Por que meu departamento de TI bloqueia o Firefox?
Recebemos uma mensagem dos órgãos de TI esta semana afirmando:
Resumo do problema: A TI desativará e bloqueará o uso do navegador Firefox na próxima quinta-feira, 12/03/20, em todos os dispositivos gerenciados por TI. Devido a certas vulnerabilidades e riscos de segurança associados ao uso deste navegador, seu uso será bloqueado na próxima quinta-feira.
Um novo exploit foi encontrado? Eu verifiqueihttps://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ mas não vi nada que está aberto no momento.
Alguém sabe o motivo dessa proibição?
Respostas
Supondo que você trabalhe no setor bancário, isso provavelmente se deve à sua incapacidade de interceptar o tráfego do Firefox.
TLDR: Devido ao suporte do Firefox para DoH e eSNI, a maioria dos bancos e indústrias regulamentadas estão recorrendo ao bloqueio do Firefox porque os firewalls não podem rastrear o tráfego criptografado facilmente.
Por outro lado, se você usa o Chrome, IE ou Edge, pode enviar alterações por meio do Active Directory sem o conhecimento / consentimento do usuário. Na verdade, a maioria dos fornecedores de firewall de hardware com DPI começou a recomendar aos clientes corporativos que se livrem do Firefox porque seu firewall de borda não é mais capaz de interceptar o tráfego do FF.
Nota: É possível aplicar políticas no Firefox Enterprise , mas a maioria dos usuários preocupados com a privacidade usarão o FF portable para ignorá-lo, portanto, o bloqueio é mais fácil.
- https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
- https://www.venafi.com/blog/fight-over-dns-over-https
- https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025
TLDR - Pode não ser nem sobre segurança. Isso pode ser apenas devido à preferência da sua empresa.
Um amigo meu enfrentou um problema semelhante. O Firefox está bloqueado em seu laptop do escritório. Quando questionados, eles simplesmente disseram que era por " razões de segurança ". Depois de preencher o pedido de teste dos sites no Firefox, ele recebeu uma resposta diferente. Afirmou que tinham uma extensão instalada no Google Chrome para monitorar sua atividade na web e determinar "tempo de trabalho / produtividade". A extensão foi disponibilizada apenas no Google Chrome e todos os outros navegadores estão banidos citando " razões de segurança" , embora na realidade seja apenas uma preferência da equipe de desenvolvimento da extensão.
Muito provavelmente, a TI não queria ser responsável por atualizações centralizadas.
Sem atualizações combinadas, as instalações individuais ficam desatualizadas e as vulnerabilidades, uma vez encontradas, podem permanecer sem patch. Então, eles o baniram em vez de assumir o trabalho extra de garantir que ele fosse corrigido.
TLDR - É remotamente possível que a implementação de Javascript do Firefox seja incompatível com alguma outra parte da infraestrutura da organização ou insegura de uma forma muito restrita.
A implementação de Javascript é minha dor de cabeça diária, pois apoio um framework que se destina a funcionar de forma idêntica, não importa como você o acessa. Os problemas surgem com pouca frequência em torno de algumas peças de conteúdo de terceiros.
No topo da minha cabeça, o Firefox é provavelmente o único navegador principal que ainda pode usar um pagehide ou eventos de descarregamento para fazer qualquer coisa que realmente envie dados de volta, ou fazer algo mais complicado do que confirmar a navegação. O Chrome e todas as versões do IE ou Edge suportadas não permitem uma postagem durante esses eventos (para evitar que o JS sequestre uma guia zumbi). Quando o Firefox encontra esse evento, não há nenhum problema com a postagem de dados. No meu caso, meu código realmente possui o que está nessa postagem, mas o conteúdo pode escrever basicamente o que quiser em um evento de pagehide e, com o Firefox, provavelmente vai passar se for rápido o suficiente.
Outra coisa que acabei de pensar é a modelagem de strings em JS. O IE não oferece suporte para isso de forma alguma, e alguns de meus clientes exigem o uso do navegador em torno disso. Eu não uso modelos de string JS porque devo suportar o IE desde o IE9, mas é um exemplo de como a proibição de navegadores pode não estar relacionada à segurança. Há uma chance estreita de que uma parte da infraestrutura de entrada simplesmente não seja compatível de alguma forma que eles não estivessem inclinados a mencionar.