Pourquoi mon service informatique bloque-t-il Firefox?
Nous avons reçu cette semaine un message des organismes informatiques indiquant:
Résumé du problème: le service informatique désactivera et bloquera l'utilisation du navigateur Firefox jeudi prochain le 03.12.20 sur tous les appareils gérés par le service informatique. En raison de certaines vulnérabilités et risques de sécurité associés à l'utilisation de ce navigateur, son utilisation sera bloquée à partir de jeudi prochain.
Un nouvel exploit a-t-il été trouvé? j'ai vérifiéhttps://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ mais rien vu de ce qui est actuellement ouvert.
Quelqu'un connaît-il la raison de cette interdiction?
Réponses
En supposant que vous travaillez dans le secteur bancaire, cela est probablement dû à leur incapacité à intercepter le trafic de Firefox.
TLDR: En raison de la prise en charge par Firefox du DoH et de l' eSNI, la plupart des banques et des secteurs réglementés ont recours à bloquer Firefox car les pare-feu ne peuvent pas espionner facilement le trafic crypté.
D'un autre côté, si vous utilisez Chrome, IE ou Edge, vous pouvez transmettre les modifications via Active Directory à l'insu / consentement de l'utilisateur. En fait, la plupart des fournisseurs de pare-feu matériels avec DPI ont commencé à recommander aux entreprises clientes de se débarrasser de Firefox car leur pare-feu de périphérie n'est plus en mesure d'intercepter le trafic de FF.
Remarque: on peut appliquer des politiques sur l' entreprise Firefox , mais la plupart des utilisateurs soucieux de leur vie privée utiliseront FF portable pour le bafouer, le blocage est donc plus facile.
- https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
- https://www.venafi.com/blog/fight-over-dns-over-https
- https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025
TLDR - Ce n'est peut-être même pas une question de sécurité. Cela pourrait simplement être dû à la préférence de votre entreprise.
Un de mes amis a été confronté à un problème similaire. Firefox est bloqué sur son ordinateur portable de bureau. Lorsqu'on leur a demandé, ils ont simplement répondu que c'était pour des « raisons de sécurité ». Après avoir déposé une demande pour tester les sites Web sur Firefox, il a obtenu une réponse différente. Il a déclaré qu'ils avaient une extension installée sur Google Chrome pour surveiller leur activité Web et déterminer «temps de travail / productivité». L'extension a été mise à disposition sur Google Chrome uniquement et tous les autres navigateurs sont interdits en invoquant des « raisons de sécurité» , alors qu'en réalité c'est juste une préférence de l'équipe de développement de l'extension.
Il est fort probable que le service informatique ne voulait pas être responsable des mises à jour centralisées.
Sans mises à jour concertées, les installations individuelles ne sont plus à jour et les vulnérabilités, une fois trouvées, peuvent ne pas être corrigées. Ils l'ont donc interdit plutôt que de se charger du travail supplémentaire de s'assurer qu'il soit corrigé.
TLDR - Il est à distance possible que l'implémentation de Javascript par Firefox soit incompatible avec une autre partie de l'infrastructure de l'organisation, ou non sécurisée d'une manière très étroite.
La mise en œuvre de Javascript est mon casse-tête quotidien, en ce sens que je supporte un framework qui est destiné à fonctionner de manière identique, peu importe comment vous y accédez. Des problèmes surviennent rarement autour de certains éléments de contenu tiers.
De ma tête, Firefox est probablement le seul navigateur majeur restant à pouvoir encore utiliser un masque de page ou décharger des événements pour faire tout ce qui publie réellement des données, ou faire quelque chose de plus compliqué que de confirmer la navigation. Chrome et toutes les versions d'IE ou d'Edge que je prend en charge n'autorisent pas la publication d'un message pendant ces événements (pour empêcher le JS de détourner un onglet zombie). Lorsque Firefox rencontre cet événement, il n'y a aucun problème avec la publication de données. Dans mon cas, mon code possède en fait ce qui se trouve dans cet article, mais le contenu pourrait écrire essentiellement ce qu'il veut dans un événement de masquage de page et, avec Firefox, il passera probablement si c'est assez rapide.
Une autre chose à laquelle je viens de penser est la création de modèles de chaînes dans JS. IE ne le prend en aucun cas en charge, et certains de mes clients imposent l'utilisation du navigateur à ce sujet. Je n'utilise pas de modèle de chaîne JS car je dois prendre en charge IE vers IE9, mais cela montre comment les interdictions de navigateur peuvent ne pas être liées à la sécurité. Il y a cette faible chance qu'une infrastructure entrante ne soit tout simplement pas compatible d'une manière qu'ils n'ont pas été enclins à mentionner.