Forum libero

Scritto da: ::1
> Scritto da:
> > Mozilla: data stolen from hacked bug database was used to attack Firefox | Ars Technica
> > http://arstechnica.com/security/2015/09/mozilla-da...
> >
> > È pazzesco che questi cretini non usino nemmeno la two factor authentication per difendersi da questi ovvi attacchi... Almeno per le parti del sito che contengono dati sensibili come questi.
> >
> > Pare sia da almeno il 2013 che qualcuno poteva vedere gli zero-day di firefox in anteprima grazie a questa cazzata.
>
> chrome che ti scarica i blob binari e ascolta tutto quello che dici dal microfono?

Molto meglio un browser con decine di bug gravi che non vengono riparati perché non è divertente farlo e le cui misure di sicurezza fanno talmente cagare che a uno basta sapere una password per poterseli portare a casa senza venire individuato in ben 2 anni...

Cos'è peggio, blob binari ma prodotti e mantenuti da un azienda che prende la sicurezza seriamente e che rischia di chiudere se non lo fa, oppure un browser mantenuto da qualche hobbista la cui incompetenza negli ultimi 2 anni ti ha esposto (e forse reso vittima) di attacchi al tuo computer e dati provenienti da chissà chi o chissà perché?

Scritto da:
> Scritto da:
> > Mozilla: data stolen from hacked bug database was used to attack Firefox | Ars Technica
> > http://arstechnica.com/security/2015/09/mozilla-da...
> >
> > È pazzesco che questi cretini non usino nemmeno la two factor authentication per difendersi da questi ovvi attacchi... Almeno per le parti del sito che contengono dati sensibili come questi.
> >
> > Pare sia da almeno il 2013 che qualcuno poteva vedere gli zero-day di firefox in anteprima grazie a questa cazzata.
>
> The user appeared to have re-used their Bugzilla account password on another website, which suffered a data breach.
>
> Che c'entra firefox con un utente imbecille?

La gran parte delle persone usa la stessa password su vari siti. Mozilla è colpevole di non aver previsto una cosa tanto ovvia e non aver preso le dovute precauzioni per impedirlo.

Se avessero implementato un sistema 2FA (e ce ne sono diversi) questo genere di attacco non sarebbe mai potuto succedere. Ci sono vari metodi 2FA, da quelli poco sicuri (come email e sms con OTP) a quelli più sicuri (come le chiavette FIDO-Alliance U2F che sono di fatto il futuro, che costano poco o nulla [te ne prendi una su amazon per 6 dollari e funziona su quanti siti e app ti pare] e che Firefox ancora non supporta [mentre Chrome supporta oramai da un pezzo]).

Anche il metodo SMS, pur non essendo molto sicuro, sarebbe stato sufficiente a sventare questo genere di attacco.

Era una cosa che potevano fare e non hanno fatto, il che indica che non prendono la sicurezza seriamente come dovrebbero... e visto che il tuo browser è l'unica linea di difesa che hai fra te e il resto del mondo questa loro mancanza è grave. D'altra parte hanno già dimostrato in passato di prendere la sicurezza sotto-gamba. C'erano poi zero-day lì dento vecchi di mesi... Preferiscono fare cazzate con la GUI perché lavorare alla sicurezza per loro evidentemente non è abbastanza divertente e non è qualcosa che l'utente vede.

Mi dispiace, ma se non cambiano registro è meglio che si tolgano dal mercato dei browser... fare un browser veloce e al contempo sicuro è costoso, richiede un sacco di gente preparata con conoscenze ben specifiche e ben pagata per fare anche le cose più noiose e poco gratificanti... non è una di quelle cose che è bene tu faccia in garage se poi vuoi farlo adottare al resto del mondo.

Stesso discorso vale anche per Adobe che tempo fa si è fatta rubare l'intero database di email e password degli utenti che, fra l'altro, non erano nemmeno protetti da una cifratura decente. Le aziende devono imparare che la sicurezza NON è un optional.

Tanto per farti un esempio... questo è come Google protegge i suoi dati

con TANTI TANTI soldi. Non saranno perfetti e pure i loro prodotti saranno (magari gravemente) fallati, ma almeno mostrano di non prendere la cosa sotto-gamba.