내 IT 부서가 Firefox를 차단하는 이유는 무엇입니까?
이번 주 IT 이사회로부터 다음과 같은 메시지를 받았습니다.
문제 요약 : IT는 다음 주 목요일 03.12.20 모든 IT 관리 장치에서 Firefox 브라우저 사용을 비활성화 및 차단할 예정입니다. 이 브라우저 사용과 관련된 특정 취약성 및 보안 위험으로 인해 다음 목요일부터 사용이 차단됩니다.
새로운 익스플로잇이 발견 되었습니까? 나는 확인했다https://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ 그러나 현재 열려있는 것은 보이지 않습니다.
이 금지 이유를 아는 사람이 있습니까?
답변
은행 업계에서 일한다고 가정하면 Firefox의 트래픽을 가로 챌 수 없기 때문일 수 있습니다.
TLDR : Firefox의 DoH 및 eSNI 지원으로 인해 대부분의 은행 및 규제 산업은 방화벽이 암호화 된 트래픽을 쉽게 스누핑 할 수 없기 때문에 Firefox를 차단하는 데 의지하고 있습니다.
반면 Chrome, IE 또는 Edge를 사용하는 경우 사용자 모르게 / 동의없이 Active Directory를 통해 변경 사항을 푸시 할 수 있습니다. 실제로 DPI를 사용하는 대부분의 하드웨어 방화벽 공급 업체는 에지 방화벽이 더 이상 FF의 트래픽을 가로 챌 수 없기 때문에 기업 고객에게 Firefox를 제거하도록 권장하기 시작했습니다.
참고 : 하나는 Firefox 엔터프라이즈 에서 정책을 시행 할 수 있지만 대부분의 개인 정보 보호를 의식하는 사용자는 FF portable을 사용하여 차단하므로 차단이 더 쉽습니다.
- https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
- https://www.venafi.com/blog/fight-over-dns-over-https
- https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025
TLDR- 보안 문제가 아닐 수도 있습니다. 이것은 회사의 선호도 때문일 수 있습니다.
내 친구도 비슷한 문제에 직면했습니다. Firefox는 사무실 노트북에서 차단됩니다. 질문에 그들은 단순히 " 보안상의 이유 " 때문 이라고 말했다. Firefox에서 웹 사이트를 테스트해야한다는 요청을 제출 한 후 그는 다른 답변을 받았습니다. 웹 활동을 모니터링하고 "작업 시간 / 생산성"을 결정하기 위해 Chrome에 확장 프로그램을 설치했다고 명시했습니다. 이 확장 프로그램은 Google 크롬에서만 사용할 수 있으며 다른 모든 브라우저는 " 보안 이유"를 이유로 금지되어 있지만 실제로는 확장 프로그램 개발 팀이 선호하는 것입니다.
대부분의 경우 IT는 중앙 집중식 업데이트를 담당하고 싶지 않았습니다.
통합 업데이트가 없으면 개별 설치가 오래되고 취약점이 발견되면 패치가 적용되지 않을 수 있습니다. 그래서 그들은 패치가되었는지 확인하는 추가 작업을 수행하기보다는 금지했습니다.
TLDR-Firefox의 Javascript 구현이 조직의 인프라의 다른 부분과 호환되지 않거나 매우 좁은 방식으로 안전하지 않을 수 있습니다.
Javascript 구현은 사용자가 액세스하는 방법에 관계없이 동일하게 작동하도록 고안된 프레임 워크를 지원한다는 점에서 일상적인 골칫거리입니다. 일부 타사 콘텐츠 주변에서 문제가 자주 발생하지 않습니다.
내 머리 꼭대기에서 Firefox는 페이지 숨기기 또는 언로드 이벤트를 사용하여 실제로 데이터를 게시하거나 탐색을 확인하는 것보다 더 복잡한 작업을 수행 할 수있는 유일한 주요 브라우저 일 것입니다. Chrome과 내가 지원하는 모든 버전의 IE 또는 Edge는 해당 이벤트 동안 게시물을 허용하지 않습니다 (JS가 좀비 탭을 가로채는 것을 방지하기 위해). Firefox에서 해당 이벤트가 발생하면 데이터 게시에 전혀 문제가 없습니다. 제 경우에는 제 코드가 실제로 해당 게시물에있는 내용을 소유하고 있지만 콘텐츠는 기본적으로 페이지 숨김 이벤트에 원하는 내용을 작성할 수 있으며 Firefox를 사용하면 충분히 빠르면 통과 할 것입니다.
내가 방금 생각한 또 다른 것은 JS의 문자열 템플릿입니다. IE는 그것을 지원하지 않으며 일부 클라이언트는 브라우저 사용을 요구합니다. IE를 IE9로 다시 지원해야하기 때문에 JS 문자열 템플릿을 사용하지 않지만, 브라우저 차단이 보안과 관련이 없을 수있는 방법의 예입니다. 인바운드 인프라가 언급하지 않은 방식으로 호환되지 않을 수있는 좁은 기회가 있습니다.