Perché il mio reparto IT blocca Firefox?
Questa settimana abbiamo ricevuto un messaggio dai responsabili IT in cui si afferma:
Riepilogo del problema: giovedì prossimo, il 03.12.20, l'IT disabiliterà e bloccherà l'uso del browser Firefox su tutti i dispositivi gestiti dall'IT. A causa di alcune vulnerabilità e rischi per la sicurezza associati all'uso di questo browser ne verrà bloccato l'utilizzo a partire da giovedì prossimo.
È stato trovato un nuovo exploit? Ho controllatohttps://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ ma non ho visto nulla che sia attualmente aperto.
Qualcuno sa di una ragione per questo divieto?
Risposte
Supponendo che tu lavori nel settore bancario, ciò è probabilmente dovuto alla loro incapacità di intercettare il traffico di Firefox.
TLDR: a causa del supporto di Firefox per DoH ed eSNI, la maggior parte delle banche e dei settori regolamentati ricorre al blocco di Firefox perché i firewall non possono ficcare il traffico crittografato facilmente.
D'altra parte, se utilizzi Chrome, IE o Edge, puoi inviare le modifiche tramite Active Directory senza la conoscenza / il consenso dell'utente. In realtà la maggior parte dei fornitori di firewall hardware con DPI ha iniziato a consigliare ai clienti aziendali di sbarazzarsi di Firefox perché il loro firewall edge non è più in grado di intercettare il traffico di FF.
Nota: è possibile applicare le policy su Firefox enterprise , ma la maggior parte degli utenti attenti alla privacy utilizzerà FF Portable per ignorarlo, quindi il blocco è più semplice.
- https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
- https://www.venafi.com/blog/fight-over-dns-over-https
- https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025
TLDR - Potrebbe non riguardare nemmeno la sicurezza. Ciò potrebbe essere dovuto solo alle preferenze della tua azienda.
Un mio amico ha affrontato un problema simile. Firefox è bloccato sul laptop dell'ufficio. Quando è stato chiesto hanno semplicemente detto che era per " motivi di sicurezza ". Dopo aver presentato la richiesta di testare i siti Web su Firefox, ha ottenuto una risposta diversa. Affermava che avevano un'estensione installata su Google Chrome per monitorare la loro attività web e determinare "tempo di lavoro / produttività". L'estensione è stata resa disponibile solo su Google Chrome e tutti gli altri browser sono banditi adducendo " motivi di sicurezza" , mentre in realtà è solo una preferenza del team di sviluppo dell'estensione.
Molto probabilmente l'IT non voleva essere responsabile degli aggiornamenti centralizzati.
Senza aggiornamenti concertati, le singole installazioni non sono aggiornate e le vulnerabilità, una volta trovate, potrebbero rimanere prive di patch. Quindi l'hanno bandito piuttosto che assumersi il lavoro extra per assicurarsi che fosse rattoppato.
TLDR: è possibile che l'implementazione di JavaScript da parte di Firefox sia incompatibile con qualche altra parte dell'infrastruttura dell'organizzazione o insicura in modo molto ristretto.
L'implementazione di Javascript è il mio mal di testa quotidiano, in quanto supporto un framework che dovrebbe funzionare in modo identico, indipendentemente da come vi si accede. I problemi sorgono raramente attorno ad alcuni contenuti di terze parti.
In cima alla mia testa, Firefox è probabilmente l'unico browser principale rimasto che può ancora utilizzare un pagehide o unload eventi per fare qualsiasi cosa che effettivamente post indietro dati, o fare qualcosa di più complicato che confermare la navigazione. Chrome e tutte le versioni di IE o Edge che supportano non consentono un post durante questi eventi (per impedire a JS di dirottare una scheda zombi). Quando Firefox incontra quell'evento, non ci sono problemi con il data post. Nel mio caso, il mio codice possiede effettivamente ciò che c'è in quel post, ma il contenuto potrebbe scrivere praticamente tutto ciò che vuole in un evento pagehide e, con Firefox, probabilmente andrà avanti se è abbastanza veloce.
Un'altra cosa a cui ho appena pensato è il templating di stringhe in JS. IE non lo supporta in alcun modo e alcuni dei miei clienti impongono l'utilizzo del browser al riguardo. Non uso i modelli di stringhe JS perché devo supportare IE per tornare a IE9, ma rappresenta un esempio di come i ban del browser potrebbero non essere correlati alla sicurezza. C'è questa piccola possibilità che un pezzo di infrastruttura in entrata potrebbe semplicemente non essere compatibile in qualche modo che non sono stati inclini a menzionare.