Lösningar från pc-tidningen: är du säkrare med Firefox?

Är Firefox en säkrare webbläsare än Microsofts Internet Explorer? Svaret kan vara ja, men problemen är mer komplicerade än de flesta inser. I själva verket har Firefox sin andel av säkerhetsproblem och har förmodligen räddats från den verkliga attacken hittills bara av sin ensiffriga marknadsandel.

I slutet av februari släppte Mozilla Organization den första uppdateringen till Firefox, version 1.0.1 (www.getfirefox.com). Det finns inga nya funktioner i noten i den nya versionen, men det fixade 17 dokumenterade sårbarheter i version 1.0. (Www.mozilla.org/projects/security/known-vulnerabilities.html). Det mest kända var ett URL-spoofing-fel med URL-adresser med internationaliserade domännamn (IDN - www.mozilla.org/security/announce/mfsa2005-29.html). I grunden kan en angripare ställa in en webbplats som, till yttre uppträdanden, hade samma URL som en annan webbplats (som www.ebay.com), men i själva verket skulle domännamnet vara i en internationell teckenuppsättning, inte engelska. (Mozilla fixade faktiskt inte detta problem, vilket är mindre ett fel i programmet än ett problem med hela tillvägagångssättet för IDN: istället inaktiverar version 1.0.1 bara IDN-stöd som standard.)

Du har antagligen inte läst om några av dessa buggar innan uppdateringen. Det beror på att det först nyligen har Mozillaorganisationen börjat utfärda säkerhetsrådgivningar av det slag som Microsoft ger ut varje månad (se www.mozilla.org/security/announce). För det mesta dolt inte Mozilla dessa buggar före publicering av rådgivning, men det publicerade inte heller dem. Om du vet var och hur du ska titta kan du få en bättre bild av säkerhets (och andra) buggar i Firefox och andra Mozilla-projekt på bugzilla.mozilla.org, den officiella bugldatabasen för Mozilla-utveckling. Men även här är organisationen inte helt öppen för säkerhetsbuggar; när nya rapporteras görs uppgifterna i Bugzilla i allmänhet privata under en tid medan de undersöks och fixas.

Och till skillnad från Microsoft, när Mozilla fixar ett fel, släpper det inte en patch för användare. Om du vill hålla sig till program på släppnivå är ditt enda alternativ att vänta på nästa allmänna utgåva; uppgraderingen till version 1.0.1 från 1.0 tog cirka 3, 5 månader. Du kan installera en interimsuppbyggnad av programmet (de nattliga builds finns tillgängliga på ftp.mozilla. Org / pub / mozilla.org / firefox / nightly / last-trunk /), men dessa är inte officiella versioner och du kan förvänta dig dem att ha andra buggar; i den utsträckning du får stöd för Firefox kommer det att undergrävas av din användning av en interimsuppbyggnad.

I Firefox för Windows kan du ställa in alternativen på Verktyg | Alternativ | -Advanced- | Programuppdatering för att regelbundet kontrollera Firefox-servrar för uppdateringar av programmet. Den hittar version 1.0.1, men allt det kommer att göra är att ladda ner hela programmet och starta installationsprogrammet. I Linux-versionen kan du bara uppdatera tillägg och teman, inte programkoden.

Och det finns säkerhetsproblem i version 1.0.1 redan, även om det inte finns några rådgivning för dem ännu. Till exempel på en fleranvändarmaskin, till exempel ett Linux-system, om en användare som kör som root startar Firefox, och en annan icke-rootanvändare startar Firefox, får den icke-rootanvändarens instans av Firefox rootprivilegier (bugzilla.mozilla.org/ show_ bug.cgi? id = 247412).

• Mozilla Firefox 1.0 Mozilla Firefox 1.0
• Topp 15 Firefox-tillägg Topp 15 Firefox-tillägg
• Firefox får Yahoo Toolbar-support Firefox-stödjer Yahoo Toolbar Support
• Firefox får större säkerhetsmästare Firefox får större säkerhetsmästare

Dessutom är det svårt och inte uppenbart för en användare att undersöka certifikatet för ett signerat tillägg vid installationstiden (bugzilla.mozilla.org/show_bug.cgi?id=278629), så en spoofer kan ha en enkel tid att komma undan med att låtsas vara en pålitlig källa. Det finns också ett antal kraschbuggar, som bugzilla.mozilla.org/show_ bug.cgi? Id = 263609, och dessa indikerar ofta en exploaterbar sårbarhet bakom kulisserna.

Slutligen har antispionprogramföretag Webroot och Sunbelt Software sagt att de förväntar sig att Firefox-specifika spionprogram börjar dyka upp i år, och om webbläsarens marknadsandel fortsätter att öka är det lätt att se varför det skulle göra det. Så glöm inte att uppdatera och vila inte på dina Firefox lagrar. Du är inte fri från säkerhetsproblem, du har bara olika.

Larry Seltzer, ofta bidragsgivare till PC Magazine, skriver nyhetsbrevet om Security Watch för pcmag.com.