diff --git a/config.toml b/config.toml index b29f463..2db43e4 100644 --- a/config.toml +++ b/config.toml @@ -44,3 +44,7 @@ defaultContentLanguage= "de" identifier = "tools" name = "Tools" url = "/tools/" + [[languages.de.menu.main]] + identifier = "blog" + name = "Blog" + url = "/blog/" diff --git a/content/about.md b/content/about.md index b2d6510..4d7942d 100644 --- a/content/about.md +++ b/content/about.md @@ -3,13 +3,10 @@ title: "Über mich" draft: false --- - -Meine Schwerpunkte sind Open Source, Automatisierung, Sicherheit und Datenbanken. +## Johannes Bülow +Fachinformatiker Systemintegration -Mit den folgenden Technologien habe ich insbesondere Erfahrungen: -- libvirt und Proxmox QEMU/KVM -- podman/Docker -- VMware vSphere -- Debian, Ubuntu, RHEL-Derivate, SuSE Linux -- nginx und apache2 -- Ansible + + +GPG-Key: [https://www.jmbfountain.de/gpg.asc](https://www.jmbfountain.de/gpg.asc) +Email: kontakt @ jmbit.de diff --git a/content/blog/2023-01-27-securing-firefox.md b/content/blog/2023-01-27-securing-firefox.md new file mode 100644 index 0000000..218518a --- /dev/null +++ b/content/blog/2023-01-27-securing-firefox.md @@ -0,0 +1,92 @@ +--- +title: "Firefox absichern" +date: 2023-01-28 +draft: false +author: Johannes Bülow +--- + +Webbrowser-Sicherheit an sich hat sich in den letzten Jahrzehnten seit ihrer Erfindung und Verbreitung massiv +verbessert. Einst waren die größten Gefahren, dass eine Website über einen Exploit in der Browser-Engine direkten +Zugriff auf das lokale Dateisystem erlangt. Mittlerweile ist diese Gefahr zwar noch vorhanden, aber bei weitem +seltener. Die häufigsten Angriffe auf Browser betreffen nicht mehr den Browser an sich, sondern die Inhalte, die darin +dargestellt werden. Da mittlerweile ein Großteil unseres Lebens digital ist und sich dieses digitale Leben zumindest am +Desktop und Laptop großteils im Webbrowser abspielt, sind diese Inhalte für Angreifer interessanter den je. +In diesem Blogbeitrag zeige ich ein paar Mittel, um das alltägliche Browsen im Internet sicherer zu machen. +Mein Browser ist zwar auf Englisch eingestellt, ich werde jedoch in diesem Blogbeitrag jeweils die deutschsprachigen +Informationen verlinken. + +### Warum Firefox und nicht z.B. Chrome? +Viele dieser Einstellungen und Erweiterungen sind zwar auch für Chrome verfügbar, jedoch fehlt die meiner Meinung nach +wichtigste Erweiterung, Multi Account Containers, bis jetzt in Chromium-basierten Browsern. + +## Wichtige Erweiterungen +### 1. [Multi Account Containers](https://addons.mozilla.org/de-DE/firefox/addon/multi-account-containers/) +Meiner Meinung nach die wichtigste Browsererweiterung, und auch der Grund, warum Firefox der hierfür am besten geeignete +Browser ist. Hiermit kann man bestimmte Tabs quasi in ihrer eigenen Browsersitzung laufen lassen. Ich habe hier z.B. für +alle Websites, die ich regelmäßig besuche und benutze einen eigenen Container, sodass deren Credentials nicht außerhalb +des Containers verfügbar sind. Diese Erweiterung erschwert auch das Tracking etwas. +### 2. [Facebook Container](https://addons.mozilla.org/de-DE/firefox/addon/facebook-container/) +Quasi ein Addon für das Addon "Multi Account Containers", das einen vorgefertigten Container für Facebook-Dienste +bereitstellt. +### 3. [uBlock Origin](https://addons.mozilla.org/de-DE/firefox/addon/ublock-origin/) +uBlock ist vermutlich der effektivste Ad- und Trackerblocker, den es momentan gibt. Der Hauptgrund einen Adblocker zu +nutzen, ist aber weniger, um Werbung an sich zu blockieren (Die Werbung auf bekannten Websites ist in der Regel +harmlos), sondern um Tracker (Tracking-Pixel u.a.) sowie fragwürdigere Werbung zu blockieren. +Das Problem mit aktueller Internet-Werbung ist, dass hier effektiv beliebiges Javascript von Höchstbietenden im Browser +ausgeführt wird, mit wenig Überprüfung, ob dieser Code tatsächlich nur das tut, was angegeben wird. Hier sind besonders +Cryptominer beliebt, es werde aber auch immer wieder Credential Stealer auf diesem Weg verteilt, insbesondere auf +Websites, die keine ausreichend restriktiven Cookie-Einstellungen haben. +### 4. [Privacy Badger](https://addons.mozilla.org/de-DE/firefox/addon/privacy-badger17/) +Privacy Badger ist ein Tracking-Blocker von der EFF. uBlock Origin deckt diese Funktionalität zwar weitestgehend ab, ich +habe jedoch die Erfahrung gemacht, dass Privacy Badger mehr Tracker findet als uBlock. +### 5. Passwort-Manager Ihres Vertrauens +Dies ist in meinem Fall Bitwarden, wofür ich meinen eingenen Vault hoste, kann aber auch z.B. KeePass sein. Der große +Vorteil davon, die Browsererweiterung seines Passwort-Managers zu nutzen anstatt die Zugangsdaten von Hand in das +Formular zu kopieren ist, dass das ausfüllen auf Knopfdruck bei "typosquatted"-Domains nicht funktioniert. + +## Wichtige Einstellungen +### 1. Cookies und Daten beim Schließen des Browsers löschen +[Supportseite](https://support.mozilla.org/de/kb/webseitendaten-einige-websites-mochten-dateien-auf) +Cookies und gecachte Daten beim schließen des Browsers zu löschen macht nicht nur Tracking schwieriger, sondern +ist auch ein guter Schritt, um Account Highjacking oder ähnliches zu verhindern. Wenn man nicht automatisch eingeloggt +wird, kann man seinen Account auch nicht in einem einzelnen Klick kompromittieren. +Wenn man sich auf bestimmten Websites z.B. YouTube, Github, Discord, Facebook... ohnehin in jeder Session einloggt, kann +man auch für diese Ausnahmen erstellen, insbesondere falls man sie immer in Multi Account Containern verwendet. +(hierbei ist es Hilfreich, darauf zu achten, die richtige Domain für Authentication Cookies freizuschalten, +z.B. für YouTube/Google accounts.google.com) + +### 2. Datensammlung von Firefox selbst deaktivieren +Selbst wenn man Mozilla selbst 100% vertraut, ist es trotzdem sinnvoll, die Datensammlung von Firefox im normalen +Betrieb zu deaktivieren. Einerseits verringert es unnötigen Traffic, und andererseits können Daten, die nie gesammelt +wurden, auch nicht geleakt werden. + +### 3. Firefox-Internen Autofill (Logins/Kreditkarten) deaktivieren (Falls nicht als PW-Manager verwendet) +Ein Passwort-Manager reicht, und es ist nicht sinnvoll, seine Logindaten (auch verschlüsselt) mehr Parteien +anzuvertrauen als unbedingt notwendig. +Der einzige Haken, der hier gesetzt bleiben kann, ist "Breach Alerts" (Warnungen vor Datenlecks). Diese Funktion kann +einen auf geleakte Zugangsdaten hinweisen. Alternativ kann auch die eigene Email-Addresse bei +[Have I Been Pwned](https://haveibeenpwned.com/) hinterlegt werden. + +## Optionale Erweiterungen +### 1. [EditThisCookie2](https://addons.mozilla.org/de/firefox/addon/etc2/) +Mit dieser Erweiterung kann man sich die Cookies einer Website ansehen, diese bearbeiten oder löschen. +### 2. [uMatrix](https://addons.mozilla.org/de/firefox/addon/umatrix/) +Eine Erweiterte Version von uBlock Origin, die deutlich mächtiger ist, aber auch viele Websites "kaputt" macht. Hiermit +können bestimmte Website-Features blockiert oder erlaubt werden. +### 3. [User-Agent Switcher](https://addons.mozilla.org/de/firefox/addon/user-agent-string-switcher/) +Mit dieser Erweiterung kann man seinen User-Agent auf den für einen anderen Browser und/oder für ein anderes +Betriebssystem ändern. Dies kann nützlich sein, um drive-by Downloads zu entschärfen, vor allem aber um Features, die +von der Website offiziell nur in bestimmten Browsern/Betriebssystemen aktiviert werden, auch in anderen Browsern und +Betriebssystemen zu nutzen. Wenn eine Website nur Chrome auf Windows unterstützt, kann man sie so trotzdem z.B. mit Firefox +auf Linux verwenden. + + + +------------------- +Erklärungen: +* "typosquatting" ist das Verfahren, eine Domain zu registrieren, die aussieht wie die Domain des Ziels, in der + Hoffnung, dass Opfer über Vertipper ("typo") auf die Angreiferseite gelangen, oder bei einem Link nicht merken, + dass er nicht auf die echte Website führt. Beispielsweise "goggle.com" statt "google.com" + + + diff --git a/content/impressum.md b/content/impressum.md index e5a97db..9b72e10 100644 --- a/content/impressum.md +++ b/content/impressum.md @@ -2,7 +2,6 @@ title: "Impressum" draft: false --- -Impressum Angaben gemäß § 5 TMG @@ -13,7 +12,7 @@ Bamberger Str. 26 Kontakt: Telefon: 0176-64370805 -E-Mail: kontakt@jmbit.de +E-Mail: kontakt @ jmbit.de Verantwortlich für den Inhalt nach § 55 Abs. 2 RStV: Johannes Bülow diff --git a/JohannesBülow_public.asc b/static/gpg.asc similarity index 100% rename from JohannesBülow_public.asc rename to static/gpg.asc