Windows Update instaluje rozszerzenie do Firefoksa
Przeglądając dziś strony Washington Post znalazłem artykuł, który udowadnia po raz kolejny iż nie warto włączać automatycznych aktualizacji Windows Update.
Aby sprawdzić tą informację zainstalowałem na VirtualBox czystą instalację WindowsXP (mam licencję), doinstalowałem Firefoksa i uruchomiłem aktualizację dla systemu na witrynie Windows Update.
Następnie doinstalowałem Microsoft .NET Framework 3.5, którego obecność w systemie, zarówno Microsoft jak wielu innych producentów programów i gier, wymaga do uruchamiania niektórych swoich produktów w systemie Windows.
Po tej operacji okienko
z rozszerzeniami do Firefoksa pozostaje nadal puste. Uruchomiłem ponownie Windows Update i na liście aktualizacji, na pierwszym miejscu pojawił się Service Pack 1 dla Microsoft .NET Framework od wersji 2.0 do 3.5.
Po tej aktualizacji na liście z rozszerzeniami, nie wiadomo dlaczego, skąd i jakim prawem, bez naszej wiedzy pojawia się dodatek Microsoft .NET Framework Assistant w wersji 1.0. Co ciekawe można go wyłączyć, ale już z odinstalowaniem nie jest tak łatwo. Niby Microsoft umożliwia jego odinstalowanie ale nie w tradycyjnej formie, tylko ręcznie, co związane jest z grzebaniem w rejestrze systemowym – http://support.microsoft.com/kb/963707.
Nie wiem jakie są aspekty prawne, takiej ingerencji w oprogramowanie firm trzecich, czy to w ogóle powinno mieć miejsce. Na stronach z rozszerzeniami do Firefoxa nie znalazłem takiego dodatku. Jednak bezsporne jest zastrzeżenie, że ten dodatek instaluje się bez naszej wiedzy.
Wiem że praktyka ta jest znana już od kilku miesięcy, kiedy to Microsoft wydał SP 1 do Microsoft .NET Framework, mam nadzieję tylko iż publikacja artykułu w Washington Post, wpłynie znacznie na to iż Microsoft zaprzestanie takich działań, zarówno w tym przypadku jak i w przyszłości.
I co w tym dziwnego? Cały Windows jest bez naszej wiedzy, bo nie wiadomo co w środku siedzi. Jeśli chcesz wiedzieć co się wykonuje na Twoim komputerze to nie używaj Windowsa. Ta praktyka nie różni się od innych praktyk stosowanych na Windows Update, bo co za różnica czy to będzie dodatek do Firefoxa czy do Panelu Sterowania?
{{{Security permissions granted: Grants only permissions necessary for the application (more safe)}}}
Kto definiuje jakich uprawnień potrzebuje ta aplikacja ? Twórca aplikacji ? A może decyduje o tym certyfikowany podpis szyfrowy, o którego bezpieczeństwie decyduje użyty klucz szyfrujący (HINT: taki klucz można złamać, certyfikat można przejąć/wykraść ) ?
No bomba.
.
.
{{{Install time registry access: Limited}}}
Eeee sorry, to teraz webowe aplikacje mają dostęp do mojego rejestru ? (nawet jeżeli jest to dostęp limitowany ?) Po co mi takie atrakcje ?
.
.
{{{Security permissions required Internet or Intranet Zone (Full Trust for CD-ROM installation) }}}
1. Hm, czyli jak ktoś włamie się najpierw do mojej lokalnej sieci Intranet, to potem będzie mu łatwiej wrzucić mi wirusa na kompa ?
2. Strony HTML/Instalatory znajdujące się na CD-ROM-ie automatycznie dostają maksymalne uprawnienia ? Naprawdę Zaaaaje-genialne rozwiązanie. Czyli jak otworzę stronę HTML z CD, która będzie miała zainfekowany komponent .NET, to uruchomi się ona bezproblemowo ? Dobrze rozumiem ?
.
Pewnie mógłbym jeszcze tak długo wymieniać.
.
.
Ten dodatek to jest IMHO takie samo dziurawe gówno jak słynny ActiveX. Nie można wprowadzać zbyt dużych uproszczeń w instalacji programów oraz zbyt dużego dostępu do systemu bez zmniejszenia bezpieczeństwa. To jest niewykonalne z definicji. Jeżeli chcesz mieć większe bezpieczeństwo, ceną **ZAWSZE** jest wygoda.
Nawet przy założeniu, że jest bezbłędny, to mamy na myśli dodatek Microsoftu, który do nadaje wysokie uprawnienia uruchamianej przez siebie applikacji.
Przeglądarka internetowa (każda) jest szczególnie narażona na atak bo interpretuje kod/dane bezpośrednio z internetu czyli źródła, któremu nie można ufać.
Podwyższanie uprawnień jakiemukolwiek programowi niesystemowemu a w szczególności przeglądarki lub jej części powinien być karany chłostą 😉
Wszystkie aplikacje użytkowe powinny działać w userspace z uprawnieniami zwykłego użytkownika.
Wiadomo, że podwyższenie uprawnień upraszcza wiele rzeczy, nie trzeba robić warstw pośrednich, można napisać kod szybciej, kod będzie działał szybciej, etc… Ale za to będzie z nim później wiele problemów – w tym problemy z bezpieczeństwem. MS nie potrafi albo nie chce pisać takiego kodu, choć w standardach piszę, że tak się powinno robić ale mimo wszystko ma swoje białe listy z aplikacjami, które mogą podwyższać uprawnienia bez pytania…
Czysta hipokryzja, no ale wolno im, zrobili Windows, ale psucie innych aplikacji to już przesada…
@TheBlackMan:
Code Access Security w .NET jest trochę zagmatwanym tematem (czemu nie pomaga niezbyt logiczne nazewnictwo na poziomie API – np. SecurityActions). Ale to ma ręce i nogi.
W przypadku aplikacji publikowanych za pomocą ClickOnce (czyli 'odpalanych' lub 'instalowanych ze stronki' (obie opcje są możliwe), albo z folderu sieciowego) działa to mniej więcej tak:
Jako twórca aplikacji możesz zadeklarować minimalne uprawnienia potrzebne do uruchomienia twojego programu. Jeżeli twoje żądania nie mogą być spełnione, program natychmiast zgłosi SecurityException. Jest to dobrym pomysłem w przypadku kiedy odmówiono nam jakiś ważnych z punktu widzenia funkcjonalności uprawnień, i nie ma sensu pozwalić programowi się uruchomić (bo i tak dostalibyśmy SecurityException w momencie próby egzekwowania naszych żądań, np. dostępu do lokalnego systemu plików).
Administrator systemu, na którym program ma być uruchomiony, może deklarować 'polisy zaufania' ze względu na pochodzenie kodu. Najczęściej są to po prostu 'strefy': Internet/Intranet/My Computer. Uruchamiany program NIE MOŻE dostać więcej uprawnień niż zadeklarowano w tych polisach.
Przykładowo, jeżeli zażądasz w swoim programie (SecurityAction.RequestMinimum) UIPermission i DnsPermission, a program będzie rozprowadzany poprzez (publiczny) internet, domyślne ustawienia .NET-a nie pozwolą na uruchomienie programu – strefa Internet ma co prawda UIPermission, ale nie ma DnsPermission. Dopiero zmiana sposobu dystrybucji programu (np. przez na firmowy intranet) przyniesie skutek – strefa Intranet ma obydwa potrzebne uprawnienia.
Oczywiście w mocy pozostają również uprawnienia użytkownika, który uruchamia dany program.
I teraz tak:
"Grants only permissions necessary for the application (more safe)" jest rzeczywiscie bezpieczniejsze – oznacza to, że efektywne uprawnienia, które dostanie program, są przecięciem zbioru uprawnień strefy i uprawnień żądanych przez twórcę; innymi słowy, jeżeli strefa zezwala np. na PrintingPermission, ale twórca o nie nie poprosił explicite, to ich nie dostanie
"Security permissions required Internet or Intranet Zone (Full Trust for CD-ROM installation)" – tak, jeżeli ktoś wrzuci złośliwy kod do lokalnego intranetu, ORAZ administrator domeny ustawi głupie polisy bezpieczeństwa z podwyższonymi uprawnieniami dla strefy intranet (np. FileIOPermission dla C:), to możesz mieć wirusa. Z dwoma zastrzeżeniami: 1) nawet poprzez stronę (z intranetu, albo z CD-ROMu), musisz zgodzić się na uruchomienie/instalację programu 2) wszystko jest kwestią zaufania oraz kompetencji admina; admin-ignorant może zepsuć każdy system zabezpieczeń;
Tak więc nie mogę się zgodzić, że cały ten system jest równie dziurawy jak ActiveX. Jeżeli użytkownicy/admini nie będą (dla własnej wygody) podbijali ustawień bezpieczeństwa dla intranetu/internetu, to wszystko ma szansę działać. Z kolei twórcy oprogramowania NIE POWINNI tworzyć programów 'jednorazowo odpalanych ze stronki' (czy to w przeglądarce, czy poza), które wymagają szczególnie wysokich uprawnień. Od tego są instalatory – żeby użytkownik świadomie mógł zdecydować, czy wpuścić taki program na swój komputer, czy nie.
To dosyć ciekawe rozwiązanie. Przypomina UAC/ACL, jednak obecnie zintegrowany z aplikacją. System jednak powinien pokazywać okienko wyjaśniające, co program zamierza robić, a także pytać o hasło w przypadku konieczności podniesienia uprawnień na innego użytkownika.
"VeriSign issued two code-signing certificates that have been found to be fraudulent and could be used to trick users into installing malicious code onto their computers. […] The certificates were issued in January to someone posing as an employee of Microsoft and the certificates bear the name 'Microsoft Corporation'."
W skrócie, po ludzku: W styczniu 2001 roku, VeriSign wystawił dwa lewe certyfikaty do podpisywania kodu.
Łatka łatką, ale to jest wyraźny przykład, że i certyfikatom nie można ufać. Kto wie ile lewych certyfikatów chodzi dzisiaj w obiegu? Tamte po prostu ktoś zauważył.
A co do strefy użytkownika, to jaka jest potrzebna, żeby trojańskim sposobem program wysłał komuś moje hasło do konta bankowego?
jaja by miała, gorzej z funduszami na to i z motywacją – powiedzmy to otwarcie – to tylko mały szczegół całej wielkie ukłądanki którą sądy mają gdzieś.
Tylko, że największy odsetek użytkowników Firefoksa jest na platformie Windows, a Microsoft znowu zaczołby niewiadomo czemu grać wielce poszkodowaną ofiarę. W efekcie, to by wielu użytkowników tej platformy wywiesiło psy na Mozilli nie wdając się w szczegóły.
Determinacja by się znalazła, fundusze może nie, ale są inne drogi – patrz postępowania antytrustowe. Takie zachowanie można podciągnąć pod psucie innej aplikacji: moduł jest potencjalna dziurą, może się okazać, że obniży to bezpieczeństwo tej aplikacji. Firefox jest największym konkurentem IE więc nietrudno jest udowodnić związek. Komisja europejska potrafi przywalić 500M$ kary, nie wiem jak z jej egzekwowaniem, ale sama groźba jest realna.
„Przeglądając dziś strony Washington Post znalazłem artykuł, który udowadnia po raz kolejny iż nie warto włączać automatycznych aktualizacji Windows Update.”
Oczywiście, że nie warto. O wiele lepiej mieć dziurawy system, który łatwo jest wyeksploitować.
Cytujesz i sam nie widzisz co cytujesz – "automatycznych aktualizacji Windows Update". Jeżeli ktoś już używa Windowsa, może go ręcznie aktualizować wybierając poszczególne pakiety. Oczywiście jeżeli wcześniej zdobędzie wiedzę co to oznacza, czemu też mogą służyć takie artykuły.
Przecie w aktualizacjach jest podane co sie instaluje i dlaczego.. warunki umowy licencyjnej MS tez akceptowałeś, wiec nie widzę powodów do oburzenia – przecie każdy użytkownik MS właśnie an to się zgadzał akceptując umowe licencyjną i włączając aktualizacje (podczas pierwszego startu się pyta czy mają być on czy off).
Jak system kontroli uprawien się ciagle pyta czy wolno coś zrobić to źle, a jak sie nie pyta czy zainstalować auktualizacje to też źle – hipokryzja.
No właśnie środowisko open source to ma tyle wspólnego z promowaniem wolności co zeszłoroczny śnieg. Chodzi tylko i wyłącznie o dokopanie MS. I tyle – żadnej ideologii tu nie ma.
@Teodorka:
Skoncentruj się na fragmencie: "(…)artykuł, który udowadnia po raz kolejny iż nie warto włączać automatycznych aktualizacji Windows Update"
To, co napisałeś jest prawdą, ale my tu o czymś innym gadamy. Mianowicie o tym, dlaczego "nie warto". Jeśli ktoś uważa inaczej, to niech sobie włączy. Jak Ci powiem: "nie warto palić papierosy", to czy musisz mnie słuchać? Możesz sobie palić. Ja tylko zasugerowałem, że "nie warto"
@aaa:
No teraz, to mnie zgasiłeś… Instalowanie w moim systemie różnych rzeczy i nawet nie informowanie mnie o tym – to jest dopiero promowanie wolności…
Wszystko fajnie, ale blokowanie możliwości prostego odinstalowania tego rozszerzenia jest bardzo złą praktyką i za to krytyka się należy, bez względu na to jak przydatne jest to rozszerzenie.
Jak niema możliwości? Odinstalowujesz net framework i po sprawie. To trochę tak jakbyś się czepiał, ze Windows aktualizuje WinAPI i nie da się nie korzystać z niego w Firefoksie..
Tak, i pozbądź samego siebie możliwości zainstalowania kilku(nastu) tysięcy programów napisanych pod .NET Framework. To trochę tak jakby odinstalowywać Painta poprzez usuwanie %WINDIR%…
To czemu sie czepiasz ze MS chce by z niego mozna bylo korzystać tez w firefoksie? Dziwne dla mnie .net chciec miec, ale nie w firefoksie.. ale czemu nie?
Ze względu na płynące z tego zagrożenia. Zresztą krytyka musi być zasadna skoro Microsoft, w Windows 7 jak i nadchodzącej aktualizacji dla wersji SP1 "szkieletu" .NET, umożliwi możliwość odinstalowania tego rozszerzenia.
@teodorka: dlatego, że korzystając z komputera użytkownik powinien sam decydować co chce, a czego nie. tak trudno to zrozumieć, naprawdę? no ok – użytkownik się zgodził na licencję i warunki aktualizacji automatycznych… ten artykuł nie jest o tym, że warunki te są złe, ale o tym, że aktualizacje automatyczne warto wyłączyć i wybierać ręcznie co ma się instalować w systemie. ile MS płaci za takie herezje?
Nie pomyślałeś ze dla ZU ma po prostu działać? On nie bedzie grzebał w systemie by to uruchomić, placi za Windowsa i ma działać.
Może w naturze Linuksowców jest ze jak, konfiguracja systemu zajmuje mu mniej niz 2 miesiace, noce nieprzespane by uruchomić grafike, fora zasypane rozpaczliwymi proźbami "czemu mi dźwięk nie działa? pomocy" to dla niego jest to zly system – ale większość nie tego oczekuje.
Dokładnie. Jak ktoś jest na tyle obcykany, że chce sam decydować co ma być instalowane, a co nie, to aktualizuje ręcznie. ZU obchodzi to, żeby działał i nie czuje, że MS odbiera mu jakąś wolność instalując dodatek do FF. Spróbujcie chociaż wejść w skórę nie tyle zwykłych, co normalnych użytkowników komputerów – którzy nie używają ich dla samego używania, ale do konkretnych celów – do pracy i zabawy.
@Memphis nie znam ludzi uruchamiających komputery w innym celu niż podałeś, niezależnie od systemu.
@Teodorka powiedz mi ile czasu zajmuje w windowsie ustawienie dpi na poziomie 85?
wiesz 85 to właściwe dpi dla 15 calowego LCD o proporcjach ekranu 4:3 i rozdzielczości 1024×768. Jak sobie projektuje płytki PCB lubię je mieć prawdziwej wielkości na monitorze (zawsze mogę jakiś element ręcznie przymierzyć). To samo w edytorach tekstu przyłożę sobie kartkę i jest dokładnie tej samej wielkości co ta na monitorze. Może i fanaberia, ale mi jest to potrezbne, a windows nie daje mi tej możliwości nawet po 2 miesiącach nieprzespanych spędzonych na konfiguracji wydawałoby się czegoś tak trywialnego.
No dobrze. Nie można tego jednak kojarzyć z aktualizacjami automatycznymi. Nie ważne, co jest w licencji. To coś nie łata żadnego błędu, nie poprawia działania systemu, a dodatokowo infekuje programy firm trzecich. Microsoft mógłby udostępnić to coś, jako dodatek/plugin do Firefoksa i wszyscy byliby zadowoleni.
Analogia jest prosta. Włożyć Ci na tylnie siedzenie auta łóżko, którego nie będziesz mogła usunąć? Nie chcesz? Dlaczego? Przecież dostajesz to za darmo, a w dodatku rozszerza funkcjonalność samochodu, co miałaś zagwarantowane w umowie zakupu? Żeby cała twoja rodzina mogła z tobą jeździć kupisz kolejny samochócd, a mąż zda prawo jazdy.
Stare! (z początku roku)Ale skoro słynna gazeta się wypowiada to może coś się ruszy w tej sprawie.
Firefox powinien dodoać poprawkę bezpieczeństwa usuwającą ten dodoatek i nie pozwalającą zainstalować się ponownie
Za http://startupearth.com/2009/05/31/microsoft-sabo…
This update adds to Firefox one of the most dangerous vulnerabilities present in all versions of Internet Explorer: the ability for websites to easily and quietly install software on your PC(…)
Rownerz skype wrzuca na sile taka wtyczke, oraz Google i JRE o czym wspominales. Problem jest taki ze mozna zablokowac mozliwosc odinstalowania wtyczki, a cos takiego ine powinno miec miejsca. W tym momencie takie wtyczki to zwykly malware.
Dokladnie tak. I do tego to, co robili inni producenci dawno przed MS, ale dopiero jak MS cos takiego zrobil, to pewne "obiektywne" srodowiska sie obudzily na problem, ktoremu winny jest producent przegladarki. Ciekawe…
Dokładnie tak. Właśnie zainstalowałem JDK na jakimś świeżym kompie i znienacka pojawiało się rozszerzenie do FF… Nikt nigdzie o nic nie pyta. W takim razie czemu news of the day dotyczy tylko MS?
Założeniem powyższego twierdzenia jest to, że masz roota (; Przecież w windzie też może być krok pośredni w postaci admina (oczywiście pomiędzy systemem a Tobą (; ).
Windowsy z natury skanują, defragmentują, instalują, restartują, indeksują, updatują, (super)prefetchują, zarządzają prawami dostępu do mediów cyfrowych, wrzucają do traya, wyskakują jako popupy, mielą, mulą i ch…. wie co tam jeszcze.
Zawsze jak odpalam jakiś system z tej rodziny to mam wrażenie, że komputer zaczyna, żyć własnym życiem – w rytm poprzękiwania hdd według jakiejś pokrętnej MSowtowej logiki.
Szczególnie po dłuzszym okresie nie uruchamiania te wszystkie antywirusy, firewalle, centrum bezpieczeństwa, windows update, aktualizatory drukarki, adobe readera ożywają, walczą ze sobą nawzajem o zasoby komputera. Czasami żałuję, że nie mamy w biurze beskofeinowej na kolejny kubeczek w międzyczasie.
Zaryzykowałem i używam ext4, utraty danych nie miałem. Testowałem robiąc twarde resety. Raz mi wyskoczył uszkodzony system plików, ale sam się naprawił i nic się nie straciło.
Ale po co wspominać? Lepiej walnąć nowinkę jaki to MS zły i jejkujejku…. Niektórzy mają takie ideolo, że się lubią co jakiś czas bezsensownie czepiać….
zapewne, jednak w takiej sytuacji nie widzę sensu istnienia opcji aktualizacji w Firefoksie, skoro w vista robi się to o ile mnie pamięć nie myli z 'mojego komputera', a xp nie ma być za długo wspierany.
Tak ale dochodzi też kwestia innych aplikacji ClickOnce:) A jak ktoś nie bedzie miał, IE to ich nie zainstaluje – a na co komu system w którym nie moze zainstalować programów?
sprawa z tego co widzialem odbila sie szerokim echem w chwili odkrycia; jednak to nie windows update a sam pakiet .NET instaluje ta wtyczke, wiec… tytul jest mylacy.
nie tylko MS ma taki grzech na sumieniu; google rowniez pakowalo (nie wiem jak jest teraz, z chrome przerzucilem sie srware iron) wtyczke do swojego updatera. ostatnio nawet GG Network przy instalacji najnowszej wersji swojego komunikatora (nie wiadomo co ta wtyczka dokladnie robi, byc moze dostarcza informacji o stanie komunikatora stronom internetowym, tak jak Yahoo! Application State Plugin, lub jest rozszerzeniem geolokacji – chociaz to raczej mniej prawdopodobne).
nie mam nic przeciwko takim dodatkom o ile podczas instalacji danego programu pojawia sie wyrazna informacja, ze cos oprocz samego programu zostanie zainstalowane cos jeszcze, o ile bede mogl w kazdej chwili swobodnie odinstalowac nieproszonego goscia.
sprawa z tego co widzialem odbila sie szerokim echem w chwili odkrycia; jednak to nie windows update a sam pakiet .NET instaluje ta wtyczke, wiec… tytul jest mylacy.
Przeczytaj uważnie, początek. Sam pakiet nie instaluje wtyczki, tylko Windows Update podsuwa Service Pack do przed chwilą zainstalowanego pakietu .NET.
Ale to troche wina samej Mozilli nie uwazasz? Ze zrobila przegladarke, do ktorej dala mozliwosc instalowania wtyczek, ale jakos "zapomniala" ze niektorzy chcieli by je latwo usunac, a taka opcje da sie zablokowac.
zainstalowałem na VirtualBox czystą instalację WindowsXP (mam licencję) — Czy aby licencja na XP nie zabrania wirtualizacji? Kojarzę że było coś takiego.
Autor newsa zapomniał dodać, że w Windows 7 nie trzeba grzebać w rejestrze i dodatek można usunąć normalnie z Firefoksa tak jak każdy inny plug-in, co zresztą jest opisane w artykule z KB Microsoftu podanym w tym newsie (You can uninstall the .NET Framework Assistant by using the Firefox Add-ons menu in Windows 7).
Ale czytałeś w ogóle ten artykuł na stronach MS czy masz już odruch warunkowy na samą nazwę Microsoft? W SP1 dla .NET Framework będzie już opcja deinstalacji plug-inu poprzez Firefoksa.
Bezczelny MS instaluje cos w oprogramowaniu firm trzecich. Za to UE jest fajna, bo zakaze MS instalowania w swoim systemie jego wlasnej przegladarki. No ludzie, sam korzystam z linuksa, ale do szalu mnie doprowadzaja takie niekonsekwencje ( zwlaszcza, gdy ograniczaja wolnosc tworcow ) . A przeciez nikt nikomu nie kaze instalowac tego nieszczesnego windows.
Podobają mi się niektóre komentarze. Autor napisał, że MS bez zgody użytkownika i w tajemnicy przed nim, instaluje dodatek do nieswojego programu, którego w dodatku nie da się usunąć w tradycyjny sposób. W odpowiedzi przeczytał: a po co w ogóle chciałbyś to usuwać? A w ogóle to ciesz się, że ci coś instalują bo mogliby nie!
Ten dodatek Microsoft .NET Framework Assistant wskakuje także, gdy instaluje się środowisko .NET.
I oczywiście chamstwem jest brak możliwości odinstalowania tego "dodatku" do Firefoxa.
Co ciekawe, w samym dodatku jest opcja "Monitoruj przed uruchamianiem aplikacji ClickOnce", ale jest wyłączona.
Just wish to say your article is as astonishing. The clarity in your post is simply cool and i could assume you’re an expert on this subject. Well with your permission let me to grab your RSS feed to keep up to date with forthcoming post. Thanks a million and please keep up the rewarding work.
I am extremely impressed with your writing skills and also with the layout on your weblog. Is this a paid theme or did you modify it yourself? Anyway keep up the excellent quality writing, it’s rare to see a nice blog like this one today..
Dodaj komentarz