Appleによる「ブラウザ開発者へのWebKit強制」はセキュリティリスクを悪化させているという指摘
Appleはウェブブラウザのレンダリングエンジン「WebKit」の主要な開発者であり、iOS向けのウェブブラウザはWebKitの採用が必須となっています。iOS向けブラウザでWebKit以外のレンダリングエンジンを使えない状況には「ウェブブラウザの将来性を奪っている」という指摘が入っているものの、Appleは「ウェブブラウザにWebKitの採用を求めることは、セキュリティ向上のためだ」と主張していました。新たに、オープンなウェブの推進団体「Open Web Advocacy」が「AppleのWebKit強制は、セキュリティを悪化させている」という主張をTwitterで展開しています。 Apple's claim is that it bans other browsers for security AND NOT because it's protecting its 70b of App
Firefoxに「サイト隔離」機能が登場、「Spectre」「Meltdown」への根本的な対策に
Mozillaが2021年5月18日に、デスクトップ版Firefoxに「サイト隔離」機能を盛り込んだことを発表しました。この機能により、2018年に発見されながらもこれまで応急処置的な対応にとどまっていた脆弱(ぜいじゃく)性の「Spectre」と「Meltdown」に対して、抜本的な対策を講じることが可能になったとMozillaは述べています。 Introducing Site Isolation in Firefox - Mozilla Security Blog https://blog.mozilla.org/security/2021/05/18/introducing-site-isolation-in-firefox/ Introducing Firefox's new Site Isolation Security Architecture - Mozilla Hacks -
Firefoxを強くする「サイトアイソレーション」 セキュリティ以外も複数の効果
Mozillaはこのところ、Firefoxのセキュリティ機能とトラッキング防止技術の開発に熱心に取り組んでいる。その取り組みのひとつが「Site Isolation Security Architecture（サイト・アイソレーション・セキュリティ・アーキテクチャ）」だ。これはセキュリティ機能を強化するための抜本的なブラウザアーキテクチャの変更に相当するもので、すでにリリース版のFirefoxにもこの機能が搭載されている。デフォルトでは無効化されているが、設定を変更すれば有効化することができる。 この新しいアーキテクチャの概要は、Mozillaが5月18日(米国時間)に公開した記事「Introducing Firefox's new Site Isolation Security Architecture - Mozilla Hacks - the Web developer blog」の
Mozilla、ドイツのユーザー向けに無許可でアクティビティ記録ツール入りのFirefoxを配布 | スラド IT
Web閲覧データを収集し、それに基づいたリコメンドを表示する「Cliqz」プラグインをFirefoxに同梱することをMozillaが検討しているという。Mozillaはまず実験として、ドイツでFirefoxにCliqzプラグインを同梱することが行われたようだ（Mozillaによる告知、Register）。この実験はドイツのユーザーを対象に行われ、FirefoxのダウンロードページからFirefoxをダウンロードしてインストールした場合、その「1％以下」のユーザーに自動的にCliqzがインストールされるという。 あるAnonymous Coward 曰く、 表示したURLとその滞在時間、マウスの動き、入力した文字列、IPアドレスなどが自動でCliqzのサーバーに送信され、このことを利用者は一切知らない（Reddit）。 最近の会議の結果、Cliqzを標準でFirefoxに搭載すること、そして
Firefox、ハッキングコンペで使われた脆弱性を修正
Mozilla Foundationは3月17日、Webブラウザ安定版「Firefox 52」のアップデートを公開し、ハッキングコンペ「Pwn2Own 2017」で発覚した深刻な脆弱性を修正した。 Mozillaのセキュリティ情報によると、脆弱性は中国のChaitin Security Research Labが発見した「createImageBitmap()」の整数オーバーフロー問題に起因する。Chaitinは3月16日のPwn2Ownで、この脆弱性とWindowsカーネルの脆弱性を組み合わせてFirefoxのハッキングに成功していた。 脆弱性を修正したFirefox安定版の最新バージョンは「Firefox 52.0.1」となる。延長サポート版の「Firefox ESR 52.0.1」でも同じ脆弱性が修正された。
Firefox、一部のウイルス対策製品の影響でSHA-1対応を一時的に復活 | スラド セキュリティ
Firefox 43で1月1日よりSHA-1を使って署名された新規の証明書のサポートが中止された。しかし、これによって「中間者攻撃的な挙動を行うデバイス」を利用しているユーザーがHTTPSを利用できない状況になったことから、Firefox 43.0.4では一時的にSHA-1を利用する証明書のサポートを復活させることにしたという（ITmedia、Mozilla Security Blog）。 いくつかのセキュリティソフトやウイルス対策ソフトなどが「中間者攻撃的な挙動を行うデバイス」に含まれる模様。こういったソフトウェアはHTTPSで保護された通信内容にアクセスするために独自に作成した証明書を利用するが、その証明書がSHA-1を利用している場合問題が発生するという。
「Firefox」、追跡も遮断する安全モードをテスト開始
米Mozillaは現地時間2015年8月14日、Webブラウザー「Firefox」で新たなプライベートモード「Private Browsing」をテストすると発表した。 新Private Browsingはプレベータ版Firefox（Windows、OS X、Linux向けFirefox Developer Edition、およびAndroid向けFirefox Aurora）で試すことができる。 多くの主要ブラウザーはプライベートモードを提供している。ただデバイスの共有者にオンラインアクティビティをトレースされない「ローカル」な範囲にとどまることが多いと、Mozillaは指摘する。 Mozillaがテストする新たなPrivate Browsingは、履歴やクッキーを残さないだけでなく、ユーザーの行動を記録するのに使われるWebサイト全体の各種エレメントを遮断する。遮断されるエレメントには
無料で容易なHTTPS導入を支援する「Let's Encrypt」、2015年に運用開始へ
ハイテク業界の複数企業が参加する団体は米国時間11月18日、ウェブ上のプライバシーを例外的なことではなく常に考慮すべきものとなるよう支援するある動きを発表した。 ウェブプライバシーは、接続を暗号化し、ウェブページやウェブアプリをホストしているサーバと閲覧用ブラウザの間のネットワークを経由して送られるデータをスクランブルすることで確保される。しかし、サイト運営者にとっては、暗号化された接続を設定する上で必要不可欠な証明書を取得するには、多少の手間と費用がかかる。証明書は、ブラウザにウェブサーバの暗号化を信頼させるデジタルの仕組みを提供する。 ここで登場するのが、「Firefox」ブラウザの開発元であるMozilla、ネットワーク機器メーカーのCisco Systems、インターネットコンテンツ配信業者のAkamai Technologies、デジタル時代の権利擁護団体である電子フロンティア財
Firefox、マルウェア検出機能を強化
Firefox web browser - Faster, more secure & customizable Mozillaは7月23日(米国時間)、「Improving Malware Detection in Firefox｜Mozilla Security Blog」において、これまでGoogleのSafe Browsing Serviceを活用して悪意あるWebサイトを開いてしまう行為を防止してきたが、この機能の適用範囲を拡大し、ダウンロードするファイルに関しても比較を適用し、マルウェアなど悪意あるファイルのダウンロードを防止するようになったと発表した。 またWindowsで動作するFirefox限定となるが、2014年9月にリリースが予定されている次期Firefoxでは、アプリケーションをダウンロードした場合にはそのアプリケーションのシグネチャもチェックするようになるという。
Mozilla、Firefoxにダウンロードファイルの安全性チェック機構導入
Mozilla Foundationは7月23日、Webブラウザ「Firefox」のマルウェア対策機能を強化して、ユーザーがダウンロードしたファイルの安全性を確認する仕組みを実装したと発表した。 FirefoxではGoogleのSafe Browsingサービスを利用し、フィッシング詐欺サイトやマルウェア感染サイトなどの不正サイトを判別して、ユーザーがこうした不正サイトにアクセスするのを防止している。 これまで同サービスで検出できるのは不正サイトのみだったが、Safe Browsingサービスが不正なファイルの検出にも対応したことを受け、7月22日にリリースされたFirefoxの最新版でこの仕組みを導入。ユーザーがダウンロードしたファイルを不正なファイルの一覧と照合して、システムがマルウェアに感染するのを防止できるようになったという。 さらに、9月にリリースされるWindows向けFire
Firefox for Android security issue puts locally stored content at risk
Firefox for Android has an alarming security issue. Developer Sebastian Guerrero Selma has successfully used Firefox to pull data from the storage of an Android device, as well as access the content of privately stored data within the browser. Browser data, such as passwords and other personal information, can be extracted using the ubiquitous file:// syntax. By visiting a site with the malicious
[Security] Vulnerability In Firefox For Android Discovered That Allows Hackers To Steal Files From The SD Card And Firefox's Privately Stored Data [Update]
[Security] Vulnerability In Firefox For Android Discovered That Allows Hackers To Steal Files From The SD Card And Firefox's Privately Stored Data [Update] The security of our mobile apps and private data is a very serious matter. This is particularly true for high value targets like web browsers, which often store login credentials that can be used to access many of the websites we use on a regul
![[Security] Vulnerability In Firefox For Android Discovered That Allows Hackers To Steal Files From The SD Card And Firefox's Privately Stored Data [Update]](https://cdn-ak-scissors.b.st-hatena.com/image/square/01b5b89b88e3e4c3f04b5f036a3074a598562275/height=288;version=1;width=512/https%3A%2F%2Fstatic1.anpoimages.com%2Fwordpress%2Fwp-content%2Fuploads%2F2013%2F09%2Fnexusae0_unnamed24.png)
Firesheep
A Firefox extension that demonstrates HTTP session hijacking attacks. System Requirements Mac OS X: 10.5 or newer on an Intel processor. Windows: XP or newer. Install Winpcap first! Linux: Not currently supported. Firefox: 3.6.12 or newer. 32-bit only. Firefox 4.x beta not supported. Download Download (OS X, Windows) Source Getting Help Discussion Group Bug Reports More Information Blog Slides fro
Tor匿名化サーバに不正コード混入、捜査当局が容疑者割り出しに利用か
FBIの児童ポルノ事件捜査に関連し、Firefoxの脆弱性を突いてTorの秘匿サービスに不正なコードを仕掛けたのではないかとの見方が強まっている。 通信匿名化ツールTorを使ったサービスが、WebブラウザのFirefoxの脆弱性を突いた不正なコードを仕掛けられていたことが分かった。米連邦捜査局（FBI）の児童ポルノ事件捜査に関連して、捜査当局がユーザーを割り出す目的でマルウェアを仕込んだのではないかとの見方が強まっている。 Torのブログによると、8月4日ごろ、サーバを運用できる秘匿サービスのアドレスが、大量にTor Networkから消えているとの情報が匿名で寄せられた。突然サービスが利用できなくなったり、不正侵入されたり、攻撃用のJavaScriptが仕掛けられたりしたという情報が飛び交っているという。 秘匿サービスは、ユーザーが身元を明かさずにサーバを運用し、匿名で情報を交換するなど
高速な新JavaScriptエンジンOdinMonkeyが搭載された「Firefox 22」
Mozillaは、6月26日にFirefoxの新バージョンとなる「Firefox 22」をリリースした。本稿では、インストール手順や新機能などを紹介したい。また、検索結果などを複数の指標使って評価するSafe Previewアドオンを紹介しよう。 Firefox 22のインストール おなじみとなった感もあるが、ここでは手動でアップデートを行おう。手順は、Firefoxメニューの［ヘルプ］→［Firefoxについて］を開くと更新が自動的に開始されるので、［再起動して更新を完了］をクリックする(図1)。 初めて、Firefox 22をインストールする場合、Firefox 22のWebページからインストーラーをダウンロードする(図2)。アップデートは自動的にも行われるが、今回も多くのセキュリティアップデートがある。できれば、早めにアップデートしておきたい。 以降で、Firefox 22の新機能を
Firefox、XSS攻撃防止へ W3Cの仕様に対応
Firefoxがクロスサイトスクリプティング（XSS）やデータインジェクションなどの攻撃を防ぐための「Content Security Policy 1.0」をサポートした。 米Mozilla Foundationは6月11日、Webサイト経由の攻撃阻止を目的とした仕様「Content Security Policy（CSP） 1.0」をWebブラウザのFirefoxに実装したと発表した。 CSPは、クロスサイトスクリプティング（XSS）やデータインジェクションなど、攻撃の常套手段として使われる手口を検出して軽減するために使われる。仕様が確定する前段階のCSPは2011年3月からFirefox 4.0に実装されていた。 2011年11月にはW3CがCSP 1.0の草案を策定し、1年後に勧告候補の段階に到達。GoogleのChromeは2013年にリリースしたChrome 25でこれをサポー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「アバスト」と「AVG」のFirefox拡張機能がアドオンサイトから削除／ポリシーに違反してユーザー情報を収集・送信していた疑い
人気のFirefox拡張機能「Stylish」がポリシー違反でブロック、すべての閲覧履歴を収集か／有志のセキュリティエンジニアによる調査で発覚
http://japan.internet.com/webtech/20131029/6.html
[Security] Firefox For Android Can Be Tricked Into Automatically Downloading And Executing Malicious Code