Mozilla Firefox - kam se poděla jednoduchost?

12.7.2009 16:49 | Přečteno: 2074× | Myšlenky života

Když jsem se k Firefoxu dostal, bylo to v rámci vydání jeho 1.0 verze. Prohlížeč nebyl nejrychlejší, ale měl své výhody oproti ostatním (tabbed browsing např.). Pokud si pamatuji, tak byl chválen i za lepší dodržování standardů, než například IE, vykreslování průhlednosti PNG, apod.
Nyní opět uvažuji o přechodu, tentokrát od Firefoxu. Proč? Kvůli UI.

Nebudu zde rozebírat, zda instalátor pro windows má menší velikost, ani zda se FF na windows spustí o 3 sekundy rychleji nebo serepetičky s javascriptem. Na Firefoxu mi vyhovuje core. Možná proto, že se o jádra prohlížečů ani tak nezajímám, možná proto, že vykresluje a zpracovává rychleji, než v jiných prohlížečích, možná proto, že s jádrem nemluvím přímo. Co mi začíná silně vadit je ona mezivrstva - user interface.

---

Firefox 1

Jak jsem již psal v úvodu - v počátcích FF bylo UI jednoduché. Pár tlačítek, žádná moc "fancy" grafika, jelo to i na slabších strojích a já byl happy. Bylo to (alespoň pro mě) lepší, než IE, Konqueror (přecházel jsem z KDE na fluxbox) nebo Opera, která mi bohužel nikdy moc nesedla, ač jsem ji mnohokrát zkoušel. V podstatě jedinou mou významější úpravou UI bylo vypnutí search panelu (zabíral místo pro URI) a vyškrtnutí baru záložek.
S postupem času přišel na svět Firefox 1.5, žádné velké změny UI se nekonaly, pak Firefox 2.

Firefox 2

Ve dvojce pro mě nejdůležitější změnou byly zavírací tlačítka tabů, která jsem si okamžitě vypl v about:config (nebo .css ?) a protože mi defaultní skin moc nevyhovoval, začal jsem používat Netscape green theme, známé dnes jako SimpleGreen. Ušetřilo mi asi 0.5cm vertikálního místa, vypnutí baru záložek další centimetr a prohlížeč se opět dal používat. Po několika měsících jsem objevil kouzlo addonů a oblíbil si adblock / adblock plus a web developer, nechyběl ani méně známý ArchView (online prohlížení archivů bez jejich stahování). Na druhou stranu - jsem poměrně minimalista a 3 addony + 1 theme mi stačily. Prozatím.

Firefox 3

Vyšel _relativně_ nedávno. Tento zápisek v blogu mohl být napsán i dříve, ale čekal jsem, že se Mozilla "poučí" z 3.0 a udělá 3.5 trochu volnější. Nedočkal jsem se.
Přechodu na trojku bránilo velké otálení, zkoušel jsem nějakou betu už během vývoje a neskutečně pomalý URI bar mě, spolu s jinými nevypnutelnými featurami, odradil. Když mě pak jeho pomalost na Githubu (je postaven hodně na javascript/ajaxu) už dosti omezovala, rozhodl jsem se udělat onen krok a přešel na 3.0.

Velká úleva přišla v podobě addonu "oldbar" a mnoha návodů na webu, jak zvýšit výkon a vylepšit vykreslování přes možnosti about:config, jak odstranit "hvězdičku" na pravé straně URI baru (přes userChrome.css nebo tak nějak). Viděl jsem i addon na vrácení "go" tlačítka napravo, ale jelikož používám většinou klávesnici, nikdy jsem jej moc nepotřeboval.
Také mě docela vadilo "našeptávání" URI podle substringu (to oldbar neřešil) - FF2 hledal řetězec od začátku adresy, tudíž po napsání abcl vyskočilo

http://abclinuxu.cz/diskuze

protože to byla moje nejnavštěvovanější matchující URI. Firefox 3 mi vyhodil něco jako

http://somesite.org/indexes/by-name/abclinuxu.cz/search.cgi?blabla=blag

ačkoli jsem na té stránce byl sotva jednou.

Dalším (a asi druhým velikým, po aplikaci všech addonů) problémem pro mě byly self-signed certifikáty. Ve Firefoxu 2 to šlo tak nějak odkliknout rychlým gestem dvojího enteru, otravné to bylo asi jako "Chcete, aby si Firefox pamatoval přihlášení pro tento server?", u kterého "Ne, nikdy." nefungovalo, nicméně onen dvojí enter se brzy přestěhoval do té části mozku, kde nad činnostmi neuvažujeme, a tak problém prakticky vymizel. Tedy do příchodu FF3.

Firefox 3 se snaží být mermomocí user-friendly, tedy spíš BFU-friendly. Je mu jedno, že je mi totálně šumafuk, zda jeden txt soubor na https://svn přečte i MITMující osoba, své 5ti klikové monstrum mi stejně předhodí. Co víc - do URI baru mi uřízne obrovskou část pro krásný zelený bar a to jen z důvodu, že barvoslepí uživatelé _pravděpodobně_ špatně rozeznávali zabarvení pozadí ikony. Kdyby to šlo vypnout nějakým addonem, nevadilo by mi to tolik - pomalu si zvykám, že všechno populární je přece populární díky "hloupé" veřejnosti a tudíž to musí být pro ni primárně, aby popularita nezmizela. Sice by to byla další berlička, ale pokud by prohlížeč šlo používat normálně dál, ...

Bohužel však onen dialog + SSL bar nejde vypnout. Není na to addon (co jsem googlil), Mozilla si to vychvaluje a všichni jásají, že konečně nastane konec MITM útokům. Tedy až na mě. Rád bych to měl jako v SSH klientovi - browser by si defaultně (automaticky, bez dialogu) ukládal fingerprinty každého navštíveného serveru přes https a pokud při další návštěvě fingerprint nesedí, teprve tehdy vyhodit error. Ideálně s možností mazání záznamů nepoužitých déle, než třeba 60 dní. Vyperličkovat by to šlo zlutým pozadím favicon v URI baru (místo zeleného), aby uživatel věděl, že stránka nemá certifikát potvrzený veřejně uznávanou a placenou CA. Nic víc. Pravděpodobnost úspěšného MITM se dá samozřejmě redukovat věcmi jako WPA2 na wifi, statický ARP záznam gateway, apod.

Nevím, připadne mi to spíše jako komerční tah, než jako věc pro ochranu koncových uživatelů. Počítám s tím, že tohle bude jen další nevýznamný zápisek v blogu jednoho neznámého člověka, chtějícího jednoduchost fluxboxu/awesome tam, kde převládá komplexnost KDE/Gnome.
Pokud by někdo o hledaném addonu něco věděl, nechť se prosím podělí v diskuzi..

---

Chtěl bych se vrátit k jedné větě v úvodu, zmiňující opětovný přechod jinam. Dosti jsem uvažoval o prohlížeči Chromium (ačkoli Velkého Bratra Google moc nemusím), ale zase by mi chyběl adblock a blokování animací gifů web developerem. Mozilla Suite už taky moc nezáří, nevím, nikdy jsem nezkoušel. Pokud bude Firefox postupovat tímto směrem, asi se odhodlám a přejdu na Operu. Pokud si pamatuji dobře, měla velké možnosti konfigurace a pokud by šla její komplexnost skrýt za jednoduchým UI, bylo by to super.

Prozatím dávám Firefoxu ještě jednu šanci v podobě 3.6 / 4.0 a věřím, že mě zklame. I teď, těsně po přechodu na 3.5, jsem googlil možnosti vypnutí "naposledy zavřených záložek" (naštěstí našel). Čas ukáže.

A jak jste na tom vy? Vadí vám tento přístup ze strany vývoje Firefoxu?

       

Komentáře

[mess]

Ad urlbar: dá se nastavit, aby se choval, jako ve FF2. Je to volba browser.urlbar.martchBehavior, ta se nastaví na 0 a je vymalováno. A co se toho zeleného čehosi týče, to určitě půjde schovat pomocí toho userChrome.css nebo jak se to tento . Případně používej "Stylish", pokud se ti nechce hrabat do toho user*.css přímo.

[Jiří J.]

Díky za tip, je to about:config direktiva k "našeptávání: nic" v konfiguraci, předpokládám. Nicméně oldbar si nechám, alespoň se mi vlezou 3 řádky tam, kde by byl jeden s obrázky a title.

[mess]

Co jsem zkoušel, tak ta věc v "about:config" vypíná jen prohledávání obsahu těch stránek, tzn. bude to našeptávat jako FF2.

[Matlák]

mno proto používám vimperator. Uživatelské rozhraní se smrskne do panelu z taby navrchu a příkazové řádky dole

[Heron]

Je mu jedno, že je mi totálně šumafuk, zda jeden txt soubor na https://svn přečte i MITMující osoba, své 5ti klikové monstrum mi stejně předhodí.

Přesně tak. Za chvíli bude potřeba napsal na klávesnici text "ano, vím co dělám" aby se člověk dostal na https. Ale fingeprint / odkaz na CA daného certifikátu a stručný návod co s tím tam stejně nebude. Takže se lidé nenaučí k čemu to celé je. Místo toho budou reflexivně klikat. Je jedno jestli jednou nebo padesátkrát. To je asi ta zlepšená bezpečnost.

Rád bych to měl jako v SSH klientovi - browser by si defaultně (automaticky, bez dialogu) ukládal fingerprinty každého navštíveného serveru přes https a pokud při další návštěvě fingerprint nesedí, teprve tehdy vyhodit error.

To je asi dobrý nápad, ale trochu bych to vylepšil. ssh při prvním připojení vypíše fingeprint protějšku a uživatel pak po jeho ověření napíše yes. Toto bych rád mě ve FF (ne to yes, ale to zobrazení SHA1 hned na té titulce při varování o neznámém crt). Často pracuji s certifikáty, mám jejich SHA1 fingerprint. Ale pokaždé se FF doklikat pro jeho ověření mě neskutečně .... štve.

[Jiří J.]

Také bych uvítal ten fingerprint, nicméně to "yes" už by možná otravovalo. Když se připojuji na SSH, jsou to individuální servery, případně clustery a chodím na ně opakovaně. U webu se mi hodněkrát stane, že na https stránku přijdu jednou a již nikdy více, proto těch 60 dní (konfigurovatelně) od posledního použití, aby případná DB neměla brzy několik GB ..

[Grunt]

To je asi dobrý nápad, ale trochu bych to vylepšil. ssh při prvním připojení vypíše fingeprint protějšku a uživatel pak po jeho ověření napíše yes. Toto bych rád mě ve FF (ne to yes, ale to zobrazení SHA1 hned na té titulce při varování o neznámém crt). Často pracuji s certifikáty, mám jejich SHA1 fingerprint.

+1

[Jendа]

Bojím se, že to skončí tím, že uživatel bude muset ten fingerprint zadat, FF ho porovná, a až potom uživatele pustí dál...

[Heron]

To by byla asi nejlepší možná varianta, co by mohla nastat (stejně je to ctrl-V ctrl+C z bezpečného zdroje). Ale obávám se, že FF půjde na ruku laikům a v nějaké další versi už se user k cert nedostane vůbec a budou povoleny pouze "standardní" CA (dle výběru Mozilly).

[Jendа]

Jak říká i předřečník - když chci z nějakého WebGITu stáhnout jeden soubor, tak je mi certifikát celkem volný a stejně bych ho neměl jak ověřit → chci se toho co nejjednodušeji zbavit. Při komunikaci s kritickou aplikací (banka, datová schránka ) si na to samozřejmě dám bacha.

Chápu, že BFU by nějakou ochranu mnohdy potřebovali, tož chtělo by to přepínač BFU mode/expert mode.

[Heron]

když chci z nějakého WebGITu stáhnout jeden soubor, tak je mi certifikát celkem volný a stejně bych ho neměl jak ověřit

Tohle já chápu, ale nemůžeme na základě tohoto použití https slevit z nároků na bezpečnost. I já samozřejmě odklepávám výjimky, kdy lezu na https://127.0.0.1 na čerstvě nainstalovaném stroji, stejně ten selfsigned půjde pryč.

[Filip Jirsák]

Ono by možná úplně stačilo, kdyby se prohlížeč (i uživatel) k HTTPS spojení bez ověřeného certifikátu choval jako k HTTP spojení. Teprve kdyby byl certifikát ověřen (případně byl vystaven důvěryhodnou CA), prohlížeč by tento stav indikoval (třeba zeleným adresním řádkem apod.). Není žádný důvod z HTTPS spojení s neověřeným certifikátem dělat bezpečnostně něco horšího, než je obyčejné HTTP.

[Jiří J.]

 

Není žádný důvod z HTTPS spojení s neověřeným certifikátem dělat bezpečnostně něco horšího, než je obyčejné HTTP.

Osobně bych řekl, že neověřený certifikát je pořád lepší, než žádný. Například nepůjde pasivní sniffing nešifrované wifi.
Nicméně důvěryhodné CA se to nevyrovná..

 

[Filip Jirsák]

Ano, jenže v obou případech musíte počítat s tím, že je provoz odposloucháván nebo přesměrován jinam – jenom u toho neověřeného certifikátu je to o trochu složitější. Z pohledu bezpečnosti je to ale jedno.

[edois]

Taky jsem původně Firefox (resp. Iceweasel) používal a postupně mě začal vadit. Štvaly mě na něm v podstatě věci, které autor v článku popsal, plus ještě paměťová náročnost a to, že používá GTK, které nemám v oblibě (a již se mi povedlo většiny aplikací, které jej používají, zbavit, momentálně zbývá už jen Gimp).

Delší dobu již používám Konqueror a jediné, co mu mohu občas trochu vytknout, je absence něčeho, jako jsou TamperData. Kdyby někdo napsal něco podobného pro Konqueror, Iceweasel bych už rovnou odinstaloval, takhle ho občas zapnu, vyzkouším, co potřebuji a zase ho rychle vypnu.

Ač také nemám Google moc rád, na Windows preferuji Chrome, protože je to opravdu nejslušnější prohlížeč, co pro Windows v současné chvíli je (bývalo by jím pro mě bylo Safari, kdyby s sebou nechtělo instalovat dalších 10 programů od Apple).

[mess]

Pokud ti vadí, že FF používá GTK+, mrkni se sem a sem. Vím, že to není dokonalé, ale jakž takž to funguje

[edois]

Původně mi na něm vadilo jen tohle, ale časem se (zvlášť při tom přechodu z verze 2 na verzi 3) objevily další věci a Konqueror mezitím začal být opravdu použitelný, takže už je mi to jedno, jinak o různých snahách portovat Firefox na Qt jsem již četl (nicméně tyhle jsou asi zase nové), takže díky za tip, ale už nevyužiju :)

[Grunt]

Ještě můžeš zkusit Aroru. Ta je Qt a nebo vyplň další bug v KDE a GNOME bugzille.

[default]

bývalo by jím pro mě bylo Safari, kdyby s sebou nechtělo instalovat dalších 10 programů od Apple

A samotný WebKit by nestačil?

[Grunt]

Velice jednoduchá odpověď: Epiphany 2.26.*!

[fafsdfs]

Presne tak.. nebo jiny obal na Gecko.

[xsubway]

mno, používám 2.26.1 a jediná vlastnost, která mi vadí, je rychlost doplňování url při jeho psaní - po úpravě této vlastnosti, už budu skutečně spokojený.

[Grunt]

No jo, umí někdo matematiku?

[Jiří J.]

Tak jsem googlil a googlil, až jsem našel, složil a vlastnoručně doplnil tohle (userChrome.css):

#identity-box > hbox {
	background: ButtonFace url(chrome://browser/skin/tabbrowser/tab-active-bkgnd.png) repeat-x !important;
	color: -moz-dialogtext !important;
}

#identity-box.verifiedIdentity > hbox {
	background-color: #7c8 !important;
	color: #000 !important;
}

#identity-icon-label {
	display: none !important;
}

#urlbar[level="high"] > .autocomplete-textbox-container,
#urlbar[level="low"] > .autocomplete-textbox-container {
	background-color: #F5F6BE !important;
	color: #000000;
}

Odstraňuje to ten zelený / modrý box v adresním řádku a vrací žluté pozadí, tak, jak to je ve Firefoxu 2.

[mess]

Zkus se podívat ještě sem .

[Jiří J.]

To bude tím, že hledám na anglickém Googlu

[qw11]

Mna by zaujimalo preco v 3.5 nejde zatvorit(vymazat) prva karta. Musim otvorit dalsiu prazdnu aby sa zobrazilo tlacidlo zatvorit kartu.

[mess]

Nebo na ni kliknout prostředním myšítkem.

[Jiří J.]

... což je důvod, proč jsem v FF2 tyto zavírací křížky rušil. Ono není moc příjemné, když místo přepnutí na záložku ji člověk omylem zavře ..

[Petr Tomeš]

Pokud se na záložku přepínáte tak, že klikáte na zavírací křížek,tak se není co divit. Te to podobně nesmyslné jako říkat, že jste se chtěl přepnot do okna přes horní pruh s názvem aplikace a omylem jste aplikaci uzavřel křížkem. Vždyť ten křížek zabírá asi jen necelou desetinu plochy té záložky a snad vidíte, kam klikáte, dokonce je to zvýrazněné.

[Jendа]

Vždyť ten křížek zabírá asi jen necelou desetinu plochy té záložky a snad vidíte, kam klikáte, dokonce je to zvýrazněné.

Na velikosti (okna) a množství otevřených záložek záleží

[Petr Tomeš]

A proto se křížky od 9 záložek nezobrazují. Nebo se to v Linuxu chová výrazně jinak než na Windows? Ale je dobře, že to jde upravit.

[Filip Jirsák]

Ještě že tyhle záložky nepoužívám. Už to vidím, jak ve verzi 4.0 bude výrazná inovace, že se zjistilo, že ve středu za úplňku jsou uživatelé aktivnější a zvládnou i 12 záložek s křížky.

[kkaarreell]

Napriklad touchpadem se ten kurzor neovlada tak presne a pohodlne jako mysi a pak jsou ty krizky opravdu obtezujici. Taky jsem si je zrusil. Ale proc se do nej nenavezt a neudelat z nej blba, co nevi, kam klika, ze?

[Petr Tomeš]

Používám touchpad již několik let téměř výhradně a opravdu se mi snad nikdy nestalo, že bych si kvůli tomu zavřel tab. Nechápu, co tam s tím ten člověk dělá nebo to má tak špatnou motoriku?

 

[Josef Kufner]

Stačí ztuhlé prsty nebo nepříliš nepohodlná židle bez stolu.

[Dawix]

Ja uz hodne dlouho pouzivam Vimperator plugin, takze zmeny na User Interface jdou celkem mimo me. Ostatni veci zkratka neresim. V podstate Vimperator plugin je jedina vec ktera me u firefoxu stale drzi (s Vimperoperou to neni ono). Castecne jsem take presel na uzbl, kde mi ale vadi neschopnost zapamatovat si cookies i po vypnuti prohlizece, nebo absence tabu (coz se mozna brzo zmeni). No preci jen to je stale alfa verze, ale jakmile to bude o trochu vic pouzitelny, tak dam firefoxu a ostatnim prohlizecum sbohem

[slayn]

já používám vimperator asi 2-3 týdny a taky je to jediný důvod proč nepřejít jinam:D

[Mrkva]

No, ja pozoruji dost znatelne zpomalovani FF... FF1 - nabehl hned, stranka se take skoro okamzite vykreslila. FF2 - uz nabihal pomaleji, ale jsem nainstaloval prvnich par pluginu. FF3 - start skoro 10s, pocet pluginu se nezmenil FF3.5 - start 20s, porad stejny pocet pluginu... Takze hledadm nahradu :)

[Heron]

Musím potvrdit. FF 3.5, dneska jsem si s tím intenzivně hrál k vůli tomuto problému. Přepnutí tabu má ve FF 3.5 viditelnou latenci (víc než 0.5s) a vytvoření nového tabu trvalo ještě déle. A to prosím na Windowsech a docela slušné mašince, kde je FF doma. Na postarším NTB s linuxem je vytvoření nového tabu na 3s, tam je zatím 3.0. Jestli to update na 3.5 ještě zpomalí, tak už to bude zcela nepoužitelné.

[lmanik]

Jak se pozna 0,5s? Ja na docela slusne masince kliknu a mam ji tam hned.

[Heron]

To se pozná tak, že klepneš na jiný tab a obraz se značně měnit až po .5s. Kompletní vykreslení též něco trvá. Rozhodně to není hned.

[lmanik]

Ja kliknu a mam to rozhodne hned, tak se prave ptam jak se to pozna :).

[Petr Tomeš]

Já to mám také hned. Windows 7, Core 2 Duo 1600 MHz. Neovlivňuje to tedy spíše nějaký faktor přímo u Herona?

[Heron]

Core 2 Quadro 9300, 8GB RAM, ATI 4890, Vista 64b Business. Počítač stále docela na úrovni.

Neovlivňuje to tedy spíše nějaký faktor přímo u Herona?

Ano ovlivňuje. Dělají to add-ony, to mám vyzkoušené. Nastavil jsem si FF tak, aby se co nejvíc (ze spodu) blížil Opeře. To znamená RSS čtečka (nevzpomenu si); Download manager (DownloadThemAll + DownloadStatusBar); něco, aby šli používat taby (TabMixPlus); speed dial (SpeedDial); nějaký session manažer (nevzpomenu si) a další (email klienta musím oželet). Ano, když to všechno vypnu (a ještě použiji čistý profil, ale to zas přijdu od fulltext DB), je to skutečně hned. Neříkal jsi náhodou, že FF má velké možnosti právě díky doplňkům? Takže buď to bude rychlé ale bez funkcí (takže nepoužitelné) nebo to bude s funkcemi a děsně pomalé (takže nepoužitelné). Ach jo, kde je ten prohlížeč, který se kdysi jmenoval jako jedna DB a byl prudce použitelný? Chci ho zpět.

[Matlák]

Speed Dial už mi poslední dobou připadá jako zbytečná pitomost a zpomaluje to otevření tabu jako prase. Zatímco otevření tabu příkazem ":t" je otázka velmi krátkého zlomku vteřiny (a mám před sebou prázdnou stránku), otevření tabu pomocí Ctrl+T trvá sekundu, a další tři sekundy se načítají náhledy (mám 5x4 stránek). Jediná výhoda je ve schopnosti otevírat stránky zkratkou Ctrl+číslo..

btw mám v prohlížeči 6 doplňků a start je kolem deseti sekund (4 otevřené taby v session) a přepnutí je určitě kratší než .5, řekl bych tak kolem 200 ms.

Core 2 Duo @700MHz, 1GB RAM, Slackware Linux chyba je asi ve woknech pánové :-P

[stativ]

No to nové potvrzování certifikátů je opravdu příšernost. Kdyby někdo zjistil jak to vypnout, budu mezi prvními, kdo to budou používat. A v 3.5 to zmrvili ještě víc. Předtím stačilo pět kliků, teď jich je třeba ještě víc.

[Jiří J.]

Standardně 5 - klik dole na "vím o co se jedná" (1), pak přidat výjimku (2), získat certifikát (3), odškrtnout dole trvalé uložení (4), potvrdit dialog (5) a reload klávesou F5

.

V podstatě by stačily 4 s trvalým uložením certifikátu, já jsem si to přes nějakou vlastnoručně nalezenou option v about:config nastavil tak, že "vím o co se jedná" mám automaticky rozbaleno, takže mi stačí 4 (nebo 3) kliky. Pořád to ale není double enter, natož pak automatika bez dialogu

[Jiří J.]

Tak jsem to našel, browser.xul.error_pages.expert_bad_cert na true a obě položky budou na error stránce rozbaleny automaticky.

[stativ]

Díky

[Heron]

natož pak automatika bez dialogu

To nesmí být. Prohlížeč musí nějak dát najevo, že o tom SSL spojení nic neví a že to nechává na uživateli. Pokud by to bylo nastaveno automatické přijetí, tak https nemá smysl.

[Jiří J.]

Jak jsem psal nahoře - riziko by bylo jen při první návštěvě stránky (stejně jako teď), tudíž dialog leda při první návštěvě a to nějakou snadněji odentrovatelnou formou. Navíc díky tomu, že je MITM prakticky použitelný jen pokud je uživatel na stránce poprvé a nemá "trvalou výjimku", pak si myslím, že by byl i onen dialog zbytečný. Stačilo by upozornění třeba v URI baru. Na druhou stranu je fakt, že něco jako "Fingerprint is: blabla, yes/no, [x] permanently" by pravděpodobně bylo lepší.

[Grunt]

Dobře, tak snad ještě jednou pro ty, kterým se nedostalo té cti.

[Jendа]

Předpokládám, že ISP, který by začal "ladit" i HTTPS komunikaci, by brzy dojel. A třeba Eurotelu se stala osudnou i permanentní "optimalizace" plain HTTP.

[Grunt]

Kdyby to byla automatika, tak by si toho snad ani nikdo nevšiml.

[Jendа]

Kdyby při přístupu k bance, která se chlubí Thawtem/Verisignem vyskočila Firefoxí prudička, bylo by to minimálně divné. Možná by ISP mohl lidi rozlišovat na lamy (nevšimnou → podvrhávat) a nelamy (všimnou → byl by průser)

Pořád přemýšlím, když už někdo ten přístup na cizí účet získá, jak "odklidit" peníze, aby to nešlo vystopovat

[Grunt]

Kdyby při přístupu k bance, která se chlubí Thawtem/Verisignem vyskočila Firefoxí prudička, bylo by to minimálně divné.

To je fakt. Možná by bylo pomocí nějakého L7Filteru vhodné sledovat zda-li si vůbec o certifikát CA uživatel žádá.

Pořád přemýšlím, když už někdo ten přístup na cizí účet získá, jak "odklidit" peníze, aby to nešlo vystopovat

Michael Scofield je poslal na offshore account. Jak se to dělá doopravdy, netuším.

[Grunt]

To je fakt. Možná by bylo pomocí nějakého L7Filteru vhodné sledovat zda-li si vůbec o certifikát CA uživatel žádá.

Vlastně to dělá sama aplikace.

[Jiří J.]

Ano, já taky před lety podobné věci zkoušel, ať už to v txt/ncurses/gui verzi ettercapu nebo manuálně přes openssl proxy, fragrouter a nástroje z balíku dsniff.

Má poslední věta z minulého postu směřovala právě na situaci, kdy je uživatel pod MITM už odzačátku. V ideálním případě by se před loginem na stránce mohlo objevit něco jako "fingerprint je blabla" a pokud se v dialogu prohlížeče objeví jiný, ...

[Jendа]

V ideálním případě by se před loginem na stránce mohlo objevit něco jako "fingerprint je blabla" a pokud se v dialogu prohlížeče objeví jiný, ...

...tak by útočník podvrhl i tu stránku

[Heron]

Možná si jen nerozumíme, možná že to tak opravdu myslíš, nevím.

Ty chceš neustále zjednodušovat odlepnutí SSL spojení. To nejde. Aby SSL splnilo svůj účel, tak na klientské straně opravdu musí být certifikát a uživatel nebo správce MUSÍ zajistit, že je to správný certifikát.

riziko by bylo jen při první návštěvě stránky (stejně jako teď)

Mezi první návštěvou a dalšími není z hlediska bezpečnosti rozdíl. Pokud nemám ve svém počítači nainstalovaný certifikát dané CA, prohlížeč mě na danou situaci upozorní (upozornění musí být jasné, ikonka ve status baru s tím, že vidím neověřený obsah na stránce je opravdu k ničemu). Poté mu musím nějakým způsobem dodat ten cert. Pokud využiji možnosti prohlížeče k automatické instalaci cert, tak musím nějakým jiným kanálem (třeba telefonicky) ověřit jeho fingerprint. Pokud toto neudělám, degradoval jsem HTTPS na HTTP s tím, že po cestě nechodí plaintext, ale nějaká binární data. Ale hlavní výhoda SSL, tedy to, že vím s kým komunikuji a komunikuji bezpečně, je v tahu.

Takže prohlížeč by měl uživatele vést tímto směrem, tedy k ověření pravosti cert bezpečnou cestou a jiným kanálem. Rozhodně ne tak, že si ten CRT stáhnu z nějaké jiné a ještě http stránky (viz. PostSignum a jejich root-cert na stránkách ministerstva).

[Jiří J.]

Viz můj post výše. Máš pravdu, že nejlepší cesta je použít jiný komunikační kanál, vyplatí se to třeba v případě bankovnictví, ale u ostatních běžných stránek to bude pořád pokračovat/storno (za předpokladu, že tvůrce webu tam neuvede svůj fingerprint nebo bude útočník mít spadeno na jednu konkrétní stránku, kterou podvrhne).

Je addon do firefoxu, který to řeší pomocí množství nějakých externích "notářů", někdy dnes jsem jej zkoušel a očividně už nefungoval.

PS: Docela by mě zajímalo, zda by mi slečny na infolince ČSOB pomohly s certifikátem.

[Jendа]

Docela by mě zajímalo, zda by mi slečny na infolince ČSOB pomohly s certifikátem.

Ne. A slečna na Czechpointu taky ne.

Nikdo ti nepomůže! Co budeme dělat?! Jak lze osvítit veřejnost?

[Jiří J.]

To je jasný! Přece přes kořenové certifikáty I.CA!

[stativ]

Pokud by to bylo nastaveno automatické přijetí, tak https nemá smysl.

IMHO by smysl mělo. Hrozil by sice MITM útok, ale na druhou stranu by to bylo mnohem odolnější vůči jednoduchému odposlechu (třeba nezabezpečená Wi-fi). Man in the middle je složitější a spousta script kiddies by ho nezvládla.

Řekl bych, že nějaké podbarvení URI baru by bylo dostatečné. Vidím oranžovou – jsem na https ale není to ověřené −> tudíž nemohu tomu (tolik, v závislosti o co jde) věřit. Vidím zelenou – jsem za vodou.

[Grunt]

natož pak automatika bez dialogu

Tak co Hrachu? Dáme se na ten skript? A ještě za něj můžeme vybrat nějaké provize.

[Jendа]

Neovládám RouterOS

[Grunt]

To byla samozřejmě otázka na autorská práva tvého jednořádkové řešení.

[Jendа]

Já vidím řádky čtyři (když má útočník v rukou router), nebo šest, když je ve stejném segmentu a potřebuje udělat arpspoof. Nebo chceš udělat skriptík, ve kterém ty čtyři řádky budou? Proboha, snad nedělá ISP někdo, kdo je neumí sám zkopírovat

Mimochodem, u dvou pravidel do iptablů a několika příkazů opsaných z Examples bych aut. práva neřešil

[Grunt]

Samozřejmě si dělám srandu. Bych se vy*** psát někomu kompletní řešení, když si ani neumí přesměrovat tok dat a nebo nacvakat nějakou databázi. Ale uživatelé(dle vzoru užívat si) už mě poslední dobou pěkně štvou a tak by mě nějaké malé zapruzení vcelku potěšilo. Možná jednou až nebudu mít fakt co dělat a někdo to bude myslet vážně.

[Jendа]

Ale uživatelé(dle vzoru užívat si) už mě poslední dobou pěkně štvou a tak by mě nějaké malé zapruzení vcelku potěšilo.

+1

A nejhorší jsou takyadmini, kteří třeba radí, aby uživatel při přístupu k nějaké životně důležité aplikaci pro komunikaci se státem upozornění ignoroval!

[Jiří J.]

Také jsem zkusil hledat "cert" v about:config, podle názvu jedné hodnoty zkusil googlit a našel informaci, podle které lze error handling nastavit podle sebe (nově v 3.5), snad se toho nějaký tvůrce addonů chytí.

[Grunt]

Pak doporučuji Epiphany. Do toho se ještě musí psát adresa serveru. Opravdu mňamka.

[default]

Já jdu ven.

[pushkin]

Pojď do Opery, desítka je opravdu luxusní, i když je zatím jako beta.

[Fluttershy, yay!]

Existuje build Chromia, který nikam nic neposílá, viz můj článek nebo UTFG.

Taky mě FF štve (pomalostí), ale Arora, ani Midori ještě nejsou a Epiphany se mi nelíbí. Konqueror je nepoužitelný. Do Opery se mi moc nechce (hodně používám AJAXové aplikace od Google). Chromium je fajn, ale zatím má mušky. Uaaaghrrr!!!

[Petr Tomeš]

Každý prohlížeč má silné stránky jinde. Jde o to, jaké máš priority. Třeba já střídám Firefox a Chrome podle toho, co chci dělat.

[Heron]

Hmm, no já jsem střídal: Operu (default), Firefox (hlavně pro vmware-console a jako fallback po opeře), Chrome (mapy, které nemám offline), IE (minimálně), Safari (jen na test).

Jenže, tak jak se dřív dělaly stránky pro IE a na ostatní prohlížeče se z vysoka sralo, tak se dnes dělají stránky pro Firefox a na ostatní se sere ještě víc. Takže, ač velmi spokojený user Opery jsem čím dál tím častěji narážel na drobnosti (tisíckrát nic umořilo vola). Ale není to chyba opery. Kdybych měl defaultně safari nebo aroru, tak to bude zcela stejné, ne-li horší.

Byla chvíle, kdy se vývojáři (poprvé a asi i naposledy) zajímali o standardy. To bylo v době, kdy měl IE majoritu a FF byl někde na 10%. Optimalizovat pro IE nebylo dost cool, každý web se chlubil nejstriktnějším (podle w3c validátoru) html. Tehdy byl web nejpoužitelnější. Každý minoritní prohlížeč uměl html standard velmi dobře.

Takže, tisíkrát nic + neustále přepínání url mezi prohlížeči mě nakonec dostalo. Odinstaloval jsem si všechny prohlížeče a nastavil FF k obrazu svému (podle Opery). No ale teď to začíná. Je to (po 3 týdnech používání) strašně pomalé (.5s na přepnutí taby už je fakt za mou tolerancí) a navíc to má bugy v zobrazení jpegu s sRGB profilem. Ty snad vyřeší do 3.5.1.

[:::]

i kdyby ten zapis byl polovicni tak by porad byl moc dlouhej... :-/

[kolemjdoucí]

Trošku s odstupem času, ale k tomu hledání v adresním řádku: http://jasnapaka.bloguje.cz/z/707955-firefox-3-1-a-vylepsene-vyhledavani-v-adresnim-radku.php Lamkám, jako jsem já, se s tím pracuje líp...