Почему мой ИТ-отдел блокирует Firefox?
На этой неделе мы получили сообщение от ИТ-руководителей, в котором говорится:
Краткое изложение проблемы: ИТ-специалисты отключат и заблокируют использование браузера Firefox в следующий четверг 03.12.20 на всех управляемых ИТ-устройствах. Из-за определенных уязвимостей и рисков безопасности, связанных с использованием этого браузера, его использование будет заблокировано со следующего четверга.
Обнаружен новый эксплойт? Я проверилhttps://www.mozilla.org/en-US/security/advisories/mfsa2020-50/ но не видел ничего открытого.
Кто-нибудь знает причину запрета?
Ответы
Предполагая, что вы работаете в банковской сфере, это, вероятно, связано с их неспособностью перехватывать трафик Firefox.
TL; DR : из-за поддержки Firefox DoH и eSNI большинство банков и регулируемых отраслей прибегают к блокировке Firefox, потому что брандмауэры не могут легко отслеживать зашифрованный трафик.
С другой стороны, если вы используете Chrome, IE или Edge, вы можете передавать изменения через Active Directory без ведома / согласия пользователя. На самом деле большинство производителей аппаратных брандмауэров с DPI начали рекомендовать корпоративным клиентам избавиться от Firefox, потому что их пограничный брандмауэр больше не может перехватывать трафик FF.
Примечание: можно применять политики на предприятии Firefox , но большинство пользователей, заботящихся о конфиденциальности, будут использовать FF Portable, чтобы игнорировать его, поэтому блокировать проще.
- https://live.paloaltonetworks.com/t5/blogs/protecting-organizations-in-a-world-of-doh-and-dot/bc-p/319542
- https://www.venafi.com/blog/fight-over-dns-over-https
- https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk98025
TL; DR - это может быть даже не о безопасности. Это может быть просто из-за предпочтений вашей компании.
Мой друг столкнулся с аналогичной проблемой. Firefox заблокирован на его офисном ноутбуке. На вопрос они просто ответили, что это «из соображений безопасности ». После подачи запроса на тестирование веб-сайтов в Firefox он получил другой ответ. В нем говорилось, что в Google Chrome установлено расширение для отслеживания их веб-активности и определения «рабочего времени / производительности». Расширение было доступно только в Google Chrome, а все остальные браузеры запрещены по « соображениям безопасности» , хотя на самом деле это всего лишь предпочтение команды разработчиков расширения.
Скорее всего, ИТ-специалисты не хотели нести ответственность за централизованные обновления.
Без согласованных обновлений отдельные установки устареют, а обнаруженные уязвимости могут остаться не исправленными. Поэтому они запретили его, а не взяли на себя дополнительную работу по исправлению ошибок.
TL; DR - удаленно возможно, что реализация Javascript в Firefox несовместима с какой-либо другой частью инфраструктуры организации или небезопасна в очень узком смысле.
Реализация Javascript - моя ежедневная головная боль, потому что я поддерживаю фреймворк, который должен работать одинаково независимо от того, как вы к нему обращаетесь. Проблемы возникают нечасто с некоторыми сторонними материалами.
В моей голове Firefox, вероятно, единственный оставшийся крупный браузер, который все еще может использовать события pagehide или unload, чтобы делать что-либо, что фактически отправляет данные обратно, или делать что-то более сложное, чем подтверждение навигации. Chrome и все поддерживаемые мной версии IE или Edge не разрешают публикацию во время этих событий (чтобы JS не захватил вкладку зомби). Когда Firefox встречает это событие, нет никаких проблем с публикацией данных. В моем случае мой код фактически владеет тем, что в этом сообщении, но контент может записывать в основном все, что хочет, в событие pagehide, и с Firefox он, вероятно, пройдет, если это будет достаточно быстро.
Еще одна вещь, о которой я только что подумал, - это создание шаблонов строк в JS. IE никоим образом не поддерживает это, и некоторые из моих клиентов требуют использования браузера в этом отношении. Я не использую шаблоны строк JS, потому что я должен поддерживать IE обратно в IE9, но это является примером того, как запреты браузеров могут не иметь отношения к безопасности. Есть небольшая вероятность того, что входящая часть инфраструктуры может быть просто несовместима в каком-то смысле, о котором они не склонны упоминать.