Mengapa departemen TI saya memblokir Firefox?

Question

Kami menerima pesan dari badan TI minggu ini yang menyatakan:

Ringkasan masalah: TI akan menonaktifkan dan memblokir penggunaan browser Firefox Kamis depan 03.12.20 di semua perangkat yang dikelola TI. Karena kerentanan dan risiko keamanan tertentu yang terkait dengan penggunaan browser ini, browser akan diblokir dari penggunaan mulai Kamis depan.

Apakah eksploitasi baru telah ditemukan? Saya sudah memeriksanyahttps://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ tetapi tidak melihat apa pun yang saat ini terbuka.

Adakah yang tahu alasan larangan ini?

Answer 1

Dengan asumsi bahwa Anda bekerja di industri bank, ini mungkin karena ketidakmampuan mereka untuk menghalangi lalu lintas Firefox.

TLDR: Karena dukungan Firefox terhadap DoH dan eSNI, sebagian besar bank dan industri yang diatur beralih untuk memblokir Firefox karena firewall tidak dapat mengintip lalu lintas terenkripsi dengan mudah.

Di sisi lain, jika Anda menggunakan chrome, IE atau Edge, Anda dapat mendorong perubahan melalui Active Directory tanpa sepengetahuan / persetujuan pengguna. Sebenarnya sebagian besar vendor firewall perangkat keras dengan DPI sudah mulai merekomendasikan pelanggan perusahaan untuk menyingkirkan Firefox karena firewall tepi mereka tidak dapat lagi mengganggu lalu lintas FF.

Catatan: Seseorang dapat menegakkan kebijakan di perusahaan Firefox , tetapi sebagian besar pengguna yang sadar privasi akan menggunakan portabel FF untuk mengabaikannya, oleh karena itu pemblokiran lebih mudah.

1. https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
2. https://www.venafi.com/blog/fight-over-dns-over-https
3. https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025

Answer 2

TLDR - Ini mungkin bukan tentang keamanan. Ini mungkin saja karena preferensi perusahaan Anda.

Seorang teman saya menghadapi masalah serupa. Firefox diblokir di laptop kantornya. Ketika ditanya, mereka hanya mengatakan itu untuk " alasan keamanan ". Setelah mengajukan permintaan bahwa dia perlu menguji situs web di Firefox, dia mendapat jawaban berbeda. Disebutkan bahwa mereka memasang ekstensi di Google Chrome untuk memantau aktivitas web mereka dan menentukan "waktu kerja / produktivitas". Ekstensi dibuat hanya tersedia di Google Chrome dan semua browser lain dilarang mengutip " alasan keamanan" , padahal itu hanya preferensi tim pengembangan ekstensi.

Answer 3

Kemungkinan besar IT tidak ingin bertanggung jawab atas pembaruan terpusat.

Tanpa pembaruan bersama, penginstalan individu menjadi usang dan kerentanan, begitu ditemukan, mungkin tetap tidak tertambal. Jadi mereka melarangnya daripada mengambil pekerjaan ekstra untuk memastikannya ditambal.

Answer 4

TLDR - Sangat mungkin implementasi Javascript Firefox tidak kompatibel dengan beberapa bagian lain dari infrastruktur organisasi, atau tidak aman dalam cara yang sangat sempit.

Implementasi Javascript adalah sakit kepala harian saya, karena saya mendukung kerangka kerja yang dimaksudkan untuk bekerja secara identik tidak peduli bagaimana Anda mengaksesnya. Masalah jarang muncul di sekitar beberapa konten pihak ketiga.

Di luar kepalaku, Firefox mungkin satu-satunya browser utama yang tersisa yang masih dapat menggunakan acara penyembunyian halaman atau bongkar muat untuk melakukan apa pun yang benar-benar memposting kembali data, atau melakukan sesuatu yang lebih rumit daripada mengonfirmasi navigasi. Chrome dan setiap versi IE atau Edge yang saya dukung tidak mengizinkan postingan selama acara tersebut (untuk mencegah JS membajak tab zombie). Ketika Firefox menemukan kejadian itu, tidak ada masalah sama sekali dengan pos data. Dalam kasus saya, kode saya sebenarnya memiliki apa yang ada di posting itu, tetapi konten pada dasarnya dapat menulis apa pun yang diinginkannya ke dalam acara pagehide dan, dengan Firefox, itu mungkin akan berjalan jika cukup cepat.

Hal lain yang baru saja saya pikirkan adalah template string di JS. IE sama sekali tidak mendukungnya, dan beberapa klien saya mengamanatkan penggunaan browser untuk itu. Saya tidak menggunakan template string JS karena saya harus mendukung IE kembali ke IE9, tetapi ini berdiri sebagai contoh bagaimana larangan browser mungkin tidak terkait dengan keamanan. Ada kemungkinan sempit bahwa bagian infrastruktur masuk mungkin tidak kompatibel dalam beberapa hal yang belum pernah mereka sebutkan.