující jádro (Gecko apod.) a trochu si s ním pohrát?

Vlastní jádro určitě psát nechci, to není v mých silách. I se samotným prohlížečem bude dost práce.

A zatím uvažuji spíš o WebKitu.

Jinak jestli to opravdu napíšeš a vydáš pod nějakou "rozumnou" licencí (nejlépe asi GNU GPL v3), tak se hlasím jako tester.

Díky. A i tu licenci jsi trefil

[nobody]

a co zkusit nepsat ani vlastni prohlizec, ale zkouknout jestli nemas cim prispet do Otter Browser ? ;)

[xkucf03]

Mám i trochu jinou představu o UI (panely, historie, záložky…).

[nobody]

pokud mas jinou predstavu nez latku kterou nastolila s ui/ux opera a ktere se otter drzi, tak preju hodne stesti s vymejslenim kola ;)

[xkucf03]

Horizontální lišta s panely je podle mého už přežitek Totéž ten koncept otevřených panelů/oken celkově. Nevyhovuje mi to striktní dělení na otevřené, oblíbené a historické¹ stránky. Možná to má podobně víc lidí… V mém případě se ty hranice stírají – obvykle mám spoustu² otevřených panelů, ale zdaleka ne všechny chci mít v tu chvíli otevřené³, ale velká část z nich patří spíš do oblíbených, do zásobníku „přečíst později“ nebo prostě do historie prohlížení. Jednou za čas udělám čistku, přidám všechny panely⁴ do složky v oblíbených. Pak se k tomu někdy vracím, třeba vím, že jsem to měl před týdnem otevřené a teď je čas to dořešit. Další věc je hledání – hodil by se fulltext nad dříve navštívenými stránkami. A tím se dostáváme k archivu – chci mít možnost si některé stránky prohlížet offline – ale tak, aby to bylo spolehlivé a zároveň pohodlné – abych nemusel stránku ručně ukládat na disk, aby ji stačilo označit jako offline, ale zároveň aby to nebylo jen v mezipaměti prohlížeče (která časem dojde a staré věci z ní v tichosti vypadnou, nebo ji občas promažu – označené offline stránky by se mazat neměly, pokud to explicitně nebudu požadovat). Co se týče historie – historie není nějaký plochý seznam typu datum/url, historie je strom – někdy se hodí zpětně vědět, odkud jsem na kterou stránku přišel, kolikrát a kdy jsem na ní byl (tzn. ne jen poslední návštěva) a někdy i změny mezi jednotlivými návštěvami. V ideálním případě by mi měl prohlížeč umět graficky vyznačit, co se na stránce změnilo od mé poslední návštěvy.

_{[1] nacházející se v historii
[2] že se to do horizontální lišty nemůže vejít, je celkem zřejmé
[3] vykreslené a požírající paměť a CPU nebo dokonce komunikující po síti; když už jsme u toho: zatěžovat CPU a komunikovat po síti by měla pouze aktuálně zobrazená stránka, stránka, kterou jsem právě otevřel na pozadí, nebo stránka které jsem to explicitně dovolil (např. chat nebo webmail, u kterých chci dostávat nové zprávy – vše ostatní musí být uspané a čekat, až se na to já budu chtít podívat – do té doby ať se nestahují žádné odpadky z reklamních serverů, sociálních sítí nebo cokoli jiného a neodesílá se nic na šmírovací servery)
[4] typicky mám otevřeno ještě víc oken – co okno, to nějaké téma, řešený problém, hledání atd. – takže i do oblíbených to jde do samostatných složek}

[nobody]

fajn, tak nic neni v rozporu z opera/otter(+future) ui :)

osobne horizontalni listu s tab nepovazuju za prezitou, ale jinak opera(12) ma moznost vypnout horizontalni tab listu a moznost zobrazit v sidebar vertikalni seznam tabu, vivaldi ma moznost prepnout na vertilalni nahled tabu(vlevo,vpravo) nebo nic, otter zatim volbu zmeny nema...

uvital bych to fulltext prohledani cache, mrznuti neaktivnich tab (ihned, po nastavitelnem neaktivnim casu, s vyjimkou na pozadani/whitelist), archivaci i vetsi kontrolu nad historii :)

jak si predstavujes nahradu za open/cache/history ? sjednotit to do $pages a tagovat ? user tagy pro trideni a specialni system tagy jako inmemory, offline, favori, notifychanges, atd ? :)

[xkucf03]

ale jinak opera(12) ma moznost vypnout horizontalni tab listu a moznost zobrazit v sidebar vertikalni seznam tabu

Jestli je to horizontálně nebo vertikálně, je jen vnější projev – důležitější je, co je za tím. I když je pravda, že do seznamu/stromu na výšku se toho vejde víc a líp se to čte – navíc dneska jsou spíš širokoúhlé monitory.

Jak si predstavujes nahradu za open/cache/history?

V každém okně prohlížeče bude jen jedna stránka a žádné „taby“. Po straně bude skrývatelný panel, který bude zobrazovat různé pohledy na ty otevřené/oblíbené/historické/… stránky. Některé z těch perspektiv:

• strom/graf historie
• klasický chronologický pohled na historii
• klasický strom oblíbených
• štítky oblíbených a další kategorizace
• fulltextové vyhledávání
• otevřené webové aplikace (chat, webmail atd.)

Celé by to běželo nad nějakou databází v rámci prohlížeče a bylo by to řešené přes moduly (šlo by snadno přidávat další pohledy).

Některé ty pohledy můžou být přes celou obrazovku, ne jen v postranním panelu – např. fulltextové vyhledávání, velký graf historie, náhledy stránek…

mrznuti neaktivnich tab (ihned, po nastavitelnem neaktivnim casu, s vyjimkou na pozadani/whitelist) … inmemory, offline, favori, notifychanges

Přesně tak. A co nejvíc by se toho dělalo automaticky, aby to uživatel nemusel řešit, pokud nechce.

• Aktivní stránka (na kterou se právě dívám) by mohla vytěžovat paměť, CPU a síť celkem libovolně (šlo by jí nastavit nějaké limity).
• Stránka otevřená v pozadí (prostředním tlačítkem myši) by měla pár vteřin na načtení. Když to nestihne, zbytek se načte, až se na tu stránku přepnu.
• Nepoužívaná stránka se po určitém čase uklidí do historie – uvolní paměť. Případný stav (formuláře) se uloží a je možné ho obnovit. Pro uživatele to bude transparentní – plynulý přechod – ani nebude vědět, že se stránka uklidila (akorát přestane žrát paměť). Půjde ji obnovit i bez připojení k Internetu (jako když si ji dnes nechám v otevřeném panelu – akorát to nebude v RAMce, ale na disku). Po delší době nebo po naplnění limitu mezipaměti se obsah smaže i z disku – po stránce zůstane jen záznam v historii, že jsem na ní byl a odkud jsem tam přišel.
• Vybrané stránky si označím, že mohou být trvale aktivní i na pozadí (viz ten chat, webmail atd.)
• Vybrané stránky si trvale archivuji (klidně i ve více verzích)
• Vybrané stránky můžu držet trvale v RAM.

[Josef Kufner]

Tohle zní celkem hezky, ale celý prohlížeč nenapíšeš. Na to zapomeň. Vem něco existujícího a udělej ty pohledy na historii/taby/něco jako plugin. Firefox lze přiohýbat celkem hodně a budeš mít od začátku použitelný prohlížeč.

[petrfm]

Ja treba vubec nechapu, proc by mel jakykoliv web odkazovat na primo na zdroje z jinych webu. Proc to do prdele necachuje? Kdyz se pripojim na seznam.cz, tak proto, ze chci cerpat data ze seznam.cz a ne dalsich x jinych zdroju.

Tahle prasarna prave muze za to, ze se lidi nevedomky muzou spehovat a sledovat necim, jako treba pro mne perverznim google analytics, nebo ikonama facebook, twitter, atd.

Proste tohle by melo jit impicitne zakazat a pak by na to museli reagovat i tvurci webu, protoze samozrejme by se lidem prestal zobrazovat obsah.

Tohleto zprostredkovani obsahu a moznost sledovat skrze nej pohyb lidi na webech, to je ohromne zlo, zvlaste, pokud se pak ty data soustredi v rukach jedne, dvou firem. Daji se s tim delat ohromne veci a nejhorsi je, ze vetsina lidi o tom vubec nema poneti, ze se neco takoveho deje a ze kdyz se pripojuji na web pepy, ze o tom vi facebook, google, twitter a dalsich 10 webu, odkud se tahaji jine 3,14coviny.

[2015]

Jak jsou na tom, co se týká soukromí, GNU IceCat, resp. IceWeasel?

[L_l]

No jelikož je IceCat takovým svobodným derivátem Firefoxu, mohl by na tom být snad i dobře. V GNU/Linux distribuci TRISQUEL se dá stáhnout dokonce s nakonfigurovaným přístupem k TOR. Lze jej použím při aktivaci okna pro anonymní prohlížení.

[Jendа]

Icecat nevím, Iceweasel je na tom stejně jako Firefox.

[2015]

Díky

[nobody]

cistej IceCat vypada ze je bezpecnejsi nez cistej FF, viz:

• LibreJS: GNU LibreJS aims to address the JavaScript problem described in Richard Stallman's article The JavaScript Trap.
• Https-Everywhere: Extension that encrypts your communications with many major websites, making your browsing more secure.
• SpyBlock: Blocks privacy trackers while in normal browsing mode, and all third party requests when in private browsing mode. Based on Adblock Plus.
• AboutIceCat: Adds a custom "about:icecat" homepage with links to information about the free software and privacy features in IceCat, and checkboxes to enable and disable the ones more prone to break websites.
• Fingerprinting countermeasures: Fingerprinting is a series of techniques allowing to uniquely identify a browser based on specific characterisics of that particular instance (like what fonts are available in that machine). Unlike cookies the user cannot opt-out of being tracked this way, so the browser has to avoid giving away that kind of hints.

[Jendа]

Líbí se mi to Fingerprinting countermeasures. Zbytek už mám i v Iceweaselu jako rozšíření a moc to neadresuje ty problémy co jsem zmínil výše.

[butylvybulzer]

nývlt je angličan no super

[butylvybulzer]

co se tyce netu,na nem neni bezpecny vubec nic,tak to resim jinak:v pocitaci,ktery je pripojen k netu nonstop NEMAM VUBEC zadna data na kterych mi zalezi,vse mam na vnejsich ulozistich,ktera ihned po nahrani dat od pocitace odpojim,NEMAM ani ucet v zadny zlodejsky bance,takze asi tak

[Jendа]

vse mam na vnejsich ulozistich,ktera ihned po nahrani dat od pocitace odpojim

Ještě štěstí, že naše řešení pro distribuované počítání skenuje a nahrává i soubory z externích médií když jsou připojena.

NEMAM ani ucet v zadny zlodejsky bance,takze asi tak

To máš dobrý, mně furt všichni chtějí posílat peníze jenom na účet

Náš administrátor shledal tento komentář závadným.

Vulgarity.

Zobrazit komentář

[butylvybulzer]

Jeníče

[petrfm]

Takze nepouzivas google? Informace hledas v knihach? Na eshopech taky nenakupujes? Zpravodajstvi nic? Email nemas? Soukromi nejsou jenom fotky ze sprchy a oslav. Soukromi je vsechno, co delas, hledas, nebo vis a nechces, nebo by ti nebylo prijemne, kdyby vedel kdokoliv jiny, nez ty. Mne osobne by bylo treba hloupe se ptat souseda, co muze byt ten flicek na penisu. Protoze mne zna, protoze zna me zname. Mohl by si neco domyslet... Presto se spousta lidi na takove a intimnejsi veci denne pta googlu. Resi s googlem otazky typu podvadi mne, podvadim ji... Resi je s googlem ktery je zna, ktery zna jejich nejblizsi.

V dobe, kdy kazdou chvili nekde uniknou citlive informace. At uz proto, ze mela ta, ci ona firma spatne zabezpeceny server, nebo "spatne zabezpeceny" server.