Solucions per la revista de PC: esteu més segurs amb el Firefox?

És el Firefox un navegador web més segur que l'Internet Explorer de Microsoft? La resposta pot ser sí, però els problemes són més complicats del que la majoria s’adonen. De fet, Firefox té la seva part de problemes de seguretat i fins ara probablement s’ha salvat dels atacs del món real només per la seva quota de mercat d’un sol dígit.

A finals de febrer, l'Organització Mozilla va llançar la primera actualització a Firefox, la versió 1.0.1 (www.getfirefox.com). No hi ha cap novetat de la nota en la nova versió, però ha corregit 17 vulnerabilitats documentades a la versió 1.0. (www.mozilla.org/projects/security/known-vulnerabilities.html). El més famós va ser un error que contemplava URL amb noms de domini internacionalitzats (IDN - www.mozilla.org/security/announce/mfsa2005-29.html). Bàsicament, un atacant podria configurar un lloc que tingués, a l'aparença exterior, el mateix URL que un altre lloc (com ara www.ebay.com), però en realitat el nom de domini estaria en un conjunt de caràcters internacional, no en anglès. (Mozilla realment no va solucionar aquest problema, que és menys un error al programa que un problema amb tot l'enfocament dels IDN; en canvi, la versió 1.0.1 només desactiva el suport IDN per defecte.)

Probablement no heu llegit sobre cap d'aquests errors abans de l'actualització. Això és perquè recentment l'Organització Mozilla va començar a emetre assessors de seguretat del tipus que Microsoft emet cada mes (consulteu www.mozilla.org/security/announce). La majoria de vegades, Mozilla no amagava aquests errors abans de publicar els avisos, però tampoc els publicava. Si sabeu on i com mirar, podeu obtenir una millor imatge dels errors (i d’altres) de seguretat en Firefox i altres projectes de Mozilla a bugzilla.mozilla.org, la base de dades d’errors oficial per al desenvolupament de Mozilla. Però fins i tot aquí l'organització no està totalment oberta sobre els errors de seguretat; quan s’informen de nous, les entrades a Bugzilla es fan generalment privades durant un temps mentre s’investiguen i es resolen.

I a diferència de Microsoft, quan Mozilla soluciona un error, no deixa anar un pedaç per als usuaris. Si voleu seguir els programes a nivell de llançament, l’única opció és esperar al proper llançament general; l'actualització a la versió 1.0.1 de la 1.0 va trigar uns 3, 5 mesos. Podeu instal·lar una creació provisional del programa (les compilacions nocturnes estan disponibles a ftp.mozilla. Org / pub / mozilla.org / firefox / nightly / latest-trunk /), però no són versions de llançament oficial i hauríeu d’esperar-les tenir altres errors; en la mesura que obtingueu suport per a Firefox, es veurà perjudicat pel vostre ús d'una versió provisional.

Al Firefox per a Windows podeu definir les opcions a Eines | Opcions | -Avançat- | Actualització del programari per comprovar periòdicament les actualitzacions del programa als servidors Firefox. Trobarà la versió 1.0.1, però només farà descarregar tot el programa i iniciar l’instal·lador. A la versió de Linux només podeu actualitzar extensions i temes, no el codi de programa.

I ja hi ha problemes de seguretat a la versió 1.0.1, encara que encara no hi hagi cap assessorament. Per exemple, en una màquina multiusuari, com un sistema Linux, si un usuari que funciona com root inicia Firefox i un altre usuari no root inicia Firefox, aquesta instància de Firefox que un usuari no root guanya privilegis root (bugzilla.mozilla.org/ show_ bug.cgi? id = 247412).

• Mozilla Firefox 1.0 Mozilla Firefox 1.0
• 15 millors extensions de Firefox 15 millors extensions de Firefox
• Suport de la barra d’eines de Yahoo Gains de suport de Firefox Barra d’eines Yahoo
• Firefox obté un canvi d'impressió de seguretat important Firefox obté un canvi d'importància de seguretat important

A més, és difícil i no evident per a un usuari examinar el certificat d'una extensió signada a l'hora d'instal·lació (bugzilla.mozilla.org/show_bug.cgi?id=278629), per la qual cosa un spoofer pot passar fàcilment amb la intenció de ser una font de confiança. També hi ha diversos errors de crac, com bugzilla.mozilla.org/show_ bug.cgi? Id = 263609, i sovint indiquen una vulnerabilitat explotable entre bastidors.

Finalment, les empreses anti-spyware Webroot i Sunbelt Software han dit que esperen que aquest any es mostri un programari espia específic per a Firefox, i si la quota de mercat del navegador continua augmentant és fàcil veure per què seria així. Així que no us oblideu d’actualitzar-vos i no us descanseu en els llorers de Firefox. No estàs lliure de problemes de seguretat, només en té diferents.

Larry Seltzer, col·laborador freqüent de PC Magazine, escriu el butlletí Security Watch per a pcmag.com.