Firefox mere gennemhullet end Internet Explorer

#96 Da ret underligt at den skulle kunne crashe af en dårlig konfigurationsfil, er der ikke indbygget kode til at sørge for den tjekker konfigurationen før den kaster den afsted?

#99 -- Fra mine Windows-dage havde jeg den erfaring, at Iexplore kunne bruges på selv de mest tvivlsomme sider. Hvis jeg da passede på.
Jeg havde ydermere den erfaring, at jeg ikke fik virus eller besøg, vel at mærke uden AVP-installation eller firewall. Imidlertid holdt jeg altid min Windows-installation opdateret.

Imidlertid har jeg heller ikke haft de bedste muligheder for at opdage at jeg ramt, samt jeg har /nok/ været bare en smule heldig i alle mine Windows-dage.

#100 -- Korrekt. Ingen kan vide det, men du er nød til at have fingrene begravet i <stort softwareselskab efter eget valg> for at så tvivl om det.
Jeg er ikke i tvivl, og ser ingen grund til at være det. Ophold dig et et halvt års tid på diverse seclists og devlists, og se om du erklærer dig enig i, om overbevisningen er realistisk.

#101: Nok mest fordi det er untestet - ligesom særlige settings i ens windows registry kan give BSoD i windows.

#101 (SKREWZ):
Njarh, nu er det f.eks. ikke så forfærdelig længe siden der selv her på newz.dk var en nyhed om, om "udviklingen af firefox gået i stå?". Dermed ikke sagt at der ikke er folk der kigger på firefox-kildekoden, men jeg mener det er naivt at tro at bare fordi "program x" er open source, så er der mange og kvalificerede øjne der kigger nøje på kildekoden for "program x".

På trods af det, så mener jeg (naturligvis?) at kildekode skal være læsbart af enhver førend noget kan erklæres sikkert. "Security by Obscurity" e.l. er ikke rigtig sikkerhed.

Den kære Bruce Schneier har ofte mange fornuftige ting at udgyde, eksempelvis "Are open source products more secure than closed source?" eller "Open Source and Security".

#104 -- Naivt og naivt... Det er sådan at det forholder sig i langt de fleste tilfælde. Og specielt med populært software.

Men, ja.

Konklusion:(Jeg er hverken for eller imod IE eller FF)
Dem der vil tjene penge via spam, spyware, ghostware, slickware og hvad det nu ellers hedder og bliver kaldt, vil jo altid gå efter det soft/hardware som der bliver brugt mest af.
Som ind til nu er IE. Måske er de jo derfor at der er så meget fokus på at udvikle så meget crap til den stakels browser, så de kan tjene penge på alle de (dumme) bruger der kommer til at trykke forket.
Dumme tænker vi... for vi har jo aldrig selv komme til at klikke på et "look a like" OK knap (eller hvad de nu finder på)som føre os vider til en side der popper op med 50 andre random sider. For sådan noget kunne vi aldrig finde på. Eller bare som de fleste gøre. Gå ind på en af de total gennemsyret sider for at finde en crack eller en snydkode til det whatever man sidder med. For så at sidde tilbage med 50 addons og 500 programmer kørende i bagrunden som forsøger finde ud af hen over hovede på hinanden, hvad det er vi er igang med, og hvor mange gange vi gøre det. For at et eller andet fuckd up firma kan få penge for en statestik, de ikke kan bruge til en skid, der hvores computer er så belastede at vi dårligt nok kan trække mussen fra den ene side af skærmen til den anden.
Nu har FF fået en så stor del af markede så det åbenbart kan begynde at betale sige at finde huller der kan udnytes. Og jeg ved ikke hvorfor folk er så dumme at tro at FF er den mest sikker browser. Kan det give nogen gode $$$ kan der findes måder til at omgå sikkerhed.
Mange sikkerheds huller er bevist lavet, ved en afvejelse om bedre funktinalitet, eller som i de fleste tilfælde få et få tingende hurtiger ud til det efterspørgende markede. Men der er sgu altid en eller anden idiot der finder ens hurtige løsninger. Det er der bare ikke noget at gøre ved, det skal vi lære at leve med og tilpasse os efter beste evne.

Så er der nogen her der begynder at sammenligne Browser's sikkerhed og fejlmargen med andre programmer. Det kan man simpelthen ikke! Det kan godt være at Carl Aage oppe i de jyske fjælde har lavet et program til true type fonte som har virket uden fejl siden 1982. Men nutidens browser er et hav af små programmer smæltet sammen med hinanden (Det tager ikke mere end 5min. at lave en browser der kan afkode standart html kode.)Det er alle de andre ting i en browser der gøre at vi kan bruger hele hvores live på at surfe rund, der gøre det usikkert. Så som billeder, java, activeX, kommunikation etc.
Jeg tøre æde min gammle hat på at vis det skal være 100% sikkert så skal vi tilbage til ren tekst uden noget andet.

Og så til min point:

Sikkerhed kan opvejes på mange måder.
Jeg bruger IE og Opera. IE bruger jeg til sider som denne her, og dem på arbejdet, der mange ting kun er udviklet til IE.
Opera bruger jeg til at svine rundt på netet på whatever sider der nu findes. Mit valg af Opera er meget simpel..: Der er ikke nok bruger af den til at noge gider misbruge sikkerhedshullerne, og det er nu den hurtigeste browser der findes.
Af samme grund bruger jeg heller ikke Norten Antivirus...(Der det er det første program der bliver disablet når en ny virus er på bannen) men et mindre kendt Bitdefender.. lige nu (E-trust)er sgu mere pålideligt
Jeg følger med i hvad klogehovder laver af små nyttige programmer som de gider dele med andre for at beskytte os.

bare noget så simpelt som at udlukke bestemte IP adresser på netet hjælper en del.
Og det har lykkedes M$ at opkøbe et firma der bestem har forstand på at lave et AntiSpyWare program.

Det er sådan ca hvad der virker for mig, og det er meget sjældent jeg har problemmer med noget.
Vis jeg har findes der mange gode forums på netet, hvor der sikkert har været nogen andre idioter med samme problem.


Jeg vil lige tilføje her til sidst at jeg dageligt er IT rådgiver og har været det i over 10år. Min konklusioner og synespunkter er ikke fra mit eget lille hygge hjørne men dagelig kontakt med kunder.

#106 -- Du burde overveje Konqueror med dansk Ispell til input-felter. :S

Desuden taler du forbi emnet, hvis jeg skal sige det. Der tales her om /huller i browseren/, ikke om, hvordan man bedst sikrer sig mod malware.
(Iøvrigt giver jeg dig rimelig meget ret i, at selve det at skifte sin platform ud -- i større eller mindre grad -- til noget mere upopulært, betyder at man er statistisk set mere sikker. Jeg har ikke haft skyggen en virus siden jeg forlod Windows, selv om jeg ved at nogle af mine filer er inficerede.)
Angående huller i browseren imidlertid: Hvilken rå og ukonfigureret browser sætter du helst din lid til?

Rent offtopic... Hvem rådgiver du i denne IT rådgiver-stilling?

#107: Mener faktisk man kan få en stavekontrol til Opera.. tror det var Aspell :)

Ja, kræver så bare man hacker plugin'et til at virke med den nye udgave og så ved man forhåbentligt også hvorfor hvis den dør.

jeg bruger IE så jeg behøver ikke at kunne hacke for at surfe ;-)

Jeg bruger Avant Browser (IE klon) og jeg skal engang tænke på om at hacke eller noget, hvergang der kommer en ny release(bliver opdateret næsten hver 10. dag). ALT fungerer bare godt og den crasher ikke. Jeg kører som regel med 20 tabs.

#34

Helt ærligt. Hvad mener du?? At det væsentlige her hvor mange fejl man kan finde i en given 5 måneders periode?? Det må alt andet lige være mere væsentligt hvor mange fejl der overhovedet er fundet i produktet!! Og der er uanset hvor meget du vrider dig 79 mere eller mindre alvorlige fejl i IE6. Ifølge Secunia.

Suk - dvs hvis i opgraderer winamp så forventer i at alle udvidelserne fra den gamle version virker? :P

Man kan jo også bare vente på at udviklerne releaser en ny version som Firefox så opdaterer semi-automatisk når det sker - så nej det er bestemt ikke nødvendigt at hacke noget som helst for at surfe med firefox. Modsat IE (og Avant og Opera for den sags skyld) har man bare muligheden.

[OFFTOPIC]
#47: Rart at se en tænke sig om istedet for alle de der fjolser (pardon mon fran&#263;ais) der tror at crackere/hackere ikke bruger kildekode som en del af deres arbejdsmetoder, eksempelvis er social engineering en anden.

Hvorfor blev kildekoden til CISCO's OS/FireWall stjålet og sat til salg for et ikke beskedent beløb. Selvfølgelig giver det en fordel at have koden - Der er jo altid single-step for de ekstremt stædige og så er det ellers "bare" at fodre programmet med crap-data for at se hvor det går galt.
[/OFFTOPIC]

[OFFTOPIC]

#47: Rart at se en tænke sig om istedet for alle de der fjolser (pardon mon fran&#263;ais) der tror at crackere/hackere ikke bruger kildekode som en del af deres arbejdsmetoder, eksempelvis er social engineering en anden.

Crackere behøver ikke kildekode. Kors de kan da bruge den når først de har fundet fejlen, til at finde ud af hvorfor fejlen er der. Men den er ikke til nogen speciel hjælp.

Hvorfor blev kildekoden til CISCO's OS/FireWall stjålet og sat til salg for et ikke beskedent beløb. Selvfølgelig giver det en fordel at have koden - Der er jo altid single-step for de ekstremt stædige og så er det ellers "bare" at fodre programmet med crap-data for at se hvor det går galt.

Andre producenter er nok et bedre bud.
Selvfølgelig ikke noget der bliver talt højt om... ;)
[/OFFTOPIC]

#114 -- Nej, de /behøver/ ikke, men det er konstruktivt for dem at have den. Som #113 sagde, kan man jo altid singlesteppe sig igennem kildekoden for at finde huller -- hvis man da har den.

#115 SKREWZ

Den er ikke konstruktiv til at finde huller med, medmindre du gider sætte dig ind i hundrede tusindvis af kodelinier. Den bedste metode er og har altid været at udforske et programs adfærd udefra. En hacker som gør det, kan så bruge kildekoden til at rette problemmet. Det kan en cracker jo være ret ligeglad med, nu hvor han jo havde fundet fejlen. Så nævner nogen debuggere?
De kører sjovtnok også fint på binaries... ;)

#116 -- Dvs., at du helt nægter kildekoden positiv betydning når det kommer til at finde huller?

Jeg er ikke selv særlig aktiv når det kommer til at finde huller. Jeg ved, at de fleste reverse engineerer sig til at finde hullerne, men jeg kan regne ud, at visse huller først viser sig ved helt specielle exploits -- eksempelvis et underflow i en stor variabeltype.

Jeg kan vitterligt ikke forestille mig, at kildenkoden er tæt på værdiløs.

#86 du kan ikke bruge den slags statistik til ret meget da talne faktisk åbner op for at begge systemer kan have været piv åbne hele tiden.
Faktisk ville det undre mig hvis det ikke var tilfældet med begge systemer, Det er lidt hvad er værst en ulåst dør, eller et åbent windue?
Det er det samme problem denne her undersøgelse om firefox har, den nænvner ikke hvor længe en fuldt patched browser har været i risikozonen for kendte exploits den tæller kun fejl, og kigger ikke på i hvor høj grad fejlne kunne bruges til at kompromitere brugerens system.

Det er ikke nødvendigvis sådan at den slags undersøgelser er biased men metoden og beregnings modellerne er som regel valgt sådan at bestillerens produkt tager sig bedst ud, og så må vi heller ikke glemme at MS kun frigiver en rapport hvis den taler til MS fordel, det vil sige at MS godt kan have 10 rapporter liggende gemt i en bankbox forde de siger det forkerte.

#118 --

[...]hvad er værst en ulåst dør, eller et åbent windue?

Kors, en god analogi. Den må jeg huske.
... Selv om den -- on second thought -- måske skal omskrives til:
"Hvad er værst? En åben dør eller et ulåst vindue?".

#117 SKREWZ

Dvs., at du helt nægter kildekoden positiv betydning når det kommer til at finde huller?

Det er et stort rbejde at finde huller med at gennemgå kildekoden. Hvis det tager længere tid, og er mere besværligt end blot at prøve dig frem. Hvad er så pointen?

Jeg er ikke selv særlig aktiv når det kommer til at finde huller. Jeg ved, at de fleste reverse engineerer sig til at finde hullerne, men jeg kan regne ud, at visse huller først viser sig ved helt specielle exploits -- eksempelvis et underflow i en stor variabeltype.

Tit og ofte kan en debugger brugt rigtigt, være lige så effektiv. Jeg er heller ikke aktiv i hverken programmering eller cracking. Men alle eksperter som ikke arbejder for visse større softwarehuse, siger allesammen at adgang til kildekoden for alle er det sikreste. (Skal lige finde links....)

Jeg kan vitterligt ikke forestille mig, at kildenkoden er tæt på værdiløs.

Den er heller ikke værdiløs, for dem der forstå at bruge den.
For crackere er det lige så effektivt, at debugge på binaries. De skal blot vide om der er en læk, og hvordan de bruger den. De kan jo være ligegld hvorfor lækken er opstået... ;) Det er kun relevant for dem, som rent faktisk vil løse problemmet... :)

#107 stave det bliver jeg vist aldrig gode venner med.

Er ikke helt sikker på om jeg rammer ved siden af.
For vis et hul ikke bliver brugt, er der ingen fare.
Men har du noget du gerne vil fylde et hul med, skal du nok finde det ;)

Jeg rådgiver almindelige dødelige bruger der ikke har en skid forstand på andet end det de selv tager penge for. Og af samme grund vil jag svare IE til dit spørgsmål. IE fordi jeg ikke vil forvire brugeren mere end nødvendigt. IE fordi det er den browser der bliver mest testet sammen med 3. part software.. så som Citrix og div. java aplikationer.
Et simpelt spørgsmål om at mindske tlf. opkald på unøvendige ting.

Jeg køre selv MS (Det ville se skidt ud med en BMW forhandler i en Mercedes) og fordi det er der det sker. En blanding af god bruger interface og mulighed for at smadre rundt i systemet. Et sted midt i mellem Mac og ja.. lad os sige Linux.

Men Vmware er jo et genialt prog ;)

#121 -- En slave af markedsøkonomien. Jeg bebrejder dig ikke -- vi er allesammen.
Men jeg siger det på den facon, da du er i nogen grad tvunget til at vælge hvad der er kurant. Ligeledes er det, hvad dine kunder interesserer sig for -- de er ikke idealister som nogen af os er -- og "vil bare have det til at virke".

Og for folk, som jeg har givet Debian, har det største problem nærmest været, at ingen i deres umiddelbare omgangskreds kunne assistere dem med eventuelle problemer. Altså får jeg alle deres problemer losset af på mig. Træls, men jeg ofrer mig.
-- Det dur bare ikke for dig.

Men, men, men: Det kunne være bedre. Åbne standarder er hvad vi har behov for, for at udvide mulighederne i valget.
Tænk sig, hvis man som /bruger/ frit kunne vælge mellem de forskellige browsere. Hvor herligt ville det ikke være, hvis Internettet og dets virksomheder accepterede det?

.. Jeg er en drømmer. En realistisk drømmer, synes jeg selv.