Разработка руководства по безопасности и приватности (предложения)

Rosenfeld · №126

А-а-а-у, negodnik! Ну где же Вы?

Shit happens! ... Оно все-таки случилось! Мне, увы, пришлось, поставить себе свеженькую и девственно чистую ОС, ну а с нею пришел и ФФ 47+. Провозился практически сутки с настройками (можете считать, что написал прямо здесь пару страничек с обсценной лексикой).

Пока что привожу голые результаты исследований - параметры-кандидаты на включение в руководство (их так много, что тянут на новую версию, v. 0.3). А комментировать буду позже, в следующем сообщении, ибо вчера-сегодня чертовски устал.

Итак, https://en.wikipedia.org/wiki/Shit_happens:

1. DOM

dom.push.connection.enabled;false
dom.push.enabled;false
dom.push.adaptive.enabled;false
dom.push.udp.wakeupEnabled;false
dom.push.serverURL;

dom.caches.enabled;false
dom.fileHandle.enabled;false
dom.indexedDB.experimental;false
dom.indexedDB.logging.details;false
dom.indexedDB.logging.enabled;false
dom.mms.requestReadReport;false
dom.mms.requestStatusReport;false
dom.presentation.enabled;false
dom.forms.autocomplete.experimental;false
dom.image.picture.enabled;false
dom.imagecapture.enabled;false

УСТАРЕЛИ:

dom.fetch.enabled=false
dom.identity.enabled=false

2. COOKIES

network.cookie.thirdparty.sessionOnly;false

3. MULTIMEDIA

media.mediasource.enabled;false
media.mediasource.mp4.enabled;false
media.mediasource.webm.audio.enabled;false
media.mediasource.webm.enabled;false

media.mp4.enabled;false
media.ffmpeg.enabled;false
media.ffvpx.enabled;false

media.gmp.decoder.enabled;false
media.encoder.webm.enabled;false

УСТАРЕЛИ:

media.fragmented-mp4.gmp.enabled=false
media.fragmented-mp4.enabled=false
media.gmp-manager.log=false

4. REFERERS

network.http.sendSecureXSiteReferrer=false ~~(настройка может отсутствовать или использоваться в Android)~~ - ПОЯВИЛАСЬ!

5. NETWORK: PIPELINING, DNS, PREFETCH, PING, SSl

security.ssl.errorReporting.url;

УСТАРЕЛА:

network.http.keep-alive=true

6. CLEAN

privacy.clearOnShutdown.openWindows;true

7. PLUGINS (FLASH, JAVA) и т.п.

УСТАРЕЛИ:

pfs.datasource.url=
plugins.hideMissingPluginsNotification=true

8. SESSIONS, HISTORY

browser.sessionstore.restore_on_demand;false
browser.sessionstore.restore_pinned_tabs_on_demand;false
browser.sessionstore.restore_hidden_tabs;false

УСТАРЕЛИ:

browser.sessionstore.enabled=false - ВНИМАНИЕ! ВОЗМОЖНО ХРАНЕНИЕ СЕССИИ НЕ ОТКЛЮЧАЕТСЯ ВООБЩЕ!

browser.sessionstore.privacy_level_deferred=2

9. CACHE

УСТАРЕЛА:

browser.cache.memory.capacity=0

ВМЕСТО НЕЕ:

browser.cache.memory.max_entry_size;

10 .GEO-IP, SEARCH: GEO-IP

browser.search.geoSpecificDefaults.url;
browser.search.geoip.url;
browser.search.geoip.url=false ~~(настройка может отсутствовать или устареть)~~ - ПОЯВИЛАСЬ!

11. UPDATES: BROWSER, PERSONAS, SEARCH PLUGINS, PLUGINS

app.update.autoInstallEnabled;false
extensions.update.background.url;
extensions.getAddons.search.browseURL;
extensions.getAddons.get.url;
extensions.getAddons.link.url;
extensions.systemAddon.update.url;
extensions.webservice.discoverURL;
extensions.logging.enabled;false

12. DNT, TRACKING PROTECTION

privacy.trackingprotection.introURL;
privacy.trackingprotection.ui.enabled;false

УСТАРЕЛА:

privacy.donottrackheader.value=1 (перестал присутствовать переключатель "политики"!)

ВНИМАНИЕ: ССЫЛКИ НА ИСТОЧНИКИ (судя по всему) убраны из about:config куда-то "глубже"!

browser.trackingprotection.gethashURL=
browser.trackingprotection.updateURL=

13. POCKET

extensions.pocket.enabled;false
extensions.pocket.api;
extensions.pocket.site;

УСТАРЕЛА:

browser.pocket.enabled=false

14. GOOGLE

ГЛОБАЛЬНЫЕ ИЗМЕНЕНИЯ НАСТРОЕК И ССЫЛОК:

browser.safebrowsing.blockedURIs.enabled;false
browser.safebrowsing.downloads.remote.block_dangerous;false
browser.safebrowsing.downloads.remote.block_dangerous_host;false
browser.safebrowsing.downloads.remote.block_potentially_unwanted;false
browser.safebrowsing.downloads.remote.block_uncommon;false
browser.safebrowsing.downloads.remote.enabled;false
browser.safebrowsing.forbiddenURIs.enabled;false

browser.safebrowsing.downloads.remote.url;
browser.safebrowsing.provider.google.gethashURL;
browser.safebrowsing.provider.google.lists;
browser.safebrowsing.provider.google.reportURL;
browser.safebrowsing.provider.google.updateURL;
browser.safebrowsing.provider.mozilla.gethashURL;
browser.safebrowsing.provider.mozilla.lists;
browser.safebrowsing.provider.mozilla.updateURL;
browser.safebrowsing.reportMalwareMistakeURL;
browser.safebrowsing.reportPhishMistakeURL;
browser.safebrowsing.reportPhishURL;

15. SYNC

services.sync.log.appender.file.logOnError;false
services.sync.log.appender.file.logOnSuccess;false

УСТАРЕЛИ:

services.sync.tokenServerURI=obsolete
services.push.serverURL=obsolete

identity.fxaccounts.profile_image.enabled;false
identity.fxaccounts.remote.profile.uri;
identity.fxaccounts.remote.webchannel.uri;
identity.sync.tokenserver.uri;

media.peerconnection.identity.enabled;false
toolkit.identity.enabled;false

Рекламные ссылки для Android & iOS:

identity.mobilepromo.android;
identity.mobilepromo.ios;

16. MARKETPLACE

offline-apps.allow_by_default;false

УСТАРЕЛА:

browser.apps.URL

17. HELLO

loop.throttled2 obsolete
loop.feedback.formURL;
loop.feedback.manualFormURL;
loop.remote.autostart;false
loop.facebook.enabled;false
loop.facebook.appId;
loop.copy.throttler;
loop.facebook.fallbackUrl;
loop.facebook.shareUrl;
loop.linkClicker.url;

УСТАРЕЛИ:

loop.learnMoreUrl
loop.oauth.google.scope
loop.soft_start_hostname

18. SPDY

network.http.spdy.enabled.deps;false

УСТАРЕЛИ:

network.http.spdy.enabled.http2draft
network.http.spdy.enabled.v3=

19. TELEMETRY

toolkit.telemetry.reportingpolicy.firstRun;false

toolkit.telemetry.archive.enabled;false - ВНИМАНИЕ! ЭТА ОПЦИЯ ОТВЕЧАЕТ ЗА АРХИВИРОВАНИЕ ОТЧЕТОВ!

toolkit.telemetry.cachedClientID; - УДАЛЕНИЕ ИДЕНТИФИКАТОРА ПРИВОДИТ К АВТОГЕНЕРАЦИИ НОВОГО!
toolkit.telemetry.previousBuildID; - УДАЛЕНИЕ ИДЕНТИФИКАТОРА ПРИВОДИТ К АВТОГЕНЕРАЦИИ АНАЛОГИЧНОГО!

ВНИМАНИЕ! ОЧЕНЬ ВАЖНО. ДЛЯ ЗАПРЕТА ОТСЫЛКИ ТЕЛЕМЕТРИИ НЕОБХОДИМО ОТКЛЮЧИТЬ ОБЕ(!) ОПЦИИ:

toolkit.telemetry.unified;false

This controls whether unified behavior is enabled. If true:

Telemetry is always enabled and recording base data.
Telemetry will send additional main pings.

toolkit.telemetry.enabled;false

If unified is off, this controls whether the Telemetry module is enabled. If unified is on, this controls whether to record extended data. This preference is controlled through the Preferences dialog.

http://gecko.readthedocs.io/en/latest/t … index.html

20. HEARTBEAT

browser.selfsupport.url= ~~(возможно, настройка может существует только в версии для Android)~~ - ПОЯВИЛАСЬ!

21. CAST/CAPTURE/SCREENSHARING

media.getusermedia.agc_enabled;false
media.getusermedia.aec_enabled;false
media.getusermedia.noise_enabled;false
media.getusermedia.screensharing.allow_on_old_platforms;false
media.getusermedia.audiocapture.enabled;false

browser.casting.enabled=false ~~(настройка может присутствовать только в Android)~~ - ПОЯВИЛАСЬ!

(Была в руководстве ранее; приводится в качестве примера):

media.getusermedia.screensharing.allowed_domains; (См. ниже список разрешенных(!) сайтов):

скрытый текст

media.getusermedia.screensharing.allowed_domains;webex.com,*.webex.com,ciscospark.com,*.ciscospark.com,projectsquared.com,*.projectsquared.com,*.room.co,room.co,beta.talky.io,talky.io,*.clearslide.com,appear.in,*.appear.in,tokbox.com,*.tokbox.com,*.sso.francetelecom.fr,*.si.francetelecom.fr,*.sso.infra.ftgroup,*.multimedia-conference.orange-business.com,*.espacecollaboration.orange-business.com,free.gotomeeting.com,g2m.me,*.g2m.me,example.com,*.mypurecloud.com,*.mypurecloud.com.au,spreed.me,*.spreed.me,*.spreed.com,air.mozilla.org,*.circuit.com,*.yourcircuit.com,circuit.siemens.com,yourcircuit.siemens.com,circuitsandbox.net,*.unify.com,tandi.circuitsandbox.net,*.ericsson.net,*.cct.ericsson.net,*.opentok.com,*.conf.meetecho.com,meet.jit.si,*.meet.jit.si,web.stage.speakeasyapp.net,web.speakeasyapp.net,*.hipchat.me,*.beta-wspbx.com,*.wspbx.com,*.unifiedcloudit.com,*.smartboxuc.com,*.smartbox-uc.com,*.panterranetworks.com,pexipdemo.com,*.pexipdemo.com,pex.me,*.pex.me,*.rd.pexip.com,1click.io,*.1click.io,*.fuze.com,*.fuzemeeting.com,*.thinkingphones.com,gotomeeting.com,*.gotomeeting.com,gotowebinar.com,*.gotowebinar.com,gototraining.com,*.gototraining.com,citrix.com,*.citrix.com,expertcity.com,*.expertcity.com,citrixonline.com,*.citrixonline.com,g2m.me,*.g2m.me,gotomeet.me,*.gotomeet.me,gotomeet.at,*.gotomeet.at

22. DRM / EME

browser.eme.ui.enabled;false
media.eme.apiVisible;false

23. WORKERS

devtools.serviceWorkers.testing.enabled;false
dom.webnotifications.serviceworker.enabled;false
dom.serviceWorkers.openWindow.enabled;false

УСТАРЕЛА:

dom.workers.websocket.enabled=false

24. INTERFACE

УСТАРЕЛА:

browser.fullscreen.animateUp=0

ИЗМЕНЕНА НА:

browser.fullscreen.animate;false

25. FONTS

gfx.missing_fonts.notify;false

- НОВЫЙ РАЗДЕЛ:

26. HANDLERS

(убраны ссылки на Yahoo, Mibbit, Gmail, 30Boxes)

browser.contentHandlers.types.0.uri;
browser.contentHandlers.types.0.title;
gecko.handlerService.schemes.mailto.0.uriTemplate;
gecko.handlerService.schemes.mailto.0.name;

gecko.handlerService.schemes.irc.0.name;
gecko.handlerService.schemes.ircs.0.name;
gecko.handlerService.schemes.ircs.0.uriTemplate;
gecko.handlerService.schemes.irc.0.uriTemplate;

gecko.handlerService.schemes.mailto.1.name;
gecko.handlerService.schemes.mailto.1.uriTemplate;

gecko.handlerService.schemes.webcal.0.name;
gecko.handlerService.schemes.webcal.0.uriTemplate;

***

1) НЕОПОЗНАННАЯ НАСТРОЙКА:

apz.test.logging_enabled;false - ЗАПИСЬ ЛОГА!

2) ВНИМАНИЕ: ОЧЕНЬ подозрительная строка. Если кто подскажет значение - буду признателен:

intl.ime.hack.on_ime_unaware_apps.fire_key_events_for_composition;false

3) СССЫЛКИ, на которые стоило бы обратить внимание:

services.kinto.base;https://firefox.settings.services.mozilla.com/v1
devtools.devices.url;https://code.cdn.mozilla.net/devices/devices.json

Отредактировано Rosenfeld (02-07-2016 22:35:54)

turbot · №127

Rosenfeld пишет

2) ВНИМАНИЕ: ОЧЕНЬ подозрительная строка. Если кто подскажет значение - буду признателен:

https://bugzilla.mozilla.org/show_bug.cgi?id=1112212
Коротко - только для андроида и только для пользователей IME клавиатур (иероглифического письма).

Вообще, у вас много мусорных и дублирующих настроек. Скажем, если workers вовсе отключены (dom.workers.enabled;false)- то нет нужды еще и другие, параметры переключать, вроде dom.serviceWorkers.enabled. Или если dom.serviceWorkers.enabled;false, то dom.webnotifications.serviceworker.enabled - лишнее.

nexterr · №128

Rosenfeld
зачем даете вредные советы, сделал ваши настройки для DOM - некоторые сайты стали криво работать
и кому это надо?

Rosenfeld · №129

Коротко - только для андроида и только для пользователей IME клавиатур (иероглифического письма).

Спасибо, Вы меня просветили. Раз к клавиатурному вводу иврита эта настройка не относится, можно жить спокойно и дальше...

Вообще, у вас много мусорных и дублирующих настроек.

Нет. И в качестве доказательства я приведу Вам один очень показательный и свежий пример. Как раз таки вчера-позавчера столкнулся с очень нехорошей утечкой телеметрии на серверы МоФо. (Я, кстати, как и обещал ранее, еще вернусь к подробному "разбору полетов" с ФФ 47, но только чуть позже) Стал проверять: вроде бы все нормально, стоит значение "false". А телеметрия накапливается и уходит, накапливается и уходит; причем конкретная и деанонимизирующая: тип процессора, частота, предпочитаемая поисковая система, системная локаль и т.п. Ну и вот: казалось бы (по предлагаемому Вами способу) достаточно было заблокировать основной "верхний" параметр и на этом успокоиться:

toolkit.telemetry.enabled;false

Но когда стал проверять и разбираться, выяснилось, что разработчиками введен новый параметр (и даже два). И работают они исключительно "в унисон". Плюс - создают два новых подкаталога в профиле:

toolkit.telemetry.unified;false
toolkit.telemetry.archive.enabled

А кто бы предполагал такой поворот событий, правда?

... Ну ладно, Вы б эти параметры, как я полагаю, заблокировали бы и на этом успокоились. Ан нет, есть еще куча других - и каждый с упоением участвует в практически непрерывной отсылке информации в МоФо, например:

datareporting.healthreport.service.firstRun=false
datareporting.healthreport.service.enabled=false
datareporting.healthreport.uploadEnabled=false
datareporting.policy.dataSubmissionEnabled=false
datareporting.healthreport.logging.dumpEnabled=false
datareporting.healthreport.infoURL=
datareporting.healthreport.documentServerURI=
datareporting.healthreport.about.reportUrl=

Не было (до недавнего времени), например, в "стационарном" ФФ настройки:

browser.selfsupport.url=

(хотя она у меня присутствовала в руководстве), а теперь - замечательным образом появилась. А ведь она обслуживает т.н. "Heartbeat" - еще один неплохой телеметрический источник утечек.

... Ну и так далее (лень перечислять). Одним словом, вот что я Вам хочу сказать: многочисленные и подробные описания (и запреты!) самых разных настроек нисколько не выбиваются из общей идеи руководства:

"ЗАПРЕЩЕНО ВСЁ, ЧТО ЯВНО НЕ РАЗРЕШЕНО ПОЛЬЗОВАТЕЛЕМ!"

Поэтому, прошу Вас, просто отнеситесь к данному руководству как к сборнику медицинских рецептов на все случаи жизни. Так будет проще. Безопасность (как правильно утверждают специалисты в ее области) - это не цель, а процесс. Причем процесс - постоянный. И нельзя останавливаться на достигнутом, закрыв пару дырок в настройках и благодатно сложив ручки на животе.

... Я доступно выражаю свои мысли?

***

Зачем даете вредные советы (...) некоторые сайты стали криво работать

Не верю. Вам - точно не верю. И могу доказать. Потому что совсем недавно Вы отзывались о предлагаемом руководстве так (цитирую):

Это разрабатывание Руководства по безопасности всего лишь толчение воды в ступе (носить воду решетом, в лес дрова возить, Сизифов труд)
(...)
Думаю, что это борьба с ветряными мельницами.
https://forum.mozilla-russia.org/viewto … 24#p717724

Поэтому очень трудно предположить, что, высказав подобное отношение к проекту, Вы тут же тайком кинулись переносить к себе его настройки, плюс, тестировать их в интернете. К тому же, фраза "некоторые сайты стали криво работать" звучит настолько бездоказательно, что мне кажется, что она приведена здесь "от балды". Типа "ниасилил".

Идем далее. Мое сообщение было опубликовано вчера во 22.34; Ваше - в 23.31. Мне очень трудно поверить, что меньше чем за час Вы умудрились внести ВСЕ предлагаемые новые изменения, касающиеся DOM, в about:config, да еще и тщательно протестировать их "на некоторых сайтах".

Ну и еще: в Примечании 6 на https://github.com/RamiRosenfeld/Rosenfox честным образом указано предупреждение. Вы читали его? ... Руководство расчитано на повышение пользовательской безопасности, поэтому предполагает некоторые ограничения функционала. Ну а если у Вас не получается "в танчики погонять" или "Веселую ферму" запустить - то это вопросы не ко мне.

... сделал ваши настройки для DOM

У меня к Вам тогда три вопроса:

1. А кто Вас заставлял вносить данные параметры?
2. А была ли в этом острая необходимость?
3. А хорошо ли Вы разобрались в значениях данных параметров?

... потому что я уже писал раз двадцать (и в той теме, в которой вы участвовали и не могли это не прочитать):

1) сначала изучите;
2) потом хорошенько подумайте - нужна ли мне эта конкретная строка;
3) а уж затем что-то вносите/меняйте; причем делайте это пошагово и "ручками";
4) а не получилось - вернитесь на шаг назад и перепроверьте, а не кричите на весь мир "ой, это отстой!"
Я уже приводил свою мотивацию. У меня нет идеи воспитывать и взращивать ментальных иждивенцев, которые охотно глотают все готовое, причем не жуя. И потом зарабатывают ~~крах браузера~~ заворот кишок... Мой проект имеет целью повышения уровня пользователей (т.е. просветительские и информационные функции), а не подсовывание им "волшебной пилюли", которую они бы бездумно "хавали" и просили "ещё!" Я не собираюсь решать за офисных хомячков их проблемы, а всего лишь описываю "виды ложек и вилок", с помощью которых они могли бы нормально питаться САМОСТОЯТЕЛЬНО.

Читали? Вспомнили?

и кому это надо?

Вам - точно "не надо". Вы ж уже высказали свое отношение к проекту; и зачем тогда вдруг полезли заниматься тем, что Вам априорно не нравится и вызывает отторжение? ... Странные люди, очень странные.

Отредактировано Rosenfeld (03-07-2016 10:06:47)

nexterr · №130

Rosenfeld
вы точно больны, столько пустых слов...
оставайтесь на вашем github.com и не пишите здесь.
Т.к. все что вы делаете можно расценивать как банальное вредительство.
Ваш проект имеет имеет только одну цель нанести вред пользователям...

Rosenfeld · №131

скрытый текст

вы точно больны, столько пустых слов...
оставайтесь на вашем github.com и не пишите здесь.
Т.к. все что вы делаете можно расценивать как банальное вредительство.
Ваш проект имеет имеет только одну цель нанести вред пользователям...

... Наконец-то прорвалось. Упоительный процесс всенародного "поиска вредителей" добрался и до форума.

Не комментирую.

nexterr · №132

не коментируете, только потому, что у вас нет аргументов.
Всё у вас пустое, т.е. ниочем.
А оскорблять и унижать тех кто критикует, ваш бред (наиболее точное определение вашей деятельности), вы мастер.

turbot · №133

Rosenfeld

А кто бы предполагал такой поворот событий, правда?

Представьте себе, я. Еще полгода назад. Потому что чейнджлоги читаю и регулярно, даже на ночнушке, сравниваю pref.js старой и новой версии, на предмет добавленных/удаленных строк.
Да, конечно не каждый может себе позволить тратить время на такую хрень, и для них вы этот список и составляете ведь, верно? А потому должны бы сами тратить время на подобное, раз взялись за это.

И, да, один (или даже десяток) пример, когда это нужно, не отменяет бесполезности подобной излишности в других случаях.

Я не нападаю, ни в коем разе, просто считаю, что раз взялись - то могли бы повнимательнее и поответственнее к делу подходить.

_{И вообще, я удивляюсь, почему вы не собираете себе просто фф без всей этой "полезной" нагрузки сразу. Вам-то, линуксоидам, это всяко проще. Это мне, виндузятнику, и неосилевшему VS, чтоб самому скомпилировать, приходится увешиваться фаерволами, hosts'ами, групповыми политиками и прочей хренью, чтоб хоть какую-то иллюзию подконтрольности собственной системы и софта иметь.}

Rosenfeld · №134

Да, конечно не каждый может себе позволить тратить время на такую хрень, и для них вы этот список и составляете ведь, верно? А потому должны бы сами тратить время на подобное, раз взялись за это.
Я не нападаю, ни в коем разе, просто считаю, что раз взялись - то могли бы повнимательнее и поответственнее к делу подходить.

Согласен. Критика принимается. К тому же, я отнюдь и не считаю, что Вы как-то "нападаете". Обычный обмен мнениями. Так что все в порядке.

И, да, один (или даже десяток) пример, когда это нужно, не отменяет бесполезности подобной излишности в других случаях.

Помните анекдот? Мужик собирался на свидание и взял с собою пачку презервативов - "на всякий случай". А потом подумал: "а случаи-то бывают разные!" ... и положил в карман еще и тюбик с вазелином. ... Вот так и с моим руководством.

И вообще, я удивляюсь, почему вы не собираете себе просто фф без всей этой "полезной" нагрузки сразу.

Не вижу смысла; причем сразу по нескольким причинам.

Первая. Если соберу "для себя", то, соответственно, не смогу отследить и описать всю ту гадость, которая представляет опасность для пользователей Windows.

Вторая. Я ленив. Действительно ленив (наш negodnik абсолютно правильно этот факт отметил).

Третья. ФФ не является моим основным браузером. Я доверяю только elinks. Чего и искренне желаю всем присутствующим.

Отредактировано Rosenfeld (03-07-2016 12:07:53)

nexterr · №135

turbot пишет

я удивляюсь, почему вы не собираете себе просто фф без всей этой "полезной" нагрузки сразу

а я нет,
видно же Rosenfeld полный профан, он не видел кода FF (и если видел, то не понимает)
Расуждает о его настройках и предлагает их поменять (но пользователь сначала должен подумать.)

Rosenfeld пишет

Если кто подскажет значение - буду признателен:

одна эта фраза заставляет задуматся о компетентности автора.
Пока есть лохи, они будут вестись на подобных бездарей.

Rosenfeld · №136

Потому что чейнджлоги читаю и регулярно, даже на ночнушке, сравниваю pref.js старой и новой версии, на предмет добавленных/удаленных строк.

Кстати, turbot, изучать "найтли" это хорошо; но я бы поостерегся бежать впереди паровоза и сразу же переносить из их конфига новые строки напрямую в руководство. Это ж сырые версии, и мало ли чего там может измениться, когда они будут доведены до замороженного релиза... Лучше уж я буду отслеживать нововведения по факту их выпуска в свет; так надежнее.

Но вот для повышения собственной осведомленности знакомиться с нововведениями в "найтли" однозначно полезно. Не спорю.

turbot · №137

Rosenfeld
Зато, на ночнушках, все новые "радости" не сваливаются мне все скопом, раз в несколько месяцев (или полгода, как esr'шикам-беднягам), как снег на голову и не приходится

Провозился практически сутки с настройками (можете считать, что написал прямо здесь пару страничек с обсценной лексикой).

negodnik · №138

> А-а-а-у, negodnik! Ну где же Вы?

скрытый текст

Здесь, вестимо. Где же мне ещё ~~подкормиться~~ поговорить с умным человеком?

> … их так много, что тянут на новую версию, v. 0.3
Сразу меняйте Aviv на בשלהי הסתיו (с учётом сроков обновления).

> … ну а с нею пришел и ФФ 47+.
Значит ли это, что Вы будете обновлять руководство одновременно с выходом каждой следующей?
Потому что сейчас это руководство для несуществующей_в_природе_версии.
И Вы сами знаете, почему.

turbot пишет

Да, конечно не каждый может себе позволить тратить время на такую хрень, и для них вы этот список и составляете ведь, верно? А потому должны бы сами тратить время на подобное, раз взялись за это.
…
Я не нападаю, ни в коем разе, просто считаю, что раз взялись - то могли бы повнимательнее и поответственнее к делу подходить.

Вот именно эту мысль я и пытался до Вас донести, но у меня плохо получалось.
Будьте же составителем, а не компилятором, не доверяйте никому.
Вам два человека сказали, с какой именно версии работает privacy.resistFingerprinting, а Вы пишете «нуждается
в дополнительной проверке». И это правильно. Проверяйте всё самостоятельно.
Некоторые пункты, отмеченые как «только для андроида», на самом деле есть и в десктопной версии.
Надеюсь, что теперь Вам ничего (кроме лени) не помешает разобраться со всем этим.
Я ещё месяца два (если не три) тому назад говорил Вам, что одна из настроек повторяется два раза подряд — думаю,
что приходит время начать постепенно убирать эту лишнюю строку.

> ... Я доступно выражаю свои мысли?
Поскольку мы не имеем счастья принадлежать к Избранному народу, то, конечно,
всей глубины нам не постичь, но мы стараемся.

Кстати, в том что Вы вводите людей в заблуждение, небольшая доля правды есть. Это я по поводу юзерагента.
Вы же сами задавались вопросом уникальности своих настроек.
А столь «любимый» Вами panopticlick, да и ip-check расценивают отсутствующий юзерагент как уникальную настройку.
В частности, поэтому напротив фингерпринтинга никак не может быть зелёной галочки, вопреки Вашим заверениям.
Надёжно спрятать версию Лисы всё-равно не получится, а, тем более, выдать линукс за винду.
При этом весьма сомнительно, что пустая строка UA спасёт от каких-то зловредов.

nexterr
> … все что вы делаете можно расценивать как банальное вредительство.
Rosenfeld’а отзывали на две недели в Центр на переподготовку.
Надеемся, что теперь вредительство будет более изощрённым.

negodnik · №139

nexterr
Справедливости ради надо заметить, что составитель руководства предупреждал: некоторые вещи, типа авторизации
перестанут работать. Но, всё-таки следует более подробно писать, что именно данная конкретная настройка ломает.

turbot · №140

negodnik пишет

https://forum.mozilla-russia.org/viewto … 39#p544339

Infocatcher пишет

new Date().toLocaleString(); // 4 Февраль 2012 г. 00:00:00

Кстати, это тоже пофиксить можно скрытой настройкой javascript.use_us_english_locale (логическое) 867501 – Date.toLocaleFormat exposes OS locale

negodnik пишет

выдать линукс за винду

Можно. Как и обратное. Если повозиться с настройкой сетевого стека. По крайней мере, https://www.browserleaks.com/whois - успешно обманывался. Где-то я посеял закладку по которой настраивал, поэтому могу только в гугл послать.

Rosenfeld · №141

Значит ли это, что Вы будете обновлять руководство одновременно с выходом каждой следующей?

Нет. (с) "Ни-за-фто"! ... У меня вообще имеются большие сомнения - правильно ли я делаю, разрабатывая это руководство и тем самым невольно рекламируя ФФ (в его теперешнем плачевном состоянии). Но это долгий разговор, отпишусь, как и обещано, чуть позже.

Я ещё месяца два (если не три) тому назад говорил Вам, что одна из настроек повторяется два раза подряд — думаю, что приходит время начать постепенно убирать эту лишнюю строку.

Хм-м... А я Вам уже на эту тему отвечал... Старый больной еврей, бывает, не может по утрам вспомнить, ~~как его зовут,~~ с каким ключом запускать elinks, а Вы от него требуете держать в голове какую-то дублирующуюся настройку. Что это, как не издевательство?

... Вот эта?

privacy.clearOnShutdown.sessions=true

***

А столь «любимый» Вами panopticlick, да и ip-check расценивают отсутствующий юзерагент как уникальную настройку.

Я это знаю. Но ни чем помочь им не могу. Увы

Надёжно спрятать версию Лисы всё-равно не получится, а, тем более, выдать линукс за винду.
При этом весьма сомнительно, что пустая строка UA спасёт от каких-то зловредов.

По первому утверждению повторюсь еще раз: мой вектор - в сторону безопасности, а не полной анонимизации. Уже отмечал это неоднократно.

А по второму Вашему утверждению отвечу: "не уверен". Причем ОЧЕНЬ сильно не уверен. Разная зловредная живность эксплуатирует разные уязвимости в разных браузерах. И эти дыры бывают весьма специфичны (для отдельных программ). И я все-таки считаю, что не давать ей ни малейшего намека на UA - вполне разумно.

UPD: А насчет javascript.use_us_english_locale=true я подумаю. На Guardian Project об этой настройке тоже упоминают: https://github.com/guardianproject

Отредактировано Rosenfeld (03-07-2016 18:14:36)

negodnik · №142

turbot
> javascript.use_us_english_locale
Спасибо, в Fx 47 работает, но не в SM 2.38, 2.39. Только если в системе менять.
Но всё-равно видно. что у Вас не америкосовский формат даты: 03.07.2016, а не 07.03.2016
А javascript.default_locale нужна, или уже нет?

Rosenfeld
> Нет. (с) "Ни-за-фто"! ... У меня вообще имеются большие сомнения - правильно ли я делаю, разрабатывая это руководство
Ну, тогда объясните, пожалуйста, для какой именно версии Fx это руководство? Нечто усреднённое не прокатывает, Вы
это и сами прекрасно знаете. Если Вам всё это не нужно и не интересно, то намекните, какая дефензива заставляет Вас
работать через силу и вопреки желанию?

> Я это знаю. Но ни чем помочь им не могу. Увы
Тогда не пишите: «… пройдено ВСЁ (зеленые галочки), кроме DNT…». Вас не будут попрекать введением в заблуждение.

banbot · №143

Оффтоп потер, давайте не сваливаться в политику.

Rosenfeld · №144

Ну, тогда объясните, пожалуйста, для какой именно версии Fx это руководство? Нечто усреднённое не прокатывает, Вы
это и сами прекрасно знаете.

Прокатывает, и еще как. Потому что (и я об этом упоминал) люди работают на самых разных версиях браузера - как новых, так и старых. У одних конкретные строки настроек имеются, у других - нет. И наоборот. Плюс (прошу не забывать) - имеется еще и убогое поделие под Android... Вот почему я составляю спра-воч-ник, содержащий большинство общеупотребимых опций, представляющих наибольший интерес (и опасность!) для пользователей. Не бывает такого: "Справочник только для ФФ 47" или "Только для ФФ 3.1.х", потому что подавляющая часть настроек существует и там, и там. Неужели это не понятно?

Тогда не пишите: «… пройдено ВСЁ (зеленые галочки), кроме DNT…». Вас не будут попрекать введением в заблуждение.

Я уже давал зарок не отвечать про Panopticlic, поэтому честно предупреждаю: БОЛЬШЕ на эту тему писать не буду. Так вот: браузер с конфигурацией, описанной в руководстве, ПОЛНОСТЬЮ ПРОХОДИТ это тестирование.

Почему я так утверждаю (и тоже УЖЕ писал об этом)?!

Да потому что для "прохождения" этого теста Я ВЫНУЖДЕН САМОСТОЯТЕЛЬНО жать на подтверждающие кнопки "Дальше", "Дальше" и т.п., что я в "реальной" жизни НИКОГДА бы НЕ СДЕЛАЛ. Вот почему получается, что моя конфигурация ЗАПРЕЩАЕТ В ПРИНЦИПЕ последовательно проходить через механизмы тестирования (и которые могут гипотетически находиться на злонамеренных сайтах). Соответственно (если пользователь, конечно, не идиот), при обычном веб-серфинге злонамеренные сайты НИКАК НЕ СМОГУТ определить конфигурацию браузера, ОС и т.п.

Это - понятно? ... Сколько мне еще раз надо написать одно и то же, чтобы это дошло до присутствующих? Сто? Двести? Что вы так уткнулись в этот синтетический тест? Медом там что ли намазано? Или EFF приплачивает за рекламу?

Отредактировано Rosenfeld (03-07-2016 21:50:46)

turbot · №145

negodnik пишет

Но всё-равно видно. что у Вас не америкосовский формат даты: 03.07.2016, а не 07.03.2016

Хм, а ведь и правда. Вот так должно выглядеть. Надо бы отписаться на багзилле.

negodnik · №146

> И я все-таки считаю, что не давать ей ни малейшего намека на UA - вполне разумно.
Только не говорите, что действительно считаете будто пустая строка UA — это гарантия того,
что нет ни малейшего намёка.

Прокатывает, и еще как. Потому что (и я об этом упоминал) люди работают на самых разных версиях браузера - как новых, так и старых. У одних конкретные строки настроек имеются, у других - нет. И наоборот. Плюс (прошу не забывать) - имеется еще и убогое поделие под Android... Вот почему я составляю спра-воч-ник, содержащий большинство общеупотребимых опций, представляющих наибольший интерес (и опасность!) для пользователей. Не бывает такого: "Справочник только для ФФ 47" или "Только для ФФ 3.1.х", потому что подавляющая часть настроек существует и там, и там. Неужели это не понятно?

Если у Вас универсальное и полное (как сказано в Вашей подписи и не только в подписи) руководство для любой версии,
то тогда надо напротив каждой настройки писать: Fx 3.6 - 49, Fx 31 - 45. Иначе, это просто сборная солянка (не в обиду Вам будь сказано).

> Сто? Двести?
Достаточно одного раз, но чтобы это была правда.
Вы утверждаете, что напротив фингерпринтинга зеленая галочка, т.е. настройка не уникальна,
но знаете, что с отсутствующим юзерагентом этого не может быть. Понял, спасибо.

> Медом там что ли намазано? Или EFF приплачивает за рекламу?
Жырно. Просто кое-кто маленько приврал, но упорно не желает это признать.

turbot
А насчёт javascript.default_locale что-нибудь скажете?

turbot · №147

negodnik
Нет. Не нужна. Какая в настройках выставлена, ту и отдавать будет. Легко ж проверить, на том же browserleaks.com.

Rosenfeld · №148

Если у Вас универсальное и полное (как сказано в Вашей подписи и не только в подписи) руководство для любой версии,
то тогда надо напротив каждой настройки писать: Fx 3.6 - 49, Fx 31 - 45.

Меня как-то смутило слово "надо". Кто сказал "надо"? Я - точно так не считаю и даже не собираюсь заниматься столь бесполезным трудом. А вот чтобы проверить, действительно ли оно настолько "надо", я задам Вам несколько прямых вопросов:

1. Вы будете заниматься этой работой самостоятельно (учитывая, что в руководстве уже сейчас примерно 350 настроек и примерно 30-40 прибавится)? Т.е. будете выискивать лично: когда и в какой момент появилась та или иная настройка, а также для каких версий браузера она предназначена и для каких - нет?

ВАРИАНТЫ ОТВЕТА: "Да" / "Нет" + (причины)

2. Почему Вы лично не обращаетесь к официальным представителям МоФо с просьбой внести аналогичные уточнения напротив каждой строки с настройками, которые приводятся сразу на двух справочных ресурсах:

http://kb.mozillazine.org/Knowledge_Base
https://support.mozilla.org/en-US/products/firefox

... Поскольку у них там тоже описаны ВСЕ настройки (ну или их большинство, причем для разных версий браузеров), в самую пору с Вашим-то скрупулезным подходом прямо и без обиняков заявить им: "Парни, что это за сборная солянка у вас тут размещена? Ну-ка приведите все в порядок и быстренько распишите: какая строка для какой версии ФФ предназначена!" ... Ну так что - напишете им подобное письмо? Или как?

ВАРИАНТЫ ОТВЕТА: "Да" / "Нет" / "Пошлют куда подальше" / "Сочтут сумасшедшим"

3. Встречали ли Вы когда-нибудь иные руководства, состоящие из набора специфических команд / опций и т.п. - с поименным перечнем-указанием, для какой именно версии ПО они предназначаются, а для какой - нет?

ВАРИАНТЫ ОТВЕТА: "Да" / "Нет" + (примеры)

Ответьте, это не трудно.. Очень Вас прошу. И тогда мы с легкостью сможем определить - насколько оно "надо", особенно Вам

скрытый текст

... А вообще - знаете в чем Ваша (и не только Ваша проблема)? (только без обид)... Она называется "представитель мира Windows". В нем почему-то большинство пользователей настроено на то, что сейчас они разинут рот, а кто-то, т.е. чужой и добрый дядя, будет кормить их большой ложкой, при этом - тщательно вытирать ротик, сообщать количество проглоченного продукта, калорий, их полезность и попутно описывать пищеварительные процессы, включая завершающую стадию дефекации.

Потом - вытрет попку и подмоет под краном теплой водичкой.

В мире же GNU/Linux (ей-ей!), если бы Вы обратились вдруг к кому-то с подобным требованием, которое Вы выдвинули вчера, в лучшем случаем люди послали бы Вас "курить маны" (начиная с $ man man) или, для разнообразия - в Google. Как вариант - недоуменно покрутили бы пальцем у виска, типа "Во блин! Ему надо - так пусть и ищет или делает". Про самые худшие варианты я здесь писать не буду, а то забанят.

Поэтому (стесняюсь я спросить) - не кажется ли лично Вам, что в руководстве и так сделано весьма много? А именно:

0. Размещен дисклеймер и примечания о возможных проблемах в применении.
1. Перечислены варианты угроз и возможные последствия.
2. Варианты угроз сгруппированы по разделам и описаны.
3. Приведены конкретные примеры решения проблем.
4. Приведены необходимые примечания.
5. Большинство из примеров снабжено конкретными адресными ссылками на официальный сайт МоФо (базу знаний, техподдержку и т.п.).
6. Руководством могут пользоваться обладатели как старых, так и новых версий ФФ, а также ФФ для Android.

Поэтому, если Вам и этого мало (и что-то не устраивает или не хватает) - смело делайте форк на GitHub и ведите параллельный проект. Я Вас на это всячески благословляю и буду только рад за Ваши несомненные успехи!

Ну да ладно. идем далее...

Вы утверждаете, что ...

Я утверждаю ТОЛЬКО ОДНО (и буду писать последующую фразу ровно до тех пор, пока Вы ее не выучите наизусть):

Браузер с конфигурацией, предлагаемой в руководстве, ПОЛНОСТЬЮ ПРОХОДИТ ТЕСТ panopticlik - потому что самостоятельно, т.е. без деятельного участия пользователя, он ВООБЩЕ НЕ ПЕРЕДАЕТ на проверку практически никакой (или почти никакой) информации.

Ну а от того, что Вы (со склонной Вам въедливостью; я ее, кстати, только приветствую) меня где-то там пытаетесь поймать, уж поверьте - мне не холодно и не жарко.

зеленая галочка...

Ага! Еще одно тяжелое наследие мира Windows: добиться, чтобы везде красовались "зеленые галочки", а еще, до кучи - огромное сообщение "ТЕПЕРЬ ВАША СИСТЕМА ПОД ЗАЩИТОЙ!" Ну скажите - Вам самому-то от этого не смешно? Как выглядит вообще этот тест panopticlik "под капотом" и что именно происходит внутри, какие процессы (вернее - их совокупность) - Вы об этом хоть раз задумывались? Или нет?

Вот ответьте мне: какому врачу Вы будете доверять больше:

1. Тому, который при вас пишет конкретные направления на анализы, потом - перечисляет вам их результаты, указывает - где проблемы и в конце - ставит диагноз. Плюс - назначает дифференцированное и обоснованное лечение.

2. Или тому, который шепчет себе под нос "крекс-пекс-фекс", делает непонятные пассы руками, а потом выдает глубокомысленное заключение: "Вот тут у вас ауру надо чуток подкорректировать. Вот здесь - карма загрязена, надо очистить. А с чакрами... с чакрами у вас все в порядке; "ставим зеленую галочку".

А? Что скажете? ... Ну так вот, panopticlik - это как раз второй случай. То есть что происходит внутри - непонятно; какие анализы и методы использовались в их совокупности - тоже; какие именно "органы" исследовались - черт его знает. Но в итоге налицо "глубокомысленное" заключение: ~~"Батенька, да у вас аура испорчена!"~~ "DNT не работает!"

(и еще раз отмечу: убогую и бесполезную систему DNT можно смело засунуть в задницу или куда подальше! Именно поэтому я ее выключаю сразу же. И даже указывал причины: 1) браузер может просить "Умоляю, не следите за мною", но вот только: 2) трассирующим и рекламным сайтам его просьба ПО-ФИ-ГУ! Они не обязаны их выполнять. И никогда не будут, ибо у них - свой бизнес!)

С тестирующим сайтом ip-check (давно, кстати, о нем хотел высказаться) - аналогичная проблема, хотя немного более замаскированная. Они действительно приводят в конце тестирования сводную таблицу, в которой результаты рассматриваются дифференцируемо (UA, HTTP-headers) и т.п. А также - дается оценка каждому результату и рекомендации по устранению гипотетических проблем.

... НО(!) (и это очень большое "но") - даже идиоту, читающему рекомендации, издалека видны уши их бизнеса: коммерческих услуг по впариванию прокси-анонимизатора JonDonym (и соответствующего ПО)... Почему я так утверждаю? Да потому что ЛЮБАЯ РЕКОМЕНДАЦИЯ (если ее результаты хоть как-то отличаются от "отпечатков" их "родного" браузера JonDoFox) сводится к голословному утверждению: "Ой, да у вас тут огромная проблема!!! Чтобы ее преодолеть, используйте наш браузер!" ... Дело доходит до смешного: допустим, браузер в моей конфигурации не отдает серверу рефереры; для них - это уже не "зеленый", а "желтый" цвет. Тот же самый цвет при отключенном DNT... Пустой юзер-агент - это конечно же "красный" уровень уж-ж-жасной опасности! Ну и так далее. Зато везде щедро рассыпаны "рекомендации": "Используйте JonDoFox", "Используйте JonDoFox", "Используйте JonDoFox", "Используйте JonDoFox".

Я ясно выражаю свои мысли по поводу "качества" тестирования на таких сервисах?

Поэтому, если присутствующие действительно хотят протестировать свои браузеры по самым разным параметрам (по отдельности, а не в их совокупности), т.е. получить профессиональную оценку каждого параметра - идите ВОТ СЮДА: http://browserspy.dk/ ... И там тестируйтесь, сколько влезет.

Ну а любителям "зеленых чекбоксов" я рекомендую по-прежнему оставаться на panopticlik. Но только пусть они учтут: у меня нет привычки мастурбировать на "зеленые галочки", ибо, во-первых, я предпочитаю живых женщин; а что касательно ОС и ПО - имею другие цели, другие задачи; вот почему обустройство ФФ - лишь попутное и побочное увлечение. И оргазм я получаю не от надписей "чУВАК, В ВИНДАХ ТЕПЕРЬ ФСЁ ПОД КОНТРОЛЕМ!11", а от таких изысканных и красивых вещей, как, к примеру, DeltaRPM, чудесные команды systemd, использование sandbox или запретительные политики SELinux...

ВОТ ПОЧЕМУ в текущей теме дальнейшее обсуждение "зеленых галочек" или результатов ~~"любит" / не любит"~~ "прошел / не прошел" я буду считать злостным офтопом.

Это - понятно?

Отредактировано Rosenfeld (04-07-2016 13:21:41)

Rosenfeld · №149

negodnik, только не вздумайте обижаться! Выше не приведено ничего личного.

negodnik · №150

turbot
Спасибо большое.

Rosenfeld
> ... А вообще - знаете в чем Ваша (и не только Ваша проблема)? (только без обид)... Она называется "представитель мира Windows"
Вот за что я Вас люблю, так это за умение внезапно повернуть обсуждение любого вопроса на противостояние линупс - виндовс.

> negodnik, только не вздумайте обижаться! Выше не приведено ничего личного.
Поздно. Слёзы застилают мне глаза и мешают читать.
Ничего личного — это ещё обиднее. Все мо́зги достались линуксоидам, а нам остаётся только скорбно вздыхать.
Линуксоиды даже нашими вопросами манкируют, зато взамен задают свои, и сами же предлагают только два варианта ответа.
Это чтобы мы не зависли.

Полезная информация

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Re: Разработка руководства по безопасности и приватности (предложения)

Board footer