added Blog entry on securing Firefox
parent
0a9e9d3325
commit
0058dd860b
|
@ -44,3 +44,7 @@ defaultContentLanguage= "de"
|
|||
identifier = "tools"
|
||||
name = "Tools"
|
||||
url = "/tools/"
|
||||
[[languages.de.menu.main]]
|
||||
identifier = "blog"
|
||||
name = "Blog"
|
||||
url = "/blog/"
|
||||
|
|
|
@ -3,13 +3,10 @@ title: "Über mich"
|
|||
draft: false
|
||||
---
|
||||
|
||||
|
||||
Meine Schwerpunkte sind Open Source, Automatisierung, Sicherheit und Datenbanken.
|
||||
## Johannes Bülow
|
||||
Fachinformatiker Systemintegration
|
||||
|
||||
Mit den folgenden Technologien habe ich insbesondere Erfahrungen:
|
||||
- libvirt und Proxmox QEMU/KVM
|
||||
- podman/Docker
|
||||
- VMware vSphere
|
||||
- Debian, Ubuntu, RHEL-Derivate, SuSE Linux
|
||||
- nginx und apache2
|
||||
- Ansible
|
||||
|
||||
|
||||
GPG-Key: [https://www.jmbfountain.de/gpg.asc](https://www.jmbfountain.de/gpg.asc)
|
||||
Email: kontakt @ jmbit.de
|
||||
|
|
|
@ -0,0 +1,92 @@
|
|||
---
|
||||
title: "Firefox absichern"
|
||||
date: 2023-01-28
|
||||
draft: false
|
||||
author: Johannes Bülow
|
||||
---
|
||||
|
||||
Webbrowser-Sicherheit an sich hat sich in den letzten Jahrzehnten seit ihrer Erfindung und Verbreitung massiv
|
||||
verbessert. Einst waren die größten Gefahren, dass eine Website über einen Exploit in der Browser-Engine direkten
|
||||
Zugriff auf das lokale Dateisystem erlangt. Mittlerweile ist diese Gefahr zwar noch vorhanden, aber bei weitem
|
||||
seltener. Die häufigsten Angriffe auf Browser betreffen nicht mehr den Browser an sich, sondern die Inhalte, die darin
|
||||
dargestellt werden. Da mittlerweile ein Großteil unseres Lebens digital ist und sich dieses digitale Leben zumindest am
|
||||
Desktop und Laptop großteils im Webbrowser abspielt, sind diese Inhalte für Angreifer interessanter den je.
|
||||
In diesem Blogbeitrag zeige ich ein paar Mittel, um das alltägliche Browsen im Internet sicherer zu machen.
|
||||
Mein Browser ist zwar auf Englisch eingestellt, ich werde jedoch in diesem Blogbeitrag jeweils die deutschsprachigen
|
||||
Informationen verlinken.
|
||||
|
||||
### Warum Firefox und nicht z.B. Chrome?
|
||||
Viele dieser Einstellungen und Erweiterungen sind zwar auch für Chrome verfügbar, jedoch fehlt die meiner Meinung nach
|
||||
wichtigste Erweiterung, Multi Account Containers, bis jetzt in Chromium-basierten Browsern.
|
||||
|
||||
## Wichtige Erweiterungen
|
||||
### 1. [Multi Account Containers](https://addons.mozilla.org/de-DE/firefox/addon/multi-account-containers/)
|
||||
Meiner Meinung nach die wichtigste Browsererweiterung, und auch der Grund, warum Firefox der hierfür am besten geeignete
|
||||
Browser ist. Hiermit kann man bestimmte Tabs quasi in ihrer eigenen Browsersitzung laufen lassen. Ich habe hier z.B. für
|
||||
alle Websites, die ich regelmäßig besuche und benutze einen eigenen Container, sodass deren Credentials nicht außerhalb
|
||||
des Containers verfügbar sind. Diese Erweiterung erschwert auch das Tracking etwas.
|
||||
### 2. [Facebook Container](https://addons.mozilla.org/de-DE/firefox/addon/facebook-container/)
|
||||
Quasi ein Addon für das Addon "Multi Account Containers", das einen vorgefertigten Container für Facebook-Dienste
|
||||
bereitstellt.
|
||||
### 3. [uBlock Origin](https://addons.mozilla.org/de-DE/firefox/addon/ublock-origin/)
|
||||
uBlock ist vermutlich der effektivste Ad- und Trackerblocker, den es momentan gibt. Der Hauptgrund einen Adblocker zu
|
||||
nutzen, ist aber weniger, um Werbung an sich zu blockieren (Die Werbung auf bekannten Websites ist in der Regel
|
||||
harmlos), sondern um Tracker (Tracking-Pixel u.a.) sowie fragwürdigere Werbung zu blockieren.
|
||||
Das Problem mit aktueller Internet-Werbung ist, dass hier effektiv beliebiges Javascript von Höchstbietenden im Browser
|
||||
ausgeführt wird, mit wenig Überprüfung, ob dieser Code tatsächlich nur das tut, was angegeben wird. Hier sind besonders
|
||||
Cryptominer beliebt, es werde aber auch immer wieder Credential Stealer auf diesem Weg verteilt, insbesondere auf
|
||||
Websites, die keine ausreichend restriktiven Cookie-Einstellungen haben.
|
||||
### 4. [Privacy Badger](https://addons.mozilla.org/de-DE/firefox/addon/privacy-badger17/)
|
||||
Privacy Badger ist ein Tracking-Blocker von der EFF. uBlock Origin deckt diese Funktionalität zwar weitestgehend ab, ich
|
||||
habe jedoch die Erfahrung gemacht, dass Privacy Badger mehr Tracker findet als uBlock.
|
||||
### 5. Passwort-Manager Ihres Vertrauens
|
||||
Dies ist in meinem Fall Bitwarden, wofür ich meinen eingenen Vault hoste, kann aber auch z.B. KeePass sein. Der große
|
||||
Vorteil davon, die Browsererweiterung seines Passwort-Managers zu nutzen anstatt die Zugangsdaten von Hand in das
|
||||
Formular zu kopieren ist, dass das ausfüllen auf Knopfdruck bei "typosquatted"-Domains nicht funktioniert.
|
||||
|
||||
## Wichtige Einstellungen
|
||||
### 1. Cookies und Daten beim Schließen des Browsers löschen
|
||||
[Supportseite](https://support.mozilla.org/de/kb/webseitendaten-einige-websites-mochten-dateien-auf)
|
||||
Cookies und gecachte Daten beim schließen des Browsers zu löschen macht nicht nur Tracking schwieriger, sondern
|
||||
ist auch ein guter Schritt, um Account Highjacking oder ähnliches zu verhindern. Wenn man nicht automatisch eingeloggt
|
||||
wird, kann man seinen Account auch nicht in einem einzelnen Klick kompromittieren.
|
||||
Wenn man sich auf bestimmten Websites z.B. YouTube, Github, Discord, Facebook... ohnehin in jeder Session einloggt, kann
|
||||
man auch für diese Ausnahmen erstellen, insbesondere falls man sie immer in Multi Account Containern verwendet.
|
||||
(hierbei ist es Hilfreich, darauf zu achten, die richtige Domain für Authentication Cookies freizuschalten,
|
||||
z.B. für YouTube/Google accounts.google.com)
|
||||
|
||||
### 2. Datensammlung von Firefox selbst deaktivieren
|
||||
Selbst wenn man Mozilla selbst 100% vertraut, ist es trotzdem sinnvoll, die Datensammlung von Firefox im normalen
|
||||
Betrieb zu deaktivieren. Einerseits verringert es unnötigen Traffic, und andererseits können Daten, die nie gesammelt
|
||||
wurden, auch nicht geleakt werden.
|
||||
|
||||
### 3. Firefox-Internen Autofill (Logins/Kreditkarten) deaktivieren (Falls nicht als PW-Manager verwendet)
|
||||
Ein Passwort-Manager reicht, und es ist nicht sinnvoll, seine Logindaten (auch verschlüsselt) mehr Parteien
|
||||
anzuvertrauen als unbedingt notwendig.
|
||||
Der einzige Haken, der hier gesetzt bleiben kann, ist "Breach Alerts" (Warnungen vor Datenlecks). Diese Funktion kann
|
||||
einen auf geleakte Zugangsdaten hinweisen. Alternativ kann auch die eigene Email-Addresse bei
|
||||
[Have I Been Pwned](https://haveibeenpwned.com/) hinterlegt werden.
|
||||
|
||||
## Optionale Erweiterungen
|
||||
### 1. [EditThisCookie2](https://addons.mozilla.org/de/firefox/addon/etc2/)
|
||||
Mit dieser Erweiterung kann man sich die Cookies einer Website ansehen, diese bearbeiten oder löschen.
|
||||
### 2. [uMatrix](https://addons.mozilla.org/de/firefox/addon/umatrix/)
|
||||
Eine Erweiterte Version von uBlock Origin, die deutlich mächtiger ist, aber auch viele Websites "kaputt" macht. Hiermit
|
||||
können bestimmte Website-Features blockiert oder erlaubt werden.
|
||||
### 3. [User-Agent Switcher](https://addons.mozilla.org/de/firefox/addon/user-agent-string-switcher/)
|
||||
Mit dieser Erweiterung kann man seinen User-Agent auf den für einen anderen Browser und/oder für ein anderes
|
||||
Betriebssystem ändern. Dies kann nützlich sein, um drive-by Downloads zu entschärfen, vor allem aber um Features, die
|
||||
von der Website offiziell nur in bestimmten Browsern/Betriebssystemen aktiviert werden, auch in anderen Browsern und
|
||||
Betriebssystemen zu nutzen. Wenn eine Website nur Chrome auf Windows unterstützt, kann man sie so trotzdem z.B. mit Firefox
|
||||
auf Linux verwenden.
|
||||
|
||||
|
||||
|
||||
-------------------
|
||||
Erklärungen:
|
||||
* "typosquatting" ist das Verfahren, eine Domain zu registrieren, die aussieht wie die Domain des Ziels, in der
|
||||
Hoffnung, dass Opfer über Vertipper ("typo") auf die Angreiferseite gelangen, oder bei einem Link nicht merken,
|
||||
dass er nicht auf die echte Website führt. Beispielsweise "goggle.com" statt "google.com"
|
||||
|
||||
|
||||
<!-- vim: set wrap linebreak tw=120 -->
|
|
@ -2,7 +2,6 @@
|
|||
title: "Impressum"
|
||||
draft: false
|
||||
---
|
||||
Impressum
|
||||
|
||||
Angaben gemäß § 5 TMG
|
||||
|
||||
|
@ -13,7 +12,7 @@ Bamberger Str. 26
|
|||
Kontakt:
|
||||
Telefon: 0176-64370805
|
||||
|
||||
E-Mail: kontakt@jmbit.de
|
||||
E-Mail: kontakt @ jmbit.de
|
||||
|
||||
Verantwortlich für den Inhalt nach § 55 Abs. 2 RStV:
|
||||
Johannes Bülow
|
||||
|
|
Loading…
Reference in New Issue