Soluzioni di PC Magazine: sei più sicuro con Firefox?

Firefox è un browser Web più sicuro di Microsoft Internet Explorer? La risposta potrebbe essere sì, ma i problemi sono più complicati di quanto si pensi. In effetti, Firefox ha la sua parte di problemi di sicurezza ed è stato probabilmente salvato dagli attacchi del mondo reale finora solo dalla sua quota di mercato a una cifra.

Alla fine di febbraio, l'organizzazione Mozilla ha rilasciato il primo aggiornamento a Firefox, versione 1.0.1 (www.getfirefox.com). Non ci sono nuove funzionalità degne di nota nella nuova versione, ma ha risolto 17 vulnerabilità documentate nella versione 1.0. (Www.mozilla.org/projects/security/known-vulnerabilities.html). Il più famoso è stato un bug di spoofing dell'URL che coinvolge URL con nomi di dominio internazionalizzati (IDN - www.mozilla.org/security/announce/mfsa2005-29.html). Fondamentalmente, un utente malintenzionato poteva creare un sito che aveva, a quanto pareva, lo stesso URL di un altro sito (come www.ebay.com), ma in realtà il nome di dominio sarebbe in un set di caratteri internazionali, non in inglese. (Mozilla in realtà non ha risolto questo problema, che è meno un bug nel programma che un problema con l'intero approccio agli IDN; invece la versione 1.0.1 disabilita il supporto IDN per impostazione predefinita.)

Probabilmente non avevi letto nessuno di questi bug prima dell'aggiornamento. Questo perché solo di recente l'Organizzazione Mozilla ha iniziato a pubblicare avvisi di sicurezza del tipo che Microsoft pubblica ogni mese (vedi www.mozilla.org/security/announce). Per la maggior parte Mozilla non nascondeva questi bug prima di pubblicare avvisi, ma non li stava nemmeno pubblicizzando. Se sai dove e come guardare, puoi ottenere una migliore immagine dei bug di sicurezza (e di altri) in Firefox e altri progetti Mozilla su bugzilla.mozilla.org, il database ufficiale dei bug per lo sviluppo di Mozilla. Ma anche qui l'organizzazione non è totalmente aperta riguardo ai bug di sicurezza; quando ne vengono segnalati di nuovi, le voci in Bugzilla vengono generalmente rese private per un certo periodo mentre vengono investigate e corrette.

E a differenza di Microsoft, quando Mozilla corregge un bug non rilascia una patch per gli utenti. Se si desidera attenersi ai programmi a livello di versione, l'unica opzione è attendere la prossima versione generale; l'aggiornamento alla versione 1.0.1 dalla 1.0 ha richiesto circa 3, 5 mesi. Puoi installare una build temporanea del programma (le build notturne sono disponibili su ftp.mozilla. Org / pub / mozilla.org / firefox / nightly / latest-trunk /), ma queste non sono versioni ufficiali e dovresti aspettartele avere altri bug; nella misura in cui ottieni supporto per Firefox, sarà minato dal tuo utilizzo di una build temporanea.

In Firefox per Windows puoi impostare le opzioni su Strumenti | Opzioni | -Avanzato- | Aggiornamento software per controllare periodicamente i server Firefox per gli aggiornamenti del programma. Troverà la versione 1.0.1, ma tutto ciò che farà è scaricare l'intero programma e avviare il programma di installazione. Nella versione Linux è possibile aggiornare solo estensioni e temi, non il codice del programma.

E ci sono già problemi di sicurezza nella versione 1.0.1, anche se non ci sono ancora avvisi per loro. Ad esempio, su un computer multiutente, come un sistema Linux, se un utente in esecuzione come root avvia Firefox e un altro utente non root avvia Firefox, l'istanza di Firefox di un utente non root ottiene i privilegi di root (bugzilla.mozilla.org/ show_ bug.cgi? id = 247412).

• Mozilla Firefox 1.0 Mozilla Firefox 1.0
• Prime 15 estensioni di Firefox Prime 15 estensioni di Firefox
• Supporto Guadagni Yahoo Toolbar per Firefox Supporto Guadagni Yahoo Toolbar per Firefox
• Firefox ottiene importanti cambiamenti di sicurezza Firefox ottiene importanti miglioramenti di sicurezza

Inoltre, è difficile e inopportuno per un utente esaminare il certificato per un'estensione firmata al momento dell'installazione (bugzilla.mozilla.org/show_bug.cgi?id=278629), quindi uno spoofer potrebbe avere difficoltà a cavarsela facendo finta di essere una fonte attendibile. Esistono anche numerosi bug di arresto anomalo, come bugzilla.mozilla.org/show_ bug.cgi? Id = 263609, che spesso indicano una vulnerabilità sfruttabile dietro le quinte.

Infine, le società anti-spyware Webroot e Sunbelt Software hanno affermato che si aspettano che vengano presentati spyware specifici per Firefox quest'anno, e se la quota di mercato del browser continua ad aumentare è facile capire perché. Quindi non dimenticare di aggiornare e non riposare sugli allori di Firefox. Non sei libero da problemi di sicurezza, ne hai solo di diversi.

Larry Seltzer, frequente collaboratore di PC Magazine, scrive la newsletter di Security Watch per pcmag.com.