HTTPS Everywhere pravidla pro Abclinuxu a Reddit

19.12.2010 13:46 | Přečteno: 1224× | programování | | poslední úprava: 19.12.2010 13:58

Trochu mě štvalo na abclinuxu a redditu, že i když podporuje HTTPS, ne všechno leze přes HTTPS. Ve Firefoxu to lze řešit rozšířením HTTPS Everywhere a napsáním krátkých pravidel.

HTTPS Everywhere

Firefoxí rozšíření HTTPS Everywhere má několik předdefinovaných pravidel pro nejznámější websity. Dodefinování dalších pravidel je poměrně jednoduché. Níže jsou vypsány XML pravidla pro abclinuxu a reddit. Tyto XML soubory je potřeba umístit do ~/.mozilla/firefox/nazev_profilu/extensions/https-everywhere@eff.org/chrome/content/rules.

Abclinuxu.cz

<ruleset name="Abclinuxu.cz">
  <target host="www.abclinuxu.cz" />
  <target host="abclinuxu.cz" />
  <target host="www.itbiz.cz" />
  <target host="itbiz.cz" />

  <securecookie host="^(.*\.)?abclinuxu\.cz$" name=".*" />

  <rule from="^http://(www\.)?abclinuxu\.cz/" to="https://www.abclinuxu.cz/"/>
  <rule from="^http://(www\.)?itbiz\.cz/" to="https://www.itbiz.cz/"/>
</ruleset>

Reddit.com

<ruleset name="Reddit.com">
  <target host="reddit.com" />
  <target host="www.reddit.com" />
  <target host="thumbs.reddit.com" />
  <target host="pixel.reddit.com" />

  <securecookie host="^(.*\.)?reddit\.com$" name=".*" />

  <rule from="^http://(www\.)?reddit\.com/" to="https://www.reddit.com/"/>
  <rule from="^http://thumbs\.reddit\.com/" to="https://thumbs.reddit.com/"/>
  <rule from="^http://pixel\.reddit\.com/" to="https://pixel.reddit.com/"/>
</ruleset>

Z nějakého důvodu nefunguje nastavení secure cookie na redditu, i když host vyjmenuju, pořád to vytvoří jenom normální (secure=no) cookie. Na abclinuxu to funguje OK.

Update: v reddit pravidlech jsem upravil copy&paste chybu (2 backslashe navíc), problém se securecookie=no ale přetrvává. Občas to v error console zahlásí NS_ERROR_XPC_JS_THREW_STRING, ale jinak to funguje OK.

       

Komentáře

[Jendа]

~/.mozilla/firefox/nazev_profilu/extensions/https-everywhere@eff.org/chrome/content/rules

Nebo ~/.mozilla/firefox/nazev_profilu/HTTPSEverywhereUserRules/.

Překvapilo mě to změnou formátu, najednou koukám, že ábíčko jede přes HTTP - a oni přidali tag <target>.

[xkucf03]

jj, říkám si už nějakou dobu, že to nefunguje – pořád jsem se ještě nedostal k tomu, abych zjistil, čím to je (změna formátu mě napadla), takže díky za blog, že už to nemusím hledat

[SPM]

Teď jsem jenom zvědavý, jak moc abíčko bude svižné, až to začnou používat všichni :)))

[limit_false]

Nvm, predtim slo temer vsechno pres https, snad az na nejakych par obrazku a prepnuti https do http po prihlaseni. Takze bych nejak necekal nejake spomaleni.

[SPM]

No, spousta lidí tu přihlášených je, takže přepnutí na http po loginu tomu ulehčí... taky je otázka, kolik je tu návštěvníků, nicméně na nějakých poměrně dost navštěvovaných webech může zapnutí ssl na vše tu zátěž asi celkem zvednout...

[limit_false]

SSL nema az takovy overhead pokud se nepouzivaji prilis velke RSA klice. Nejlepe je to popsano v diskusi 2048 bits, damn the electrons!.

[Jendа]

Ve Firefoxu doporučuji nastavit

browser.cache.disk_cache_ssl;true

Defaultně totiž cachuje jenom do paměti.

[xkucf03]

Pak se ale na disk dostanou třeba i výpisy z elektronického bankovnictví atd., ne? (jasně, s šifrovaným diskem to není až takový problém)

[Jendа]

Dostanou. Ale pokud už někdo dokáže přečíst můj disk, tak si může číst mnohem zajímavější data než je nějaká nacachovaná komunikace.

[limit_false]

To neni tak uplne pravda, napr. pri nejake chybe v javascriptu se muze utocnik dostat na disk, ale neprecte pamet browseru. A vetsinu utocniku bude prave zajimat zpusob, jak se dostat k cizimu uctu

[Jendа]

No mohl bych s tím něco udělat. Už delší dobu přemýšlím, že bych Firefox jakožto program nejnáchylnější k bezpečnostním dírám spouštěl v nějakém sandboxu (např. pod jiným uživatelem). Ale zatím to zůstalo jenom u toho přemýšlení…

[xkucf03]

Firefox pouštím pod AppArmorem, ale ten profil není nic moc, je potřeba ještě trochu přitvrdit, aby prohlížeč mohl jen tam, kam skutečně potřebuje. Jinak na bankovnictví apod. je asi nejlepší mít zvláštního uživatele (a k tomu: chmod 700 /home/*)

[limit_false]

Ja jsem dlouho pouzival grsecurity (bez RBAC, protoze na desktopu by to bylo peklo). Stejne musite dat aplikacim jako X nebo vmware/virtualbox vysoke prava. Chtel jsem rict "protoze to psaly prasata", ale je to nejspis zpusobeno legacy kodem.

Nicmene jak jsem jiz zminoval, nejvetsi zlo je flash - spustitelny stack, WTF? Ja vim, JIT apod., ale podle toho taky vypadaji heap spraying exploity na flash (kvuli tomu ani NX bit vas nezachrani, o -fPIC nebo ASLR si muzete nechat zdat).

Momentalne koukam na /proc/pid/maps flashe, zasobnik uz neni executable, ale tam bych neveril nikomu a nicemu.

[limit_false]

Nejvetsi zlo je flash (adobe readeru se lze na linuxu vyhnout; mozna i gnash uz bude v celkem pouzitelnem stavu). Vubec bych se nedivil, kdyby tam chyby byly zaneseny umyslne (zdravim FBI/CIA/NSA, ti s tim maji dlouholete zkusenosti - jak byly Windowsy derave pred par roky, ted prebral stafetu Flash). NoScript.