Mozilla Firefox 4 Beta 5 (diskuse)

[Jardík]

Tak se mi zdá, že na 64bit build pro Windows opravdu kašlou a ani ty nightly buildy už nedělaj, poslední 7 dní starý a hlavně zabugovaný a pomalý.

[frEon]

hlavně zabugovaný a pomalý.

Snad si naivne nemyslis, ze to nova verze spravi

[Jardík]

Přeci jen. Už ho zaktualizovali, jdu to vyzkoušet.

[Jardík]

Tak s tím nic neudělali, stále nabíhá minutu, změna velikosti okna je snad ještě sekanější než v KDE 4.5, fonty jsou pořád rozmazaný a totálně k nepřečtení, přetahování v "tab groups" je nechutně cukané, jejich zoomování taky, prohlížeč při načítání stránek laguje, jakoby to všechno běželo v jednom vlákně, animace tabů je sekaná, ovládací prvky jsou už tak zmrvené, jako v jakoby-GTK verzi. Chromium ve virtuální mašině je několikanásobně rychlejší, neseká se, načítá se (studený start) sotva sekundu, ... Firefox je opravdu horší a horší a nějaká podpora Direct 2D či 3D ve Windows verzi to nevylepší.

[Vskutečnosti Saýc]

Porad je min zabugovanej nez tvoje mama.

[Jardík]

Co znamenají slova "mama, porad, nez" to fakt nevím, takže to považuji za kompliment.

[Andrtalec]

The stop and reload buttons have been merged into a single button on Windows, Mac and Linux

Jak já toto neznášam. Rovnako ako merged stop / pause u prehrávačov.

Chromizácia; tfuj.

[Roger]

Me hlavne stve, ze ho nacpali (minimalne na Windows) do titulku okna. GRRRRR.

Dvouurovnove menu se mi moc nelibi, ale normalni menu jde nastesti vyvolat pres Alt.

[Roger]

Ah, uz takhle pozde nejak blbe vidim, reagoval jsi na stop/reload. Prijde mi to jako kravina (kdyz chci zastavit nacitani, ono to na posledni chvili dobehne a ja zmacknu reload...).

Stezoval jsem si puvodne na to spojene, oranzove menu/cudlik.

[Jardík]

Já mačkám Esc a F5, je to pohodlnější, než posouvat myš

[Andrtalec]

Dobrý nápad.

[Roger]

To ja taky, a s touhle vychytavkou tim spis (jen teda vetsinou Ctrl+R misto F5).

[Pavel Cvrček (JasnaPaka)]

Dvouurovnove menu se mi moc nelibi, ale normalni menu jde nastesti vyvolat pres Alt.

A není v takovém případě pro tebe lepší si lištu s hlavní nabídkou trvale zobrazit? Pravé tlačítko na liště, zaškrtni "Hlavní nabídka" a máš ji zpět. Tlačítko s nabídkou v hlavičce okna v takovém případě zmizí.

[xkucf03]

nacpali (minimalne na Windows) do titulku okna

Tohle přímo nesnáším. Titulek okna nepatří aplikaci, ale správci oken. Když budu chtít ušetřit místo na obrazovce, tak si ten titulkový pruh jednoduše klávesovou zkratkou vypnu*, ale aplikace se do něj nemá co montovat – aplikace si má „žít“ uvnitř toho okna

*) a taky že to dělám – u oken, která mám celou dobu maximalizované a nijak s nimi nehýbu, nemá smysl, aby ho měly.

[frEon]

+1 presne tak.

ja zase nemaximalizuju vubec zadna okna, jelikoz u rozliseni vetsi nebo rovno nez 1280x1024 nemam pocit ze bych to potreboval (a u prohlizece uz vubec ne, pokud autor stranek nebyl uplnej amater). takze jsem rad za pruh, za kterej to okno muzu pohodlne chytnout a presouvat (ja vim je na to klavesova zkratka, ale nejak jsem si na ni nezvykl). kdyz do nej program nacpe nejaky kravoviny, tak je to akorat tak k odinstalovani.

[Ladicek]

Tohle mi zrovna nevadí, pokud ale tlačítko zůstane vedle zpět/vpřed. Narvat ho na konec adresního řádku znamená kompletně ho utopit.

[Pavel Cvrček (JasnaPaka)]

Vzhledem k tomu, že je to konfigurovatelná záležitost, tak netuším, proč je to pro tebe problém. Zvol si úpravu tlačítek na liště a přesuň si jej na místo, kde jej chceš mít. Taktéž si jej můžeš rozdělit zpět na samostatná tlačítka. Celkově mi ale přijde lepší efektivnější použít klávesové zkratky, ale asi je to věc vkusu.

[frEon]

ja ho docela chapu. Predtim byl spokojeny, ted neni a musi zkoumat nejaky nastaveni i u takovy blbosti jako je prohlizec. Takze zlepseni se nekona, akorat prisel jeste vetsi oser.

[Filip Jirsák]

Pochopil někdo to HSTS? Já to chápu tak, že když majitel zpřístupní web přes HTTPS ale není schopen (spíš je neschopný) nahradit všechny odkazy na stránce na HTTPS, pošle místo toho hlavičku Strict-Transport-Security a přepis těch odkazů udělá prohlížeč? To mi připadá úplně postavené na hlavu… Ale pořád ještě je tu šance, že jsem to jenom nepochopil.

[Ladicek]

A tohle jsi četl?

If a web page provide has an https version but you access it through http, what happens? The http version of the Website re-direct you to the https, but you first talked to the non-encrypted version of the website.

These behaviors can be exploited to run a man-in-the-middle attack.

Nejviditelnější efekt je, že když uživatel zadá "url" ve tvaru www.example.com, prohlížeč ho ihned pošle na https://www.example.com/ (tedy až poté, co jednou přistoupí na http://www.example.com/ a po přesměrování dostane tu hlavičku).

Více viz v draftu toho RFC, třeba 2.2 Strict Transport Security Policy Effects:

1. All insecure ("http") connections to a HSTS Server are redirected by the HSTS Server to be secure connections ("https").
2. The UA terminates, without user recourse, any secure transport connection attempts upon any and all secure transport errors or warnings, including those caused by a site presenting self-signed certificates.
3. UAs transform insecure URI references to a HSTS Server into secure URI references before dereferencing them.

[Filip Jirsák]

Ano, četl. Ovšem s HSTS je to na MITM náchylné úplně stejně, protože útočník může z toho prvního HTTP požadavku danou hlavičku odstranit. Pokud na stránku přistupuje někdo opakovaně, používá stejně buď záložky nebo historii prohlížeče, kde už to má s HTTPS.

Takže proti MITM je to náchylné stejně, i když je proto menší časové okno (ale zase se to použije jenom pro weby, které člověk nenavštěvuje často). Naopak to zkomplikuje případné vypnutí HTTPS (třeba v případě nějakého problému nebo přetížení serveru). No, je to takové typické řešení Firefoxu. Přitom by stačilo údaj o používaném HTTPS umístit do DNS, klidně i s otiskem certifikátu. Jenže takový standard by měl smysl, a to se na dnešním webu nenosí.

[xkucf03]

Přitom by stačilo údaj o používaném HTTPS umístit do DNS, klidně i s otiskem certifikátu.

Možná až se pořádně rozšíří DNSSEC (i na klientech). Pak by se to trochu krylo s CA – resp. u nedůležitých webů by člověk mohl spoléhat na ověření certifikátu přes DNSSEC a u těch důležitých, by se spoléhal ještě na to, že je certifikát podepsaný nějakou důvěryhodnou CA.

[Filip Jirsák]

DNSSEC je už nasazeno na kořenové zóně, takže kdo chce, používat to může.

[Ladicek]

Ta hlavička se posílá po šifrovaném spojení (takže není pravda, že útočník může z toho prvního HTTP požadavku danou hlavičku odstranit) a když se pošle po nešifrovaném, prohlížeč ji ignoruje. Na MITM je náchylný první požadavek, když prohlížeč ještě neví, že má použít HSTS, což je sice blbý, ale výrazně lepší oproti současnému stavu. Řešení s DNS by bylo lepší, to je pravda,

Zbytek jsou typické jirsákovské kecy, takže bych jen upozornil, že nejde o řešení Firefoxu, ale lidí z PayPalu, Carnegie Mellon a UCB.

[Filip Jirsák]

Posílat po šifrovaném spojení informaci, že komunikace má jít po šifrovaném spojení, je – no řekněme nadbytečné. To že ta zpráva nejde poslat jinak, než po šifrovaném spojení, to už je jenom taková třešnička na dortu, aby ta groteska byla dokonalá.

Na MITM je skutečně náchylný „jen“ první požadavek, zároveň to ale řeší především případy, kdy jsou ty první požadavky časté. Pokud někdo daný web navštěvuje opakovaně, používá HTTPS automaticky. Takže to celé vlastně řeší jen případ, kdy by častý uživatel nějaké stránky použil HTTP omylem a nevšiml by si toho. To by se ovšem daleko snáz dalo řešit tím, že si v prohlížeči zaškrtnu nějakou volbu „na tenhle web vždy jen přes HTTPS“. Fungovalo by to pro všechny weby, mohl bych si seznam bezpečných webů spravovat, synchronizovat s dalším počítačem, zálohovat s profilem.

Že jsem z toho vynálezu obvinil autory Firefoxu se omlouvám, samozřejmě nemají patent na to z několika možných řešení vybrat to nejblbější, umějí to i jiní.

[Ladicek]

Něco málo tam chybí…

Posílat po šifrovaném spojení informaci, že komunikace má vždycky jít po šifrovaném spojení

[Filip Jirsák]

Které jsou ty případy, kdy komunikace probíhá normálně po šifrovaném spojení, a příště by probíhala po nešifrovaném? Mne napadají dva případy – buď odkaz (velmi nepravděpodobné, že na web, kde je důležité použití HTTPS, půjdu přes odkaz, kde nebude), nebo ruční zadání adresy a obejití historie prohlížeče (proč by to někdo dělal?). Stále mi tedy chybí nějaký uvěřitelný scénář, kdy HSTS pomůže.

[Jirka]

a to prudis jen tak protoze jsi zmrd a nebo to ma nejaky hlubsi vyznam?

[frr]

Kdyby se radši kousli do zadku a konečně přidali podporu SRV pro HTTP. Údajně pro tohle konkrétní použití SRV není RFC, takže to nejde => aspoň kdyby to dali jako vypínatelnou/konfigurovatelnou experimentální fičurku, do DNS to snad už zadat jde...

[Filip Jirsák]

To byste ale chtěl, aby se ve světě webových standardů a postupů udělalo něco rozumného. To byla ale naposledy standardizace XMLHttpRequestu, pak byla zřejmě vyhlášena nějaká tajná soutěž o to, kdo vymyslí větší nesmysl, která běží dodnes.

[Jiří J.]

Když už nám chtějí nutit HTTPS tam, kde to jde, bude možné vypnout / redukovat to otrocké proklikávání se self-signed certifikáty?

[frEon]

bez toho aby jsi overil ze protistrana je ta protistrana za kterou se vydava je to sifrovani k nicemu.

Nicmene ten zpusob jakym se to dela ve firefoxu je opravdu nestastny (napriklad, proc musim klikat na stahnout certifikat, kdyz uz si ho jednou ten prohlizec stahl a pod)

[Filip Jirsák]

bez toho aby jsi overil ze protistrana je ta protistrana za kterou se vydava je to sifrovani k nicemu.

Proto by to mělo fungovat tak, že uživatele nebudu mást nějakým http nebo https, ale zobrazím to oboje stejně (třeba nijak). Teprve pokud je uživatel připojen přes HTTPS, certifikát je důvěryhodný a platný, dám to uživateli nějak (oblíbená zelená ikona) najevo. Takže server s pochybným certifikátem bude z pohledu uživatele vypadat jako obyčejné HTTP, což je správně, protože je to ekvivalentní. Teprve přes nějaké informace o stránce se případně uživatel dokliká k tomu, že to bylo HTTPS a nějaký pochybný certifikát, který si bude moci nainstalovat.

Chrome už se tímhle směrem vydalo (zatím skrývá protokol u HTTP, to je první krůček), Firefox se zatím vydal bůhvíkam, protože na některé stránky (možná s expirovaným certifikátem?) se přes HTTPS už vůbec nedostanete, certifikát prostě nejde naklikat. Jediná možnost je (asi) certifikát stáhnout v jiném prohlížeči a nainstalovat pak do Firefoxu.

[xkucf03]

Takže server s pochybným certifikátem bude z pohledu uživatele vypadat jako obyčejné HTTP, což je správně, protože je to ekvivalentní.

Pak je ale potřeba, aby prohlížeč měl zabudovanou funkcionalitu, jakou má rozšíření Certificate Patrol.

Když uživatel přijde na nějakou cizí (kde ještě nebyl) a nedůležitou stránku, tak souhlasím, že je dobré, aby ho prohlížeč neotravoval s nějakými certifikáty – prostě se může tvářit, jako že je to nešifrované, i když to šifrované je, ale nedůvěryhodně. Uživatel si přečte třeba nějakou stránku na wiki nebo fórum, kam se náhodou dostal z prohlížeče, zjistí, co potřeboval, a stránku zase zavře – nic se neděje a není potřeba ho stresovat s nějakým šifrováním.

Ale v případě stránek, na kterých už uživatel byl a má tam např. založený uživatelský účet (tzn. posílá tam svoje heslo a další důvěrné informace), je potřeba, aby prohlížeč uživatele nějak důrazněji varoval, že spojení není šifrované nebo že se certifikát změnil – že zmizí nějaká ikonka nebo zelený proužek, to mi přijde nedostatečné.

[Filip Jirsák]

Ale v případě stránek, na kterých už uživatel byl a má tam např. založený uživatelský účet (tzn. posílá tam svoje heslo a další důvěrné informace), je potřeba, aby prohlížeč uživatele nějak důrazněji varoval, že spojení není šifrované nebo že se certifikát změnil – že zmizí nějaká ikonka nebo zelený proužek, to mi přijde nedostatečné.

Myslím, že nejjednodušší by bylo, aby si uživatel vytvářel seznam webů, které chce používat jen s HTTPS – třeba klikne na onu zelenou ikonku, zobrazí se mu certifikát a u toho tlačítko „na tento web vždy přistupovat jen přes HTTPS“. Když by se pak uživatel jakýmkoli způsobem dostal na HTTP verzi, prohlížeč ho automaticky přesměruje. Tedy v podstatě to samé, co dělá HSTS, ale řízené uživatelem, nikoli serverem nebo útočníkem.

Mimochodem, to je ale nadstavbová funkcionalita, dnes taky prohlížeč nikoho nevaruje, že se mu v adresním řádku na začátku ztratilo jedno „s“ a zmizela zelená ikona.

[xkucf03]

Na to už je dokonce rozšíření od EFF: HTTPS Everywhere. Používám to pro Ábíčko, Google, Wiki a další weby – když někde kliknu na odkaz ve vyhledávači, dostanu se na https:// variantu,přestože ten odkaz původně vedl na http://… Takže mám jistotu, že cookies, hesla a důvěrné informace na vybrané weby půjdou jedině šifrovaně.