Forum libero

Scritto da: ::1
> Scritto da:
> >
> > Esatto.
> >
> >
> > Preferisco sia inefficiente a riaprire Flash che aprire la strada a potenziali gravi problemi di sicurezza.
> Il resto degli utenti preferisce che il browser sia veloce

Il "resto degli utenti" può preferire ciò che vuole, è per questo che a programmare sistemi critici di solito non ci metti delle capre... perché sanno fare scelte generalmente migliori di quelle "del resto degli utenti".

Su questo sono MOLTO d'accordo con Linus quando ha detto una cosa tipo "se sviluppate pensando che i vostri utenti siano dei cretini finirete per avere solo cretini come utenti".

Se fai delle scelte per accontentare "il resto degli utenti" quando sai che quelle scelte sono dannose finirà che solo chi della sicurezza non sa nulla userà i tuoi prodotti (oltre a rovinarti per sempre il marchio, vedi Internet Exploder).

> le potenziali falle di sicurezza te le stai inventando visto che wrappare il plugin lo estromette da accessi a memoria che non gli compete.

Non me le sto inventando. Se posso creare un programma Flash che, sfruttando questa falla nel plugin-container, rimane in esecuzione anche quando ho ragionevolmente ritenuto di aver terminato il browser quel processo può restare in background senza essere notato anche per giorni. Con pieno accesso a microfoni, webcam, internet, ecc. Non mi sembra un problema da poco.

Pensa ad esempio a qualcuno che usa Tor per accedere a determinati siti. Una volta finito chiude il browser e si sconnette da Tor convinto che la sua sessione di lavoro sia terminata. A quel punto il programma Flash che non è stato terminato da Firefox come avrebbe dovuto ha accesso al suo vero IP anche se l'utente non ha fatto nulla di sbagliato di suo (a parte lasciare abilitate queste porcate durante l'uso di Tor).

Guarda poi che io non sto parlando di me in particolare, io SO che non posso fidarmi di Firefox e SO terminare il plugin-container a mano se necessario. Stiamo parlando di un utente a caso che si aspetta che i prodotti che usa, opensource o no, commerciali o no, rispondano a determinati standard di sicurezza.

Se, per dire, un produttore di auto, per accontentare "il resto degli utenti", creasse delle automobili difettose e pericolose che finiscono con il danneggiare qualcuno, quel produttore prima o poi dovrebbe risponderne in tribunale... e non credo che potrebbe cavarsela con "bé si, abbiamo rimosso l'airbag perché il volante era troppo grosso e ai nostri utenti piace un volante molto più sottile". Che io, utente esperto, sappia che non devo usare le auto di quel produttore o sappia reinserire l'airbag nel volante è irrilevante ai fini del risolvere il problema per tutti.

Il fatto è che in qualsiasi software che installi c'è la solita clausola "se scopri questo programma che scopa tua moglie non è colpa nostra"... questo ha finito per deresponsabilizzare chi programma e, negli anni, a considerare la sicurezza un'inutile perdita di tempo.

> > Il problema è che questo difetto si verifica in giorni interi d'uso.
> E tu terminalo: imposta il salvataggio della sessione e quando chiudi si tiene tutto e alla riapertura riapre tutto.

Ripeto, il problema non è mio in particolare. Io sto parlando in generale e poi sono poco propenso a permettere al browser di salvare la sessione alla chiusura, così come ho disabilitato sia i cookie su disco, che la cache, che la history. Non mi piace lasciare tracce sul disco se posso evitarlo (guardati i vari Garlasco, e tutti gli altri casi in cui la cronologia del browser è stata usata contro qualcuno). Il problema comunque è che il fatto che Firefox entri in questo stato suggerisce che ci siano problemi di leak/race condition che potrebbero essere sfruttati per eseguire codice sul computer dell'utente... e questi problemi, in tanti aggiornamenti, non sono mai stati né identificati né corretti visto che continuano a presentarsi.
Come riprodurre il problema o quali condizioni lo portino a verificarsi non lo so, o l'avrei già segnalato. So solo che di tanto in tanto capita, perciò il problema esiste, è reale, ed è potenzialmente pericoloso per chiunque capisca come riprodurlo a suo vantaggio.

> Ma non era plugin container il problema prima?

Prima si, ora stiamo parlando di un problema diverso che non ha a che fare con il plugin-container.

> Che ne sai che è uno script e non un plugin/addon difettoso? Lo sai ad esempio che per parecchio tempo adblock generava un sacco di leak tenendo delle references al dom di pagine chiuse?

Potrebbe anche essere un add-on difettoso, però ho solo roba molto standard su questo Firefox (adblock, firebug, noscript e grasemonkey, tutti sempre aggiornati).

> Ti posso consigliare di ripartire con un profilo nuovo da zero? Ho notato che firefox non ha mai gestito bene i profili migrati di versione in versione; periodicamente io rifaccio il profilo per questo motivo, perché so che usando molte estensioni introduco parecchio caos nella configurazione di firefox.

L'ho pensato anche io... prima o poi lo farò... certo è che non dovrei essere io utente a preoccuparmi di queste pulizie. Prendi Chrome ad esempio... hai mai dovuto cancellare il suo profilo per ricrearlo da un aggiornamento all'altro?

Scritto da: ::1
> Scritto da:
> >
> > Qualcuno dovrebbe fare qualcosa. Altrimenti mi tocca rimettere Seamonkey come browser predefinito.
>
> Passa a dwb.

http://portix.bitbucket.org/dwb/

È roba di Arch.

Scritto da: ::1
> Scritto da:
> >
> > E, visto che funziona, perché non lo fa anche Firefox?
>
> Perché google paga fior fior di sviluppatori per fare queste belle cose; mozilla è una fondazione e vive di donazioni.
> Passare da NPAPI a PPAPI purtroppo necessita di rivedere molto del codice di firefox, è previsto che si farà, ma non subito (e probabilmente supporterà entrambe le modalità per parecchio tempo).

Quindi Chrome >> Firefox.