Warum blockiert meine IT-Abteilung Firefox?
Wir haben diese Woche eine Nachricht von den IT-Mitarbeitern erhalten, die besagt:
Zusammenfassung des Problems: Die IT wird die Verwendung des Browsers Firefox am kommenden Donnerstag, den 03.12.20, auf allen von der IT verwalteten Geräten deaktivieren und blockieren. Aufgrund bestimmter Schwachstellen und Sicherheitsrisiken, die mit der Verwendung dieses Browsers verbunden sind, wird die Verwendung dieses Browsers ab nächsten Donnerstag gesperrt.
Wurde ein neuer Exploit gefunden? Ich habe nachgesehenhttps://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ aber nichts gesehen, was derzeit geöffnet ist.
Kennt jemand einen Grund für dieses Verbot?
Antworten
Angenommen, Sie arbeiten in der Bankbranche, liegt dies wahrscheinlich daran, dass sie den Datenverkehr von Firefox nicht abfangen können.
TLDR: Aufgrund der Unterstützung von DoH und eSNI durch Firefox greifen die meisten Banken und regulierten Branchen auf die Blockierung von Firefox zurück, da Firewalls den verschlüsselten Datenverkehr nicht einfach abhören können.
Wenn Sie dagegen Chrome, IE oder Edge verwenden, können Sie Änderungen ohne Wissen / Zustimmung des Benutzers über Active Directory übertragen. Tatsächlich empfehlen die meisten Anbieter von Hardware-Firewall mit DPI Unternehmenskunden, Firefox loszuwerden, da ihre Edge-Firewall den Datenverkehr von FF nicht mehr abfangen kann.
Hinweis: Sie können Richtlinien für Firefox Enterprise durchsetzen , aber die meisten datenschutzbewussten Benutzer verwenden FF Portable, um diese zu missachten, sodass das Blockieren einfacher ist.
- https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
- https://www.venafi.com/blog/fight-over-dns-over-https
- https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025
TLDR - Es geht möglicherweise nicht einmal um Sicherheit. Dies kann nur an den Vorlieben Ihres Unternehmens liegen.
Ein Freund von mir hatte ein ähnliches Problem. Firefox ist auf seinem Büro-Laptop blockiert. Auf Nachfrage sagten sie einfach, es sei aus " Sicherheitsgründen ". Nachdem er beantragt hatte, die Websites auf Firefox zu testen, erhielt er eine andere Antwort. Es wurde angegeben, dass eine Erweiterung in Google Chrome installiert war, um ihre Webaktivität zu überwachen und "Arbeitszeit / Produktivität" zu bestimmen. Die Erweiterung wurde nur in Google Chrome verfügbar gemacht, und alle anderen Browser sind aus " Sicherheitsgründen " gesperrt , während dies in Wirklichkeit nur eine Präferenz des Entwicklungsteams für Erweiterungen ist.
Höchstwahrscheinlich wollte die IT nicht für zentralisierte Updates verantwortlich sein.
Ohne konzertierte Updates sind einzelne Installationen veraltet und Schwachstellen können, sobald sie gefunden wurden, ungepatcht bleiben. Also haben sie es verboten, anstatt die zusätzliche Arbeit zu übernehmen, um sicherzustellen, dass es gepatcht wurde.
TLDR - Es ist aus der Ferne möglich, dass die Implementierung von Javascript durch Firefox nicht mit einem anderen Teil der Infrastruktur des Unternehmens kompatibel oder auf sehr enge Weise unsicher ist.
Die Implementierung von Javascript ist mein tägliches Problem, da ich ein Framework unterstütze, das unabhängig davon, wie Sie darauf zugreifen, identisch funktionieren soll. Bei einigen Inhalten von Drittanbietern treten selten Probleme auf.
Firefox ist wahrscheinlich der einzige verbleibende große Browser, der noch ein Pagehide verwenden oder Ereignisse entladen kann, um etwas zu tun, das tatsächlich Daten zurückgibt, oder etwas Komplizierteres, als die Navigation zu bestätigen. Chrome und jede von mir unterstützte Version von IE oder Edge erlauben während dieser Ereignisse keinen Beitrag (um zu verhindern, dass der JS einen Zombie-Tab entführt). Wenn Firefox auf dieses Ereignis stößt, gibt es überhaupt kein Problem mit dem Datenbeitrag. In meinem Fall besitzt mein Code tatsächlich, was in diesem Beitrag enthalten ist, aber der Inhalt könnte im Grunde alles, was er will, in ein Pagehide-Ereignis schreiben, und mit Firefox wird es wahrscheinlich durchlaufen, wenn es schnell genug ist.
Eine andere Sache, an die ich gerade gedacht habe, ist das Template-Template in JS. IE unterstützt es in keiner Weise, und einige meiner Kunden schreiben eine Browser-Nutzung vor. Ich verwende kein JS-String-Template, da ich IE zurück zu IE9 unterstützen muss, aber es ist ein Beispiel dafür, wie Browser-Verbote möglicherweise nicht sicherheitsrelevant sind. Es besteht die geringe Wahrscheinlichkeit, dass eine eingehende Infrastruktur einfach nicht in irgendeiner Weise kompatibel ist, die sie nicht erwähnen wollten.