added Blog entry on securing Firefox

gin
Johannes Bülow 2023-01-28 16:30:17 +01:00
parent 0a9e9d3325
commit 0058dd860b
Signed by untrusted user who does not match committer: jmb
GPG Key ID: B56971CF7B8F83A6
5 changed files with 103 additions and 11 deletions

View File

@ -44,3 +44,7 @@ defaultContentLanguage= "de"
identifier = "tools"
name = "Tools"
url = "/tools/"
[[languages.de.menu.main]]
identifier = "blog"
name = "Blog"
url = "/blog/"

View File

@ -3,13 +3,10 @@ title: "Über mich"
draft: false
---
## Johannes Bülow
Fachinformatiker Systemintegration
Meine Schwerpunkte sind Open Source, Automatisierung, Sicherheit und Datenbanken.
Mit den folgenden Technologien habe ich insbesondere Erfahrungen:
- libvirt und Proxmox QEMU/KVM
- podman/Docker
- VMware vSphere
- Debian, Ubuntu, RHEL-Derivate, SuSE Linux
- nginx und apache2
- Ansible
GPG-Key: [https://www.jmbfountain.de/gpg.asc](https://www.jmbfountain.de/gpg.asc)
Email: kontakt @ jmbit.de

View File

@ -0,0 +1,92 @@
---
title: "Firefox absichern"
date: 2023-01-28
draft: false
author: Johannes Bülow
---
Webbrowser-Sicherheit an sich hat sich in den letzten Jahrzehnten seit ihrer Erfindung und Verbreitung massiv
verbessert. Einst waren die größten Gefahren, dass eine Website über einen Exploit in der Browser-Engine direkten
Zugriff auf das lokale Dateisystem erlangt. Mittlerweile ist diese Gefahr zwar noch vorhanden, aber bei weitem
seltener. Die häufigsten Angriffe auf Browser betreffen nicht mehr den Browser an sich, sondern die Inhalte, die darin
dargestellt werden. Da mittlerweile ein Großteil unseres Lebens digital ist und sich dieses digitale Leben zumindest am
Desktop und Laptop großteils im Webbrowser abspielt, sind diese Inhalte für Angreifer interessanter den je.
In diesem Blogbeitrag zeige ich ein paar Mittel, um das alltägliche Browsen im Internet sicherer zu machen.
Mein Browser ist zwar auf Englisch eingestellt, ich werde jedoch in diesem Blogbeitrag jeweils die deutschsprachigen
Informationen verlinken.
### Warum Firefox und nicht z.B. Chrome?
Viele dieser Einstellungen und Erweiterungen sind zwar auch für Chrome verfügbar, jedoch fehlt die meiner Meinung nach
wichtigste Erweiterung, Multi Account Containers, bis jetzt in Chromium-basierten Browsern.
## Wichtige Erweiterungen
### 1. [Multi Account Containers](https://addons.mozilla.org/de-DE/firefox/addon/multi-account-containers/)
Meiner Meinung nach die wichtigste Browsererweiterung, und auch der Grund, warum Firefox der hierfür am besten geeignete
Browser ist. Hiermit kann man bestimmte Tabs quasi in ihrer eigenen Browsersitzung laufen lassen. Ich habe hier z.B. für
alle Websites, die ich regelmäßig besuche und benutze einen eigenen Container, sodass deren Credentials nicht außerhalb
des Containers verfügbar sind. Diese Erweiterung erschwert auch das Tracking etwas.
### 2. [Facebook Container](https://addons.mozilla.org/de-DE/firefox/addon/facebook-container/)
Quasi ein Addon für das Addon "Multi Account Containers", das einen vorgefertigten Container für Facebook-Dienste
bereitstellt.
### 3. [uBlock Origin](https://addons.mozilla.org/de-DE/firefox/addon/ublock-origin/)
uBlock ist vermutlich der effektivste Ad- und Trackerblocker, den es momentan gibt. Der Hauptgrund einen Adblocker zu
nutzen, ist aber weniger, um Werbung an sich zu blockieren (Die Werbung auf bekannten Websites ist in der Regel
harmlos), sondern um Tracker (Tracking-Pixel u.a.) sowie fragwürdigere Werbung zu blockieren.
Das Problem mit aktueller Internet-Werbung ist, dass hier effektiv beliebiges Javascript von Höchstbietenden im Browser
ausgeführt wird, mit wenig Überprüfung, ob dieser Code tatsächlich nur das tut, was angegeben wird. Hier sind besonders
Cryptominer beliebt, es werde aber auch immer wieder Credential Stealer auf diesem Weg verteilt, insbesondere auf
Websites, die keine ausreichend restriktiven Cookie-Einstellungen haben.
### 4. [Privacy Badger](https://addons.mozilla.org/de-DE/firefox/addon/privacy-badger17/)
Privacy Badger ist ein Tracking-Blocker von der EFF. uBlock Origin deckt diese Funktionalität zwar weitestgehend ab, ich
habe jedoch die Erfahrung gemacht, dass Privacy Badger mehr Tracker findet als uBlock.
### 5. Passwort-Manager Ihres Vertrauens
Dies ist in meinem Fall Bitwarden, wofür ich meinen eingenen Vault hoste, kann aber auch z.B. KeePass sein. Der große
Vorteil davon, die Browsererweiterung seines Passwort-Managers zu nutzen anstatt die Zugangsdaten von Hand in das
Formular zu kopieren ist, dass das ausfüllen auf Knopfdruck bei "typosquatted"-Domains nicht funktioniert.
## Wichtige Einstellungen
### 1. Cookies und Daten beim Schließen des Browsers löschen
[Supportseite](https://support.mozilla.org/de/kb/webseitendaten-einige-websites-mochten-dateien-auf)
Cookies und gecachte Daten beim schließen des Browsers zu löschen macht nicht nur Tracking schwieriger, sondern
ist auch ein guter Schritt, um Account Highjacking oder ähnliches zu verhindern. Wenn man nicht automatisch eingeloggt
wird, kann man seinen Account auch nicht in einem einzelnen Klick kompromittieren.
Wenn man sich auf bestimmten Websites z.B. YouTube, Github, Discord, Facebook... ohnehin in jeder Session einloggt, kann
man auch für diese Ausnahmen erstellen, insbesondere falls man sie immer in Multi Account Containern verwendet.
(hierbei ist es Hilfreich, darauf zu achten, die richtige Domain für Authentication Cookies freizuschalten,
z.B. für YouTube/Google accounts.google.com)
### 2. Datensammlung von Firefox selbst deaktivieren
Selbst wenn man Mozilla selbst 100% vertraut, ist es trotzdem sinnvoll, die Datensammlung von Firefox im normalen
Betrieb zu deaktivieren. Einerseits verringert es unnötigen Traffic, und andererseits können Daten, die nie gesammelt
wurden, auch nicht geleakt werden.
### 3. Firefox-Internen Autofill (Logins/Kreditkarten) deaktivieren (Falls nicht als PW-Manager verwendet)
Ein Passwort-Manager reicht, und es ist nicht sinnvoll, seine Logindaten (auch verschlüsselt) mehr Parteien
anzuvertrauen als unbedingt notwendig.
Der einzige Haken, der hier gesetzt bleiben kann, ist "Breach Alerts" (Warnungen vor Datenlecks). Diese Funktion kann
einen auf geleakte Zugangsdaten hinweisen. Alternativ kann auch die eigene Email-Addresse bei
[Have I Been Pwned](https://haveibeenpwned.com/) hinterlegt werden.
## Optionale Erweiterungen
### 1. [EditThisCookie2](https://addons.mozilla.org/de/firefox/addon/etc2/)
Mit dieser Erweiterung kann man sich die Cookies einer Website ansehen, diese bearbeiten oder löschen.
### 2. [uMatrix](https://addons.mozilla.org/de/firefox/addon/umatrix/)
Eine Erweiterte Version von uBlock Origin, die deutlich mächtiger ist, aber auch viele Websites "kaputt" macht. Hiermit
können bestimmte Website-Features blockiert oder erlaubt werden.
### 3. [User-Agent Switcher](https://addons.mozilla.org/de/firefox/addon/user-agent-string-switcher/)
Mit dieser Erweiterung kann man seinen User-Agent auf den für einen anderen Browser und/oder für ein anderes
Betriebssystem ändern. Dies kann nützlich sein, um drive-by Downloads zu entschärfen, vor allem aber um Features, die
von der Website offiziell nur in bestimmten Browsern/Betriebssystemen aktiviert werden, auch in anderen Browsern und
Betriebssystemen zu nutzen. Wenn eine Website nur Chrome auf Windows unterstützt, kann man sie so trotzdem z.B. mit Firefox
auf Linux verwenden.
-------------------
Erklärungen:
* "typosquatting" ist das Verfahren, eine Domain zu registrieren, die aussieht wie die Domain des Ziels, in der
Hoffnung, dass Opfer über Vertipper ("typo") auf die Angreiferseite gelangen, oder bei einem Link nicht merken,
dass er nicht auf die echte Website führt. Beispielsweise "goggle.com" statt "google.com"
<!-- vim: set wrap linebreak tw=120 -->

View File

@ -2,7 +2,6 @@
title: "Impressum"
draft: false
---
Impressum
Angaben gemäß § 5 TMG