Dlaczego mój dział IT blokuje przeglądarkę Firefox?
W tym tygodniu otrzymaliśmy wiadomość od specjalistów IT stwierdzającą:
Podsumowanie problemu: IT wyłączy i zablokuje korzystanie z przeglądarki Firefox w najbliższy czwartek 03.12.20 na wszystkich zarządzanych urządzeniach IT. Ze względu na pewne luki i zagrożenia bezpieczeństwa związane z korzystaniem z tej przeglądarki, korzystanie z niej zostanie zablokowane od następnego czwartku.
Czy znaleziono nowy exploit? sprawdziłemhttps://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ ale nie widziałem niczego, co jest obecnie otwarte.
Czy ktoś zna powód tego zakazu?
Odpowiedzi
Zakładając, że pracujesz w branży bankowej, prawdopodobnie wynika to z ich niezdolności do przechwytywania ruchu przeglądarki Firefox.
TLDR: Ze względu na obsługę DoH i eSNI przez Firefox większość banków i regulowanych branż ucieka się do blokowania Firefoksa, ponieważ zapory ogniowe nie mogą łatwo podsłuchiwać zaszyfrowanego ruchu.
Z drugiej strony, jeśli używasz Chrome, IE lub Edge, możesz przesyłać zmiany przez Active Directory bez wiedzy / zgody użytkownika. W rzeczywistości większość dostawców zapór sprzętowych z DPI zaczęło zalecać klientom korporacyjnym pozbycie się Firefoksa, ponieważ ich brzegowa zapora ogniowa nie jest już w stanie przechwytywać ruchu FF.
Uwaga: można wymusić zasady w Firefoksie Enterprise , ale większość użytkowników dbających o prywatność będzie używać przenośnego FF, aby go lekceważyć, dlatego blokowanie jest łatwiejsze.
- https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
- https://www.venafi.com/blog/fight-over-dns-over-https
- https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025
TLDR - Może nawet nie chodzi o bezpieczeństwo. Może to być spowodowane preferencjami Twojej firmy.
Mój przyjaciel stanął przed podobnym problemem. Firefox jest zablokowany na swoim biurowym laptopie. Zapytani po prostu powiedzieli, że to „ze względów bezpieczeństwa ”. Po zgłoszeniu prośby o przetestowanie stron internetowych w Firefoksie otrzymał inną odpowiedź. Stwierdził, że mają zainstalowane rozszerzenie w Google Chrome, które monitoruje ich aktywność w sieci i określa „czas pracy / produktywność”. Rozszerzenie zostało udostępnione tylko w Google Chrome, a wszystkie inne przeglądarki są zbanowane z powodu „powodów bezpieczeństwa” , podczas gdy w rzeczywistości jest to tylko preferencja zespołu programistów rozszerzenia.
Najprawdopodobniej dział IT nie chciał być odpowiedzialny za scentralizowane aktualizacje.
Bez uzgodnionych aktualizacji poszczególne instalacje tracą aktualność, a znalezione luki mogą pozostać niezałatane. Zablokowali go więc, zamiast wykonywać dodatkową pracę polegającą na upewnieniu się, że został załatany.
TLDR - Jest zdalnie możliwe, że implementacja Javascript w Firefoksie jest niekompatybilna z inną częścią infrastruktury organizacji lub niezabezpieczona w bardzo wąski sposób.
Implementacja JavaScript jest moim codziennym bólem głowy, ponieważ obsługuję framework, który ma działać identycznie, niezależnie od tego, w jaki sposób uzyskujesz do niego dostęp. W przypadku niektórych treści stron trzecich pojawiają się rzadko.
Z góry myślę, że Firefox jest prawdopodobnie jedyną pozostałą przeglądarką, która nadal może używać ukrywania strony lub usuwać zdarzenia, aby robić cokolwiek, co faktycznie publikuje dane, lub robić cokolwiek bardziej skomplikowanego niż potwierdzanie nawigacji. Chrome i każda obsługiwana przeze mnie wersja IE lub Edge nie zezwala na wysyłanie postów podczas tych zdarzeń (aby zapobiec przejęciu przez JS karty zombie). Kiedy Firefox napotyka to zdarzenie, nie ma żadnego problemu z wpisem danych. W moim przypadku mój kod faktycznie jest właścicielem tego, co jest w tym poście, ale treść może napisać w zasadzie wszystko, co chce, w zdarzeniu ukrycia strony, a w przypadku przeglądarki Firefox prawdopodobnie przejdzie, jeśli będzie wystarczająco szybka.
Inną rzeczą, o której właśnie pomyślałem, jest tworzenie szablonów ciągów w JS. IE w żaden sposób go nie obsługuje, a niektórzy z moich klientów na to zezwalają. Nie używam szablonów ciągów JS, ponieważ muszę obsługiwać IE z powrotem do IE9, ale stanowi to przykład tego, jak bany przeglądarki mogą nie być związane z bezpieczeństwem. Istnieje niewielka szansa, że przychodzący element infrastruktury może po prostu nie być kompatybilny w sposób, o którym nie byliby skłonni wspominać.