1. InFormEnter http://forum.mozilla-russia.org/viewtopic.php?id=21870. Очень удобно заполнять поля веб-форм. Не путаешься, все логины и пароли под рукой.
2. Secure Login http://forum.mozilla-russia.org/viewtopic.php?id=16089.
Отключение автозаполнения форм регистрации предотвратит злоумышленную кражу регистрационной информации специально созданным JavaScript-кодом. Это позволяет быть уверенным, что никакая регистрационная информация из форм не будет украдена.
3. Sxipper https://addons.mozilla.org/ru/firefox/addon/4865.
Заполните форму в считанные секунды. Sxipper делает взаимодействия с Web путем простого отслеживания неограниченного числа пользователей, паролей и личной информации, таких как имя, адрес, номера телефонов и т.д. представляя как вам это нужно, Sxipper надежно хранит персональные данные на вашем компьютере.
4. Autofill Forms https://addons.mozilla.org/ru/firefox/addon/4775
Легкая настройка с помощью простого интерфейса. Заполняет веб-формы всего одним щелчком мыши или комбинации клавиш.
5. iMacros for Firefox https://addons.mozilla.org/ru/firefox/addon/3863
Если Вам нравится браузер FireFox, но вы устали от повторяющихся задач, таких как посещение сайтов, заполнение форм и запоминание паролей, тогда iMacros для FireFox является решением, о котором вы мечтали. iMacros был разработан для автоматизации рутинных действий при работе в Интернет.
Почитал и тех и других, но, видимо, кто с чем привык работать.
Подскажите, пожалуйста, какое из этих расширений наиболее соответствует разделу "Приватность и защита"? Спасибо 
dreamkz
Secure Login
Долго пользовался Sxipper'ом, но так и не осилил всех его примочек. Аддон хороший, но без перевода. А наворотов там много.
Компетентно Вам отвечаю - ни ОДНО из приведенных выше дополнений не соответствует разделу "Приватность и защита"!
Все они ХРАНЯТ Ваши критичные персональные данные (в частности - связки "логин + пароль") на компьютере в соответствующих базах данных, что является огромной дырой в безопасности!
Под приватность и защиту подпадают такие дополнения как NoScript, AdBlock Plus, Web of Trust, Customize Google (последнее не дает опознавать Вас и отслеживать Ваши действия не в меру любознательному Гуглу) и так далее...
Зайдите на АМО и откройте соответствующий раздел.
отслеживать Ваши действия не в меру любознательному Гуглу)
Вот чего к Гуглу прилепились на счет этого? Как-будто тот же Яндекс так не поступает. Это хлеб почти всех поисковых систем, но только Гугл это открыто признает.
Только потому что я привожу в пример дополнение Customize Google и описываю - для чего оно нужно... Ничего личного!
Notanial, мне тоже Secure Login показался наиболее юзабельным.
68agasfer, у Sxipper-а много интересных фишек, но, действительно, очень жаль что он не переведен до сих пор. Может кто-нибудь возьмется?
Компетентно Вам отвечаю - ни ОДНО из приведенных выше дополнений не соответствует разделу "Приватность и защита"!
Нда, ну не в ручную же каждый раз вводить все формы? Неужели нет никакого решения?
Под приватность и защиту подпадают такие дополнения как NoScript, AdBlock Plus, Web of Trust, Customize Google ...
Я имел в виду только способы хранения и заполнения форм и паролей. А так - да, согласен.
Может кто-нибудь возьмется?
Я пытался подымать этот вопрос пару раз - не хотят! 
Отвечают: "Там слишком много текста"
Неужели нет никакого решения?
Нет, к сожалению, никакого решения нет.
Более того, если кто-то лично Вас будет убеждать, что расширение ХХХ "надежно хранит ваши пароли и не позволяет злоумышленнику похить их" - знайте, что это т.н. "Ханаанский бальзам".
Вот, кстати, интересная ссылка по этому поводу на русскоязычном сайте поддержки PGP / GnuPG:
http://www.pgpru.com/biblioteka/statji/ … ijjbaljzam
Автор - признанный классик в области стойкого крипто Брюс Шнайер.
dreamkz
Самый надёжный вариант - Firefox Portable в криптоконтейнере на флешке (флешка в депозитной ячейке в банке)
Самый надёжный вариант - Firefox Portable в криптоконтейнере на флешке (флешка в депозитной ячейке в банке)
И это моя ОСНОВНАЯ ИДЕЯ! :-)
Rosenfeld
Вы забыли добавить в примечания пункт, что данные можно извлечь методом терморектального криптоанализа!
Основная теорема терморектального криптоанализа — время, необходимое для дешифрования сообщения не зависит от алгоритма шифрования и длины ключа.
Rosenfeld
Именно! :-)
22-07-2009 23:57:10
Вот чего к Гуглу прилепились на счет этого? Как-будто тот же Яндекс так не поступает.
Кстати, коллеги, использование почтовых функций всех поисково-почтовых систем БЕЗ применения ассиметричного шифрования при помощи Gnu PG и без участия SSL-TLS-соединения - само по себе огромнейшая и зияющая дыра в безопасности. Только почему-то никто не хочет себе отдавать в этом отчета!
Между тем, в дополнении Enigmail, специально разработанном для Thunderbird, по идее может разобраться даже школьник.
Основная теорема терморектального криптоанализа — время, необходимое для дешифрования сообщения не зависит от алгоритма шифрования и длины ключа.
использование почтовых функций все поисково-почтовых систем БЕЗ применения ассиметричного шифрования при помощи Gnu PG и без участия SSL-TLS-соединения
а как же простым смертным обеспечить это ассиметричное шифрование? 
Между тем, в дополнении Enigmail, специально разработанном для Thunderbird, по идее может разобраться даже школьник.
Я вот тоже разобрался, но только мало кто из собеседников использует как сам Thunderbird, так и шифрование почты... Так что это та ещё морока.
Rosenfeld, спасибо за столь подробное описание. Многое уже удалось реализовать. Однако в случае с Мирандой постоянно возникали проблемы с подключением, зависания, и т.п. Хотя очень хороший клиент, функциональный. Но не ладится - как с чистым дистрибутивом, так и с различными сборками. Возможно, дело ещё и в качестве связи. Стало быть, пункт 20 тоже вряд ли прокатит. А по пунктам 11-12 ссылочками не богаты, случайно? Можно в Л.С. А то ведь без надёжного почтового и Jabber-сервиса почти все остальные пункты не работают. Я видел только mail2web, не очень удобно, и были проблемы с кириллицей.
Браво, Rosenfeld!!!
Могу только сказать одно и без сарказма. Весь этот пошаговый (20 пунктов) мараз., пардон, инструктаж нужен только в том случае если Вы занимаетесь, ну мягко говоря не совсем законными вещами или ну очень большими гос.проблемами (но в этом случае будет кому беспокоится о безопасности). Я в своё время увлекся идеями господина Шнайера и пытался раздавать своим друзьям и коллегам открытые части ключей и соответствующий софт. Догадайтесь с трех раз, чем это закончилось?
Но если немного не по теме, то у меня к Вам вопрос. Насколько спокойно можно спать, пользуясь PayPal-ом, я нигде не нашел методы вскрытия их алгоритмов, наверно плохо искал.
С уважением...
инструктаж нужен только в том случае если Вы занимаетесь, ну мягко говоря не совсем законными вещами или ну очень большими гос.проблемами
Думаю, это вполне необходимые меры безопасности, хотя их не совсем просто реализовать. Не стоит позволять кому-то вот так запросто собирать на себя досье. Не такая уж редкость в наше время - разговоры в затонированных иномарках с пожеланиями счастливого пути, и не лезть туда, куда не следует. Режим может измениться, и тогда то, что сегодня - безобидная гласность, станет тем, за что с тех, кто был "на заметке", спросят.
в случае с Мирандой постоянно возникали проблемы с подключением, зависания, и т.п. Хотя очень хороший клиент, функциональный. Но не ладится - как с чистым дистрибутивом, так и с различными сборками. Возможно, дело ещё и в качестве связи.
Расскажу про свой личный опыт.
Миранда (у меня) зарекомедовала себя как исключительно надежный и стабильный клиент.
Осмелюсь лишь предположить, что у Вас был (на момент Ваших экспериментов) либо попросту несчастливый день, :-) либо Ваши опыты проводились на основе использования проприетарного протокола OSCAR, на котором базируется ICQ (угадал?), :-) либо совпали сразу несколько неблагоприятных составляющих, которые еще и попали на тот период, когда AOL - фактический владелец ICQ - в очередной раз поменял спецификацию протокола, чтобы "отсечь" сторонние IM-клиенты...
А теперь я Вас немножко обрадую - в ближайшее время планирую создать свою собственную сборку Miranda Portable - аналогично Rosenfox Portable (см. ссылку на него в моей подписи), которая максимально была бы ориентирована на безопасность конечного пользователя... Когда выложу и немного переделаю свой сайт - обязательно сообщу об этом в разделе "Программы и ОС"... Устроит? :-)
А по пунктам 11-12 ссылочками не богаты, случайно?
Лично я никогда не люблю ничего навязывать и всегда стою за свободу личного выбора.
Поэтому смотрите сами:
http://www.jabberes.org/servers/
Основной принцип - выбирайте сервер, находящийся НЕ на территории страны Вашего проживания (ну и обращайте внимание на стабильность работы) - это последняя колонка, называется - % Uptime. Если хотите общаться с пользователями других протоколов - смотрите также, поддерживает ли их выбранный Вами сервер.
Лично я (открою небольшой секрет) использую tf-network.de
По поводу выбора почтового сервиса см. тему ниже (чтобы я не повторялся).
Ключевое слово здесь опять же -"удаленность":
https://www.pgpru.com/forum/praktichesk … yjjjaschik
Когда-то я использовал израильский сервер Safe-mail.net (пока там не закрыли свободный доступ по SMTP). Там было всего ТРИ мегабайта на free-пользователя, но просто зверские и параноидальные настройки безопасности.
To Phoenix.
Я с Вами совершенно согласен, глупо спорить с очевидным. Я говорю о том, что я не смог ни одного человека заставить пользоваться данными методами безопасность, смотрят (смотрели) на меня как на новые ворота, плюнул и забыл, а без обратной реакции тех, с кем необходимо работать, общаться всё это превращается в пшик.
С уважением...
нужен только в том случае если Вы занимаетесь, ну мягко говоря не совсем законными вещами или ну очень большими гос.проблемами
Исключено. Ни первое, ни второе. :-)
Это для меня просто естественные вещи (ну, с некоторыми допусками и послаблениями)...
Вы же чистите зубы по утрам и не держите эту меру профилактики здоровья своих зубов за маразм? :-)
Насколько спокойно можно спать, пользуясь PayPal-ом
Честно скажу - не знаю, ибо некомпетентен!
У меня даже нет электронной кредитной карточки (когда на работе стали выдавать всем поголовно, то я отказался)... Сейчас когда коллеги стоят по жаре в огромной очереди в банкомат (в котором постоянно кончаются деньги), то я спокойно получаю зарплату наличными в безлюдной прохладной кассе. :-) Кроме всего прочего, электронные платежи замечательным образом отслеживаются, а зачем мне это надо? :-)
... Слышали что-нибудь о движении "шифрпанк" - народ решительно отказывается пользоваться деанонимирующими электронными платежными средствами и удостоверениями личности, мобильной связью и т.п. По-моему, это как легально, так и разумно.
См. по теме:
http://en.wikipedia.org/wiki/Cypherpunk
http://ru.wikipedia.org/wiki/Криптоанархизм
23-07-2009 01:42:48
Весь этот пошаговый (20 пунктов) мараз., пардон, инструктаж
Добавил выше еще один пункт :-)
21. Никогда не храните пароли при помощи штатных средств прикладных программ. Используйте только KeePass Portable, причем сам он должен быть расположен в криптоконтейнере. В дополнение к мастер-паролю применяйте систему ключевых файлов.
.....А то ведь без надёжного почтового и Jabber-сервиса почти все остальные пункты не работают
Phoenix да вот хоть японский > jabber.jp
23-07-2009 01:48:08
.....то я спокойно получаю зарплату наличными в безлюдной прохладной кассе. :-)
Rosenfeld вот она, реальная польза от прогресса
У меня даже нет электронной кредитной карточки (когда на работе стали выдавать всем поголовно, то я отказался)... Сейчас когда коллеги стоят по жаре в огромной очереди в банкомат (в котором постоянно кончаются деньги), то я спокойно получаю зарплату наличными в безлюдной прохладной кассе. :-) Кроме всего прочего, электронные платежи замечательным образом отслеживаются, а зачем мне это надо? :-)
Счастливый Вы человек, у нас на работе отказ от карты не прокатил бы ни в какую, есть такое понятие- политика компании.
Да, и ещё: есть вещи, которые Вы просто не сможете сделать, не имея карты!!!
С уважением...
Счастливый Вы человек, у нас на работе отказ от карты не прокатил бы ни в какую, есть такое понятие- политика компании.
Как ни странно - у нас тоже, только я работаю на государство, но хрен редьки не слаще! Однако человек 50 из нескольких тысяч нашли в себе силы отказаться...
Да, и ещё: есть вещи, которые Вы просто не сможете сделать, не имея карты!!!
А я их и не делаю! Нет желания! :-)
Помните, тост в "Кавказской пленнице" (дословно не помню уже): "Имею желание купить овцу, но не имею возможности. Могу купить козу, но не имею желания. Так выпьем же за то, чтобы наши желания совпадали с нашими возможностями"...
А я их и не делаю! Нет желания! :-)
+1
Rosenfeld по поводу 3 пункта: стандартный лис не катит чтоли?
Такто такая защита действительно мало кому нужна, особенно если какойто особо важной информации не хранится. Лично мне хватает нативира, фаервола и KeepPass
Моя личная парольная фраза к криптоконтейнеру, который я использую постоянно, состоит из (только что пересчитал!) 34 символов, включая буквы в верхнем и нижнем регистрах, пробелы, цифры и служебные символы. На самом деле, он представляет из себя отнюдь не осмысленную фразу (отдельные слова которой, используя метод поиска по словарям, третья (атакующая) сторона могла бы подобрать), но (...) на одном из восточно-азиатских языков. Скорость набора этих символов составляет приблизительно 10 секунд (настолько привыкли пальцы).
По поводу "не-помню-уж-сколько-битный файл-ключ" - честно говоря, Вы немножко напутали. Ключевой файл (файлы) к криптоконтейнеру могут быть в любом формате - допустим, это может быть эротическая фотография Вашей любимой девушки, файл Вашей любимой песни и т.п. Вам не нужно ничего знать о их "битности" и т.п. - самое главное: запомнить их название и местонахождение.
Эти файлы Вы можете хранить где угодно, на любом носителе, даже в интернете....
Их можно комбинировать друг с другом, главное что Вы должны запомнить - их НЕЛЬЗЯ как-то видоизменять!
Кроме всего прочего, ТС может самостоятельно генерировать рандомные ключевые файлы.
23-07-2009 10:55:49
Такто такая защита действительно мало кому нужна, особенно если какойто особо важной информации не хранится.
Приватность в век постоянного хранения данных
Опубликовано в BBC news Techlab
© Брюс Шнайер
Перевод © 2009 unknownДобро пожаловать в будущее, когда всё о вас сохраняется. В будущее, где все ваши действия записываются, ваши перемещения отслеживаются во времени и пространстве, а ваши разговоры не являются более эфемерными (забываемыми спустя короткое время). Это будущее принесла вам не какая-нибудь антиутопия в духе "1984-ого", а естественные тенденции компьютеров к производству данных.
Данные – это загрязнение информационного века. Это натуральный побочный продукт для каждого взаимодействия, производимого при помощи компьютеров. Они сохраняются вокруг нас навсегда, пока кто-то не удалит их. Они могут представлять ценность при повторном использовании, но это должно делаться с осторожностью. Иначе их побочный эффект будет токсичным.
Всего лишь сто лет назад люди игнорировали загрязнение в нашей гонке построения Индустриального Века, сегодня мы игнорируем данные в нашей гонке построения века информационного.
Всё в большей мере вы оставляете цифровые следы каждый свой день. Раньше вы заходили в книжный магазин и покупали книгу за наличные. Сегодня вы посещаете торговый портал Amazon и все ваши просмотры и покупки записываются. Вы пользовались мелочью для покупки билетов на поезд, сейчас ваша электронная карта проезда связана с вашим банковским счётом. Посещаемый вами магазин использует аналогичные карты для предоставления скидок, продавцы используют данные из них для изучения детальных профилей предпочтений покупателя.
Данные о вас собираются, когда вы делаете телефоный звонок, посылаете сообщение электронной почты, используете кредитную карту или посещаете вэб-сайт. Национальные идентификационные карты только обостряют эту проблему.
Всё больше компьютеризированных систем наблюдают за вами. Камеры наблюдения повсеместны в некоторых городах, и, со временем, технология распознавания лиц сможет индентифицировать личности людей. Автоматические сканеры автомобильных номерных знаков отслеживают передвижные средства в городах и парковках. Цветные принтеры, цифровые камеры и некоторые фотокопировальные машины имеют средства для встраивания идентификационных кодов. Наблюдение с воздуха используется в городах для нахождения зданий, нарушающих нормы регулирования и продавцами, интересующимися размером вашего дома или сада.
Как только безконтактные радиочипы (RFID) станут более распространёнными, они тоже будут отслеживаться. Вас уже можно отследить по вашему сотовому телефону, даже если вы никогда не делали по нему звонка. Это массовая слежка: не по принципу "следуем вот за тем автомобилем", а "следим за каждым автомобилем".
Компьютеры хорошо подходят для проведения переговоров. Разговоры друг с другом при личной встрече эфемерны. Но спустя годы телефонные компании могут знать с кем вы говорили и как долго, только пока не то, что вы сказали. Сегодня вы используете чаты, электронную почту, текстовые сообщения, сайты социальных сетей. Ваш блог и портал Twitter. Эти разговоры – с семьёй, друзьями и коллегами могут быть записаны и сохранены.
Может быть сохранять эти данные очень дорого, но компьютерная память сегодня становится дешевле. Также дешевеет и компьютерная вычислительная мощность, всё больше данных подвергаются перекрёстному индексированию и корреляции и используется во вторичных целях. То что раньше было эфемерным, сейчас становится постоянным.
Кто собирает и использует эти данные зависит от местных законов. В США их собирают корпорации, они же затем покупают и продают большинство этой информации в маркетинговых целях. В Европе больше чем корпорации, сбором данных занимаются власти. На обоих континентах правоохранительные органы хотят получить как можно больший доступ к этим данным как для расследований, так и для профилирования на основе данных.
В зависимости от страны, больше организаций собирают, хранят и делятся большим числом из этого.
То ли ещё будет. Кейлоггеры – программы и аппаратные устройства уже могут записывать всё что вы печатаете; пройдёт всего несколько лет и уже можно будет записывать всё сказанное вами по мобильным телефонам.
"Лайф-рекордер", который вы можете прицепить себе на лацкан может записывать всё, что вы видите и слышать всё что находится неподалёку. Он будет продаваться как устройство обеспечения безопасности, на случай если на вас кто-то нападёт, чтобы это было всегда записано. Если это произойдёт, не случится ли так, что отказ надевать этот "записыватель жизни" будет использоваться в качестве свидетельства, что человек замышляет что-то нехорошее, как уже сейчас обвинители используют в суде факт того, что кто-то оставил дома свой сотовый телефон, как свидельство того, что человек не хотел быть выслежен?
Вы живёте в уникальном времени истории: технологии уже здесь, но они ещё не взаимоувязаны между собой. Проверки идентификации – обычное дело, но вы всё ещё показываете своё удостоверение личности. Скоро это будет происходить автоматически, наподобие автоматического опроса чипа в вашем кошельке на расстоянии или распознавания вашего лица камерой слежения.
Все эти камеры, сейчас видимые, будут размещаться во всё большем числе точек, где-бы вы не хотели их видеть. Эфемерные разговоры исчезнут и вы будете думать, что это нормально. Ваши дети уже живут более публичной жизнью, чем вы. В вашем будущем нет никакой приватности, не только из-за тенденций властей создавать полицейское государство или преступных действий корпораций, а просто потому что компьютеры по своей природе производят данные.
Кардинал Ришелье сказал знаменитую фразу: "Если кто-то даст мне шесть строчек, написанных рукой самого честнейшего человека, я найду в этом что-нибудь, за что его можно повесить". Если все ваши слова и действия будут сохранены для последующего рассмотрения, к ним могут быть применены другие правила.
Общество работает как отлаженный механизм, поскольку переговоры эфемерны; поскольку люди имеют свойства забывать и потому что им не надо оправдываться за каждое произнесённое слово.
Разговоры – это не тоже самое, что корреспонденция. Слова, произнесённые за утренним кофе, во время разговора в кафе или по коммуникатору BlackBerry – это не официальная корреспонденция. Образцы данных, показывающие "склонность к терроризму" не могут подменить собой настоящее расследование. Мы постоянно всё глубже разрушаем наши социальные нормы; это становится всё более отвратительным.
Приватность – это не только право всего-лишь спрятать что-то; это базовое право, которое имеет огромную ценность для демократии, свободы и нашей человечности.
Мы не можем остановить марш технологий, как мы не можем отменить изобретение автомобиля или сжигание угля. Мы истощали запасы природных ископаемых во времена индустриального века, что привело к загрязнению и изменило наш климат. Сейчас мы работаем над тем чтобы делать из этого выводы (при том, что мы до сих пор, естественно, используем ископаемое горючее).
Стоит только оглянуться назад на начало предыдущего века и покачать головой, сожалея о том, как люди игнорировали загрязнение, которое они вызывали; будущие поколения также оглянутся на нас – живущих в первые десятилетия информационного века и осудят наши решения, связанные с неограниченным ростом производства данных.
Мы все вместе должны начать обсуждение этих глубоких социальных изменений и того, что они значат. И мы должны найти способ создать будущее для наших внуков, которым можно было бы гордиться.
От себя добавлю: такие вот утверждения "мне нечего скрывать" я слышу практически каждый день.
Однако даже если на остановке общественного транспорта к Вам на расстояние менее одного метра подойдет посторонний человек и будет в упор разглядывать Вас (а тем более - явно вытащит диктофон и будет записывать Ваш (ничего не значащий!) разговор с другом и фотографировать Вас на мобильный телефон - то я на СТО ПРОЦЕНТОВ уверен, что Вы забеспокоитесь и будете явно протестовать!
А в чем, собственно говоря, дело, почему Вы беспокоитесь - ведь Вам, по Вашему же утверждению, НЕЧЕГО СКРЫВАТЬ! :-)
... А если кто-то будет стоять у Вас под окнами первого этажа (просто стоять, держа наготове документирующую аппаратуру) - Вы будете выражать свой протест или нет? А если Вы увидите, появившись утром на работе, что Ваш кабинет вскрыт и кто-то сидит и преспокойно читает Ваши "абсолютно безобидные" бумажные открытки: "Привет, моя дорогая, с днем рождения!" - как Вы к этому отнесетесь? :-)
Ключевой файл (файлы) к криптоконтейнеру могут быть в любом формате - допустим, это может быть эротическая фотография Вашей любимой девушки, файл Вашей любимой песни и т.п. Вам не нужно ничего знать о их "битности" и т.п. - самое главное: запомнить их название и местонахождение.
Rosenfeld
есть даже расширение ObPwd
23-07-2009 18:54:36
На самом деле, он представляет из себя отнюдь не осмысленную фразу (отдельные слова которой, используя метод поиска по словарям, третья (атакующая) сторона могла бы подобрать), но мантру на одном из восточно-азиатских языков.
есть даже расширение ObPwd
Исключено. Это дополнение базируется на SHA-1.
Взломан алгоритм хэширования SHA-1
SHA-1 взломан. Не вариант с сокращённым количеством раундов. Не упрощённый вариант. Реальный алгоритм.
Исследовательская команда Сёюн Ван (Xiaoyun Wang), Икюн Лизы Ин (Yiqun Lisa Yin) и Хонбо Ю (Hongbo Yu), в основном представленная сотрудниками Шандонгского китайского университета, распространила по неофициальным каналам документ с результатами своей работы: (удалены технические подробности).
Атака базируется на предыдущих успешных атаках на SHA-1 и SHA-0 и представляет собой значительное, очень значительное криптоаналитическое достижение. Можно сказать, что эта атака всадила последнюю пулю в SHA-1 как хэш-функцию для цифровых подписей (правда, она не затрагивает другие области применения, такие, как HMAC, где коллизии труднее реализуемы).
http://www.pgpru.com/novosti/2005/0216v … vanijasha1Источник: Блог Брюса Шнайера
Причем эта новость еще 2005 или 2006 г.
Так что для генерирования надежных криптостойких паролей используйте встроенные функции KeePass. Если честно, уже не помню, есть ли такая функция в самом детище Брюса Шнайера - Password Safe...
а существует такой addon, который хранит пароли от ff у себя в зашифрованном виде? т.е. даже если кто-то украдет профиль от ff, он не сможет расшифровать файл в паролями. это типа альнернатива стандартному saved passwords в ff.
Это реализовано стандартными средствами:
спасибо
LastPass Password Manager 1.51.2 https://addons.mozilla.org/ru/firefox/addon/8542
Описание:
LastPass является бесплатным онлайн менеджером паролей и заполнителем форм, что делает ваш браузер более простым и безопасным. LastPass поддерживается IE и Firefox в качестве плагина (Opera, Safari, хром, iPhone, Opera Mini через Bookmarklets), позволяет импортировать пароли, также осуществляет хранение и экспорт, захватывает пароли, что другие менеджеры не делают, в том числе AJAX формы и позволяет легко генерировать надежные пароли .
можно прокомментировать это расширение? и вообще что значит онлайн менеджер?
спасибо!
Это значит, образно выражаясь, что Вы кладете ВСЕ свои личные ключи: от сейфа, кабинета, машины, квартиры, дачи, пояса целомудрия Вашей жены в один кошелечек, запираете его своим ключиком и отдаете кошелечек чужому, абсолютно незнакомому дядечке на хранение. Который, в свою очередь, обязуется при необходимости, передавать Вам ключики для пользования из любого места, где бы Вы не находились.
О кошелечке и ключике к нему см. здесь:
https://lastpass.com/technology.php
О дядечках см. здесь:
https://lastpass.com/aboutus.php
Вот, читайте внимательно, это крайне важно:
Website Visitors
Like most website operators, LastPass collects non-personally-identifying information of the sort that web browsers and servers typically make available, such as the browser type, language preference, referring site, and the date and time of each visitor request. LastPass' purpose in collecting non-personally identifying information is to better understand how LastPass' visitors use its website. From time to time, LastPass may release non-personally-identifying information in the aggregate, e.g., by publishing a report on trends in the usage of its website.
LastPass also collects potentially personally-identifying information like Internet Protocol (IP) addresses. LastPass does not use such information to identify its visitors, however, and does not disclose such information, other than under the same circumstances that it uses and discloses personally-identifying information, as described below.
Gathering of Personally-Identifying Information
Certain visitors to LastPass' websites choose to interact with LastPass in ways that require LastPass to gather personally-identifying information. The amount and type of information that LastPass gathers depends on the nature of the interaction. For example, we ask visitors who sign up for an account at LastPass.com to provide a user-name and email address. Those who engage in transactions with LastPass are asked to provide additional information, including as necessary the personal and financial information required to process those transactions. In each case, LastPass collects such information only insofar as is necessary or appropriate to fulfill the purpose of the visitor's interaction with LastPass. LastPass does not disclose personally-identifying information other than as described below. And visitors can always refuse to supply personally-identifying information, with the caveat that it may prevent them from engaging in certain website-related activities.
Use of personal dataLastPass may collect aggregated statistics about the behavior of visitors to its websites. For instance, LastPass may monitor the most popular website account on the LastPass.com site. LastPass may display this information publicly or provide it to others. In addition, LastPass may use your behavioral data and other data you provide to LastPass to customize advertisements on its site to its users. In this way we try to keep the majority of our services free. However, LastPass does not disclose personally-identifying information other than as described below.
То есть Вы передаете им ПРАВО ОТСЛЕЖИВАТЬ все посещения Вами любых интернет-ресурсов, время и даты таких посещений, Ваш IP, сопоставлять его с именем и адресами электронной почты, а самое главное - ХРАНИТЬ И ПОСТОЯННО НАКАПЛИВАТЬ не только персональную неидентифицируемую информацию, но и персональную идентифицируемую, в том числе - ФИНАНСОВУЮ, связанную с денежными транзакциями и т.п.! Причем пароли от электронных платежных систем будут также, насколько я понимаю, хранится в их "кошелечке"...
Таким образом, Вы должны быть ПОЛНЫМ ИДИОТОМ, чтобы воспользоваться этими услугами!
P.S. Просто УМОЛЯЮ ВСЕХ, прочтите вот эту вот ссылку (уже приводил ранее):
Rosenfeld, спасибо за очередной ликбез.
Но, пардон, тогда какого hrena на АМО выкладывают такие расширения? https://addons.mozilla.org/ru/firefox/addon/8542
Кстати, фотографии Management Team этого продукта вызывают недоверие как минимум 
Т.е. мое изображение вызывает БОЛЬШЕ доверия?!
Не столько изображение, а сколько этот уничтожающий довод:
Таким образом, Вы должны быть ПОЛНЫМ ИДИОТОМ, чтобы воспользоваться этими услугами!
Я таким идиотом был буквально еще несколько минут назад когда тестил это расширение, доверившись АМО.
Но, пардон, тогда какого hrena на АМО выкладывают такие расширения?
Да проблема не в этом, а в том, что НИКТО из пользователей НЕ читает EULA (лицензионные соглашения с конечным пользователем), равно как разные многостраничные положения о приватности! (кроме меня, естественно!)... Кстати, я себе завел за правило: если устанавливаю ЛЮБУЮ программу, то ее EULA сразу сохраняю в отдельный каталог, который так и называется "Лицензионные соглашения" (ну и глазами их хотя бы пробегаю)...
Помните такую старую байку - какая-то фирма снабдила свой программный продукт многостраничным лицензионным соглашением, в конце которого было написано: "тот, кто дочитает его до конца, получит 1 ххх долларов США"?! Так ни один человек не обратился!
И вообще -я об этом сервисе сегодня узнал впервые - именно от Вас, но мне хватило ровно полторы минуты, чтобы пробежаться глазами по тем текстовым материалам, которые я Вам выше предоставил... И все стало сразу понятно. Осмелюсь предположить, что любой пользователь тоже способен на такой подвиг!
Сегодня вчитался в последний абзац того текста, что приводил ранее:
LastPass may collect aggregated statistics about the behavior of visitors to its websites. For instance, LastPass may monitor the most popular website account on the LastPass.com site. LastPass may display this information publicly or provide it to others. In addition, LastPass may use your behavioral data and other data you provide to LastPass to customize advertisements on its site to its users. In this way we try to keep the majority of our services free. However, LastPass does not disclose personally-identifying information other than as described below.
То есть (автоцитирую сам себя):
Это значит, образно выражаясь, что Вы кладете ВСЕ свои личные ключи: от сейфа, кабинета, машины, квартиры, дачи, пояса целомудрия Вашей жены в один кошелечек, запираете его своим ключиком и отдаете кошелечек чужому, абсолютно незнакомому дядечке на хранение. Который, в свою очередь, обязуется при необходимости, передавать Вам ключики для пользования из любого места, где бы Вы не находились.
... (для тех кто не знает английский или знает, но не понимает общего смысла) - искомые добрые дядечки обязуются не только хранить Ваши ключики, но и вести строгий учет, когда, сколько раз и какие суммы Вы снимали со своих счетов, сколько раз и куда ездили на машине, кому звонили по телефону, сколько раз снимали пояс верности со своей супруги, а также обязуются анализировать эту информацию, хранить ее ... и делиться ею с другими, неизвестными лично Вам, "дядечками"...
Устраивает? Почему не устраивает?!
Вам же (по заявлению некоторых присутствующих) - "нечего скрывать!"
http://cnews.ru/news/top/print.shtml?2009/07/22/354936 Полезная фишка будет, имхо!
Т.е. мое изображение вызывает БОЛЬШЕ доверия?!
Кхем, у меня вот розовоухое блондинисто-розовое маленькое существо с большими блестящими глазами и задорными усами доверие вызывает
А у меня - НЕТ!
Такое, извините, (...)! Но Крошка Ру предложил - терплю!
Полезная фишка будет, имхо!
Пока ничего не могу сказать.
Давайте попробуем изучить и дать свои совместные комментарии, хорошо?
Rosenfeld
PixelCryptor
ОЧЕНЬ прошу Вас - не стоит издеваться над старым и больным евреем: он попросту не в состоянии изучить все ссылки на псевдокриптографические продукты.
Давайте условимся так - на будущее мы принимаем за СЕРЬЕЗНЫЕ и ОБЩЕПРИЗНАННЫЕ программные продукты, обеспечивающие пользовательскую privacy, следующее ПО:
PGP
Gnu PG
Eraser
Free OTFE
TrueCrypt
Password Safe
KeepPass
... а остальные отметаем СРАЗУ, ибо не-серь-ез-но!
Договорились?
Rosenfeld Договорились
http://cnews.ru/news/top/print.shtml?2009/07/22/354936
Прочитал. Ключевая фраза здесь, на мой взгляд, следующая:
Получателю сообщения вместе с зашифрованным текстом передается ключ.
Прочитайте ее несколько раз, а потом постарайтесь осмыслить!
Если немножко непонятно, то я Вам подскажу: пересылать ВМЕСТЕ с зашифрованным сообщением и ключ для расшифровки - смерти подобно! Именно для предотвращения таких ситуаций и была создана PGP / Gnu PG - то есть шифрование при помощи ассиметричных ключей (спасибо еврейскому гению Циммерману, не побоявшемуся уголовного преследования за выкладывание своей программы в общественный доступ!)
Почитал также об их мотивации для использования их сервиса (извините за гуглоперевод!):
1. Данные сохраняются гораздо дольше, чем пользователи ожидают или хотят.
2. Пользователи не могут прямо или непосредственно контролировать жизнь своих данных, хранящихся на сайтах.
3. Длительное хранение данных повышает риски.
4. Традиционные средства шифрования не является достаточными для защиты частной жизни.
Так что делайте вывод сами - стоит ли доверять.
См. также цитату в данном материале:
«Технология, безусловно интересная, но не без недостатков, - считает Виталий Камлюк, ведущий антивирусный эксперт «Лаборатории Касперского». - Судя по всему, временный ключ всё же существует и предоставляется пользователю или приложениям, которые используются на компьютере, для расшифровки сообщений. Это значит, что в этот момент ключ может быть скопирован и использован позже даже после истечения срока его действия, поскольку на компьютере физически остается зашифрованное сообщение.
Если же расшифровка происходит на сервере и ключ не передаётся клиенту, то в таком случае это ничем не отличается от простого управления сообщениями и удаления их с сервера по истечении «срока годности»
____________________________
[Текст ниже выправлен и добавлен 26.07.09]
Технология на сайте производителей расписана в файле: http://vanish.cs.washington.edu/pubs/us … ambasu.pdf
Я попытался понять суть приводимого 17-ти страничного документа, прочитав его пару раз, однако про алгоритмы шифрования, длину ключей, сказано очень смутно. В одном месте, на С. 10, была приведена фамилия известного израильского криптографа Адика Шамира (в частности ссылались на его способ разделения сеансового ключа на несколько частей) однако больше про технологию генерирования сеансовых ключей я ничего не узнал.
http://ru.wikipedia.org/wiki/Шамир,_Ади
Общий смысл такой (см. С. 7 указанного документа): берутся исходные данные D, при помощи Vanish генерируется рандомный ключ К, после чего D шифруется при помощи К, чтобы получить зашифрованный текст С.
Собственно говоря, чем это процедура отличается от обычного шифрования текста при помощи симметричного алгоритма (пароля или парольной фразы) - я сказать затрудняюсь!
Затем К разбивается на N частей.
Далее речь идет уже о способе передачи зашифрованного текста (и сеансового ключа к нему!) при помощи сетевой технологии DHT - то есть, основной упор в обеспечении отсутствия доступа к С и К по дороге к реципиенту делается уже на надежность сетевой(!) технологии peer-to-peer...
Генерируется (при помощи ГСЧ) еще один ключ - L, называемый "ключом доступа". С его помощью каждая "частичка" ключа К - то есть К1... Кn хранится в индексе l. Далее для каждой "частички" устанавливается свой таймаут - "время жизни". Кстати, если по дороге потеряется хотя бы что-то - сообщение уже(!) априорно становится нечитаемым.
А вот теперь самое главное - к пользователю уходит следующий багаж: L + C + N, treshold.
По получении текста С конечным реципиентом, Vanish извлекает ключ L, с его помощью определяет местонахождение частей ключа К (я немножко не понял архитектуру сети - скорее всего, как и в случаях с торрентами, "частички" с ограниченным сроком жизни хранятся на произвольных серверах)... Далее восстанавливается ключ К и с его помощью криптосообщение С превращается в D - исходный текст.
У меня создалось такое впечатление, что авторы сами немножко не доверяют своему изобретению, поэтому рекомендуют... дополнительно шифровать сообщения средствами PGP - Gnu PG (см. С. 5)! Хотя в каком-то из других мест они все же пытаются объяснить - почему они городят свой собственный огород и не рекомендуют пользоваться простыми, надежными и апробированнными средствами ассиметричной криптографии! (см. С. 4)
Основная цель разработчиков - создать средство, цитирую: "для которого не нужно помнить пароли или управлять ключами" - то есть по принципу "Криптография для блондинок"... И я думаю, что это им полностью удалось!
Вот ещё один способ обеспечения безопасности: http://vanish.cs.washington.edu/index.html
Установка (http://vanish.cs.washington.edu/download.html) проходит так: пользователь устанавливает программу на свой компьютер, подключает расширение для ![[firefox]](img/browsers/firefox.png "firefox")
3.х и ждёт 5 минут для запуска службы.
Цель программы: уничтожение ваших сообщений через заданный промежуток времени на серверах типа Hotmail, Gmail, Google Docs, Facebook.
Примерный сценарий использования (перевод):
Для иллюстрации полезности Vanish рассмотрим конкретный пример. Анна и Карла близкие подруги, которые любят пользоваться популярными веб-сервисами типа Gmail, Hotmail, Google Docs и Facebook для общения и совместной работы. У Анны проблемы с её браком и она начинает готовить документы на развод. Ей необходимы советы Карлы и её помощь в подготовке документов. Анна полностью доверяет своей подруге, но боится, что электронные следы их общения могут быть использованы адвокатом её мужа на предстоящем бракоразводном процессе.
Чтобы защитить свой обмен сообщениями, Анна и Карла решили ограничить срок существования своих сообщений и документов используя Vanish. На скриншотах внизу показано как Анна и Карла загружают информацию касательно развода в виде Vanishing Data Objects (VDOs) на различные веб-сервисы. (1) Анна высылает своё сообщение в виде VDO со своего адреса в Gmail на адрес Карлы в Hotmail с просьбой о помощи. (2) Карла отвечает Анне на её адрес в Gmail. (3) Анна и Карла обмениваются черновиками документов о разводе, помещая их в VDO. (4) Анна посылает Карле вопрос о каком-то пункте в документах в виде VDO через сообщения на Facebook. Обе женщины договаривались, что установят для своих сообщений срок в 8 часов на существование для своих сообщений. Как только срок существования каждого VDO истечёт, вся помещённая в них информация исчезнет. Например, первое сообщение (1), его копия на адресе Анны в Gmail и копия на адресе Карлы в Hotmail, самоуничтожатся одновременно.
1)
2)
3)
4)
Есть некоторые заморочки с использованием прокси - программу надо установить и на прокси-сервер, чтобы восстанавливать срок самоуничтожения письма после его отправки с этого прокси-сервера и не оставлять следов на нём.
Дорогой George Yves!
Не в обиду будет сказано, но в своем предыдущем сообщении я с небольшим опозданием отвечал на вопрос г-на 68agasfer, приведенный в посте № 46 текущей темы:
http://cnews.ru/news/top/print.shtml?2009/07/22/354936 Полезная фишка будет, имхо!
Так вот, указанный ответ был целиком посвящен разбору технологий, предлагаемых Vanish, а также ее критике. Я попытался сделать небольшой анализ - если заинтересует, можете ознакомиться.
P.S. Немножко вчитался в Вашу цитату:
Обе женщины договаривались, что установят для своих сообщений срок в 8 часов на существование для своих сообщений. Как только срок существования каждого VDO истечёт, вся помещённая в них информация исчезнет. Например, первое сообщение (1), его копия на адресе Анны в Gmail и копия на адресе Карлы в Hotmail, самоуничтожатся одновременно.
Это неверная трактовка. Сообщения "сами по себе" исчезнуть никуда не могут, а особенно - с серверов. которые регулярно делают бэкапы баз и т.п. Не корова же их с винчестера слизнет, правда?
Исчезнет возможность ПРОЧИТАТЬ сообщение, так как закончится срок жизни сплиттированного ключа К, который разбит на вышеупомянутое количество N частей и к каждой из них применен дополнительный ключ L (хрен поймешь этих разработчиков - описания нет, поэтому стоит лишь догадываться, что за псевдорандомный ключ L они собираются применять и как!)...
P.P.S. Поэтому доведись у мужа Анны быть хорошему адвокату, который понимал бы технологию Vanish хотя бы в таком примитивном виде, как я описал ее выше и обладал бы некоторыми атакующими ресурсами - "бо-о-ольшие проблемы" были бы и у Анны, и у ее подружки Карлы!
Rosenfeld
Цитата - это, как я указал, перевод текста Example Scenario на странице http://vanish.cs.washington.edu/usage.html. Вы может сами прочитать его в оригинале и проверить аутентичность перевода. Конкретное же предложение, привлёкшее Ваше внимание, в тексте написано так: "Once the VDOs expire, all copies of the encapsulated data disappear." Или у слова "disappear" есть какое-то иное значение?
Если Вы поверите Оксфордскому словарю современного английского языка, то есть три значения (см. первые два):
disappear
• verb 1 cease to be visible. 2 cease to exist or be in use. 3 (of a person) go missing or be killed.
.. то есть - перестает быть видимой; перестает существовать или использоваться...
http://www.askoxford.com/dictionaries/?view=uk
Так что я надеюсь, что (учитывая разобранную мною схему), Вы все-таки со мною согласитесь: ну не может, просто физически не может зашифрованный текст "самоудалиться" с веб-страницы, равно как и из резервных копий, создаваемых сайтом... Не изобретены еще такие "растворяющиеся чернила" (как показывают в шпионских боевиках), которыми написаны все эти символы ANSI-ASCII-UTF-8 и т.п. Так?
Кроме того, зря Вы решили (и отреагировали), что я Вас как-то хочу задеть неточностью в переведенной цитате. Моей задачей было лишь привлечь Ваше внимание к общей ненадежности данной технологии. Почему - см. описание выше!
Rosenfeld
Я даже не собирался пробовать этот Ваниш, так что лучше стоит привлечь внимание его создателей.
Уже в моих закладках.
Я даже не собирался пробовать этот Ваниш
Как было сказано в "Кавказской пленнице": "Сам не хочу!" (добавлю - и другим не советую!)
Уже в моих закладках.
Вот и отлично! Понимаете, одно дело - перевести при помощи гуглопереводчика бытовое письмо от любимой девочки, другое - доверять ему работу со сложными техническими текстами... Отсюда и начинают в интернет-новостях гулять разнообразные ошибки, типа "Ваниш уничтожает свои сообщения на серверах"...
Беда переводчика Гугл еще и в том, что они доверили пользователям право самим предлагать варианты для перевода. Именно поэтому я недавно столкнулся, когда ГП перевел мне слово "home" (или что-то подобное) как "Россия" (а ведь должен был ведь кто-то "руками" вбить туда такое значение; хорошо, если исправили)...
Вот и получается, что качество перевода у ГП примерно как в той песенке конца 80-х:
"По-немецки "дом" будет "haus", по-английски "дом" будет "home".
Больше я слов иностранных не знаю, да и с этими слабо знаком!"
Rosenfeld
Вот как об этой системе пишут в газетах:
Самоуничтожающиеся сообщения
Ученые из Вашингтонского университета сообщили о создании уникальной технологии самоуничтожающихся электронных сообщений, позволяющей исключить утечку данных и их восстановление из архивов переписки. Новая система защиты названа Vanish (от английского "исчезать"), и благодаря ей каждый отправитель сообщения может установить срок жизни своего послания. Роксана Гимбасу, участвовавшая в разработке Vanish, поясняет: "Предугадать, что случится с письмом, отосланным электронной почтой, невозможно. Получатель может потерять ноутбук или телефон, текст может быть перехвачен хакерами или раскрыт по решению суда". При этом серверы хранят данные довольно долго, даже если пользователь нажал кнопку "Delete", а шифрование не решает всех проблем, так как данные могут быть принудительно расшифрованы по решению суда.
Принцип работы Vanish позаимствован у одноранговых сетей: ключ, которым шифруется каждое отправляемое сообщение, остается неизвестен отправителю и разделяется на несколько частей между компьютерами, входящими в файлообменную сеть. Для раздачи ключа (исходный при этом удаляется) используется таблица пользователей BitTorrent-клиента Azureus Vuze. Минимальное время хранения сообщения - 8 часов, а максимальное теоретически не ограничено.
Ознакомиться с технологией более подробно и скачать все необходимое для ее использования на практике можно здесь: vanish.cs.washington.edu/index.html.
Я больше доверяю анализу здесь:
https://www.pgpru.com/novosti/2009/vani … uschimisja
Насколько я понимаю, "саморазрушаются" все-таки сплиттированные ключи, находящиеся на различных серверах:
Части ключа, в виде небольшого количества имеют тенденцию к "эрозии" со временем, по мере того как они постепенно выходят из использования. Для того чтобы делать ключи разрушающимися ("ржавеющими") или утрачивающими свои свойства в течени промежутка времени, Vanish использует структуру файлообменной (peer-to-peer) файловой системы. Сети такого рода основаны на миллионах персональых компьютеров, интернет-адреса которых меняются по мере того как они подсоединяются и отсоединяются от сети.
Мне кажется, данные настройки вписываются в тему. Вот я чего себе делал.
Итак, about:config в адресной строке:
!!!В процессе Обработки!!! Буду проверять, не ошибся ли в набранном!!! Если увидите ошибки и прочие неточности - напишите.
geo.enabled поставил в false (перенаправление на основании языка или месторасположения)
media.autoplay.enabled поставил в false (разрешение автоматического запуска медийного контента)
media.ogg.enabled поставил в false (разрешение на воспроизведение данного типа файлов)
media.wave.enabled поставил в false (разрешение на воспроизведение данного типа файлов)
app.update.interval поставил 0 (промежуток между проверками обновления наверное браузера - в секундах)
app.update.timer поставил 0 ( нечто такое: промежуток между проверками обновлений связанных с таймером - в секундах)
browser.send_pings.max_per_link поставил 0 (посылать запрос идентифицирующий ресурс, когда пользователь кликает по ссылке)
network.prefetch-next поставил в false (разрешение на использование предварительной выборки контента, во время простоя браузера, который возможно пользователь захочет просмотреть)
extensions.getAddons.showPane поставил в false (разрешение на поиск дополнений в =инструменты-дополнения=)
extensions.blocklist.enabled поставил в false (разрешение на связь с центральным сервером для получения списка расширений внесенных в блок лист)
plugin.default_plugin_disabled поставил в false (запрос на установку необходимого плагина)
browser.safebrowsing.enabled поставил в false (разрешение на загрузку черного списка и проверку сайтов - можно отключить в настройках браузера)
browser.safebrowsing.malware.enabled поставил в false (разрешение на загрузку черного списка и проверку сайтов - можно отключить в настройках браузера)
extensions.update.enabled поставил в false (см. настройки - дополнительно- обновления - автоматически проверять наличие обновлений)
browser.search.update поставил в false (см. настройки - дополнительно- обновления - автоматически проверять наличие обновлений)
app.update.enable поставил в false (см. настройки - дополнительно- обновления - автоматически проверять наличие обновлений)
Browser.search.suggest.enabled поставил в false (разрешение на предложение поисковым плагином списка выбора вариантов по мере набора текста пользователем на основе похожих запросов набранных другими)
keyword.enabled поставил в false (разрешение на отправку информации при ошибке набора адреса в адресной строке, для определения по ключевым словам)
network.protocol-handler.warn-external-default поставил в true (предупредить прежде чем будет запущена программа-обработчик протокола)
network.protocol-handler.warn-external.news поставил в true (предупредить прежде чем будет запущена программа-обработчик протокола)
network.protocol-handler.warn-external.mailto поставил в true (предупредить прежде чем будет запущена программа-обработчик протокола)
network.protocol-handler.warn-external.nntp поставил в true (предупредить прежде чем будет запущена программа-обработчик протокола)
network.protocol-handler.warn-external.snews поставил в true (предупредить прежде чем будет запущена программа-обработчик протокола)
plugin.scan.4xPluginFolder поставил в false (разрешение на сканирование Netscape Navigator 4.x директории для плагинов)
plugin.scan.Acrobat поставил 99 (указываем минимальную версию, происходит остановка сканирования каталогов для установки плагина)
plugin.scan.Quicktime поставил 99 (указываем минимальную версию, происходит остановка сканирования каталогов для установки плагина)
plugin.scan.SunJRE поставил 99 (указываем минимальную версию, происходит остановка сканирования каталогов для установки плагина)
plugin.scan.WindowsMediaPlayer поставил 99 (указываем минимальную версию, происходит остановка сканирования каталогов для установки плагина)
plugin.scan.plid.all поставил в false(разрешение сканирования каталогов, указанным в реестре Windows идентифицирующих плагины)
network.protocol-handler.external.mailto поставил в false (должна ли внешняя программа назначенная для протокола реагировать на ссылку по этому протоколу)
network.protocol-handler.external.news поставил в false (должна ли внешняя программа назначенная для протокола реагировать на ссылку по этому протоколу)
network.protocol-handler.external.nntp поставил в false (должна ли внешняя программа назначенная для протокола реагировать на ссылку по этому протоколу)
network.protocol-handler.external.snews поставил в false (должна ли внешняя программа назначенная для протокола реагировать на ссылку по этому протоколу)
places.frecency.linkVisitBonus поставил 0 (сортировка в выпадающем меню адресной строки по посещению)
places.frecency.bookmarkVisitBonus поставил 0 (сортировка в выпадающем меню адресной строки по посещению закладок)
places.frecency.typedVisitBonus поставил 0 (сортировка в выпадающем меню адресной строки по посещению)
places.frecency.numVisits поставил 0 (количество элементов для расчета ранжирования элементов по посещению)
places.frecency.unvisitedBookmarkBonus поставил 0 (процент выделяемый не посещенным адресам в закладках для сортировки по частоте и новизне)
places.frecency.unvisitedTypedBonus поставил 0 (процент выделяемый не посещенным для сортировки )
browser.sessionstore.max_tabs_undo поставил 0 (сколько вкладок запоминать для восстановления 'недавно закрытые вкладки')
browser.sessionstore.max_windows_undo поставил 0 (количество закрытых вкладок для восстановления 'недавно закрытые окна')
browser.sessionstore.privacy_level поставил 2 (вариант хранения дополнительной информации о сеансе 'заполненные формы, печенье, расположение полосы прокрутки... ' при его сбое или аварийном завершении - 2 никогда не хранить)
browser.sessionstore.resume_from_crash поставил в false (отключить восстановление сессии после сбоя)
browser.urlbar.maxRichResults поставил -1 (установка максимального количества записей появляющихся в выпадающем списке адресной строки)
browser.send_pings.require_same_host поставил в true (Посылать запрос идентифицирующий ресурс 'true- если страница с которой отправляется запрос находится в пределах хоста ее содержащего')
browser.download.hide_plugins_without_extensions поставил в false (скрывать связанной с плагином тип содержимого без расширения 'сравните, инструменты - настройки - приложения')
*(true=разрешить, false=запретить)
Вот пожалуй и все, что я менял именно для себя в настройках через about:config. По поводу перевода значений параметров - полноту и достоверность не гарантирую. Работоспособность браузера и величину приватности - тоже без гарантий. Ибо, практически все рекомендации по выставлению параметров, собраны мной в интернете. В некоторых случаях, измененные параметры взаимосвязаны с другими - данная взаимосвязь мной не проверялась. Внимательно просматривайте параметры, в случае решения воспользоваться вышеизложенным. Например. У меня полностью отсутствовало желание пользоваться получением различных черных списков дополнений и сайтов - но отключение получения списков, как правило, ведет к снижению уровня безопасности!
!!!В процессе Обработки!!! Буду проверять, не ошибся ли в набранном!!! Если увидите ошибки и прочие неточности - напишите.
Если распишете поподробнее каждую строку (с рекомендациями и т.п.) - стоило бы добавить в соответствующую тему в FAQ.
Можно также добавить эти настройки в мою сборку Rosenfox.
Есть проблема небольшая - языковой барьер. Сильно подробно мне сложно расписать. И могу смысл параметра исказить. Но попробую - уж как выйдет. Подавляющее большинство рекомендаций по отстройке параметров, раздобыл на просторах интернета, некоторое сам менял. Естественно смотрите сами, что стоит в сборку добавлять. То, что я нахожу для себя приемлемым, другие могут счесть полной ерундой:)
стоило бы добавить в соответствующую тему в FAQ
Думаете, что здесь описание настроек будет лишним? Как никак, когда браузер лезет куда угодно и позволяет мониторить действия пользователя, да еще самостоятельно выполняет массу действий -это тоже относится к приватности и безопасности.
Вопрос к Rosenfeldу.
А вот допустим у меня есть портативная версия Файрфокса, и портативная версия Миранды, и почтовика, и все они на флэшке в криптоконтейнере, и чат по Жабру зашифрован, и все такое. И прихожу я на чужую Винду, где стоят:
МС Офис
Кейлоггер
Перехватчик трафика
Итак, я разворачиваю свой замечательный криптоконтейнер, запускаю Фокс, запускаю Миранду. И что толку мне будет от всей этой безопасности, если, запретив сохранять пароли на сайтах и пароли ICQ и Жабра, я попадаю под действие кейлоггера, а если они сохраняются, и даже программа-взломщик, допустим, не сможет их найти на диске и в памяти, они высылаются обычным трафиком? То есть, закэшировав момент коннекта к сайту или к сети мгновенных сообщений, перехватчик получает мои логин и пароль.
Ваши комментарии?
Al_H
пока Розенфельда нет отвечу
это ж элементарная безопасность - не совать свои флэшки куда попало и не работать с чужого компа.
выход есть либо использовать ливсиди и втыкать флэшку загрузившись с него, либо сделать флэшку загрузочной либо просто купить небольшой лёгкий ноут который таскать с собой.
Так весь смысл рабочей флэшки, как ее предлагает использовать господин Розенфельд, как раз и состоит в том, чтобы безопасно поработать с чужого компьютера, и уйти, не оставив письма, документы и залогиненный браузер. Флэшка с портативными версиями интернет-софта и офиса очень редко используется в сочетании с LiveCD.
Анонимная сеть Tor взломана
http://habrahabr.ru/blogs/infosecurity/81695/
Зайчик, извините меня, но "новостями" с хабра и оупенет (исключительно из-за их качества и ангажированности) можно подтирать одно место.
Это примерно как (мой любимый пример!) сказка про "таланлтивого русского мальчика, который "взломал скайп"" - шум и крики на весь интернет: "сеть Скайп подвергается атаке, но я во всем разобрался - это чудовищно хитрая штука"... а выяснилось, что полный пшик.
Так и здесь. Поэтому очень прошу Вас и всех присутствующихся - читайте не "желтую" левоту, которая напишет и перескажет любые страшилки "весь интернет заразился новым глобальным вирусом, чтобы его подхватить, нужно открыть специально сгенерированное письмо "Голая Анна Курникова" и дважды нажать на файл, с прикрепленной картинкой!" ... А читайте специалистов и их комментарии.
Намеренно цитирую их здесь, чтобы унять панику:
http://www.pgpru.com/novosti/2010/uvedo … ijjsetitor
21.01 // Уведомление о взломе корневых директорий сети Tor
Лидер проекта Tor (Roger Dingledine) разместил следующее предупреждение:
Пользователи Tor должны обновиться до версий 0.2.1.22 или 0.2.2.7-alpha
https://www.torproject.org/download.html.en
В начале января мы обнаружили, что два из семи серверов директорий статистики были взломаны (moria1 и gabelmoo) вместе с сервером metrics.torproject.org, новым сервером, который был недавно запущен для обслуживания измерений данных и визуализации графиков. Эти три сервера были переинсталлированы с сервисами, перенесёнными на другие серверы.
Мы создали новые идентификационные ключи для двух серверов директорий статистики, поэтому вам следует обновиться.
На Moria также размещался наш git-репозиторий и svn-репозиторий. Мы сразу же отключили серверы, как только изучили брешь в системе. Всё выглядит так, что атакующий не осознавал, что именно ему удалось взломать — он просто смог найти какие-то серверы с высокой пропускной способностью. Атакующий установил некоторые ssh-ключи и продолжил использовать три сервера для запуска других атак. Мы провели некоторые предварительные сравнения и всё выглядит так, что git и svn не были затронуты никаким образом.
Нам очень везло в прошедшие годы в отношении безопасности. Этот взлом всё ещё выглядит как не имеющий отношения непосредственно к самому проекту Tor. Для ясности — это не означает, что кто-то пытался атаковать наши серверы специально, чтобы захватить контроль над Тором. Кажется, что мы были атакованы ради вычислительных ресурсов и пропускной способности серверов и как только это случилось, серверы тут же были выведены из функционирования в Tor.
Мы пытаемся дать ответы на самые очевидные вопросы:
* Означает ли это, что кто-то мог выслеживать местонахождение пользователей?
Нет. По протоколу Tor требует большинства серверов директорий (в данном случае четырёх) для создания консенсуса; и как и другие узлы Tor-сети, узлы корневых директорий статистики не могут сопоставить трафик пользователя и его местоположение.
* Значит ли это, что кто-то подменил исходники Tor?
Нет, мы проверили исходники. Это значит, что вам нужно обновить свой клиент, чтобы он знал всё необходимое о новых корневых директориях.
* Значит ли это, что кто-то получил больше сведений о Tor, чем простой пользователь?
Поскольку наше ПО и спецификации открыты, каждый имеет доступ практически ко всему материалу, размещённому на этих машинах ... за исключением некоторых старых дексрипторов бридж-узлов, которые мы выдаём только небольшими порциями для клиентов, которые находятся под блокировкой.
* Могу ли я доверять безопасности Tor?
Мы предпринимаем шаги для устранения уязвимостей, которые были выявлены и укрепляем защиту наших систем на будущее. Tor имеет отчёты и записи с позиции открытости и прозрачности, как с его исходным кодом и спецификациями, так и с его производимыми операциями. Более того, мы раскрываем уязвимости, наподобие данной, так, чтобы вы могли мониторить наш статус. Вам не следует думать, что те, кто не раскрывал никаких дыр в безопасности, никогда не имели их на самом деле!
Roger
Источник: The or-talk mailing list
КОММЕНТАРИИ:
Спасибо за оперативный перевод.
Впрочем там вся ветка обсуждения, стоит того чтобы её прочитать.
Из дальнейших объяснений следует, что на мории было много всего лишнего и много лишних аккаунтов (возможно университетское наследство). Взломщик или имел или получил к одному из этих акков доступ, и далее локальным сплоитом получил рута. Возможно последуют объяснения природы сплоита, пока не очень ясно был ли это новый "нульдей" или действительно "очень везло в прошедшие годы в отношении безопасности".
А теперь все дружно поверили, что взломщик случайно наткнулся на три произвольных сервера и взломал их для атак только на другие серверы, а то, что три сервера принадлежат верхушке проекта Tor — чистая случайность.
И для атаки по методу виртуализации соединений пользователя (позаимствованной с нашего форума) это не подошло. Признавайтесь, кто это сделал?Хотя, конечно, могли просто от одного сервера к другому пойти, после удачного взлома.
* Означает ли это, что кто-то мог выслеживать местонахождение пользователей?
Нет. По протоколу Tor требует большинства серверов директорий (в данном случае четырёх) для создания консенсуса; и как и другие узлы Tor-сети, узлы корневых директорий статистики не могут сопоставить трафик пользователя и его местоположение.
То есть обладатель четырех серверов может выслеживать местонахождение пользователей? Это что-то вроде harvesting attack, то есть не так уж и страшно? Или же они могут разузнать что-то еще?
Это значит, что более половины серверов DA (если их взломать) могут выдавать фальшивую статистику пользователям, подключать к сети Tor фиктивные узлы, подменять в статистике ключи уже запущенных узлов и пытаться делать прочие пакости. Правда из-за публичного ведения логов и путём сравнения статистики между разными пользователями и присмотра со стороны самих разработчиков это не пройдёт незамеченным. Если разработчики в сговоре, то они могут и логи подменить, но кто-то из сети обнаружит подмену рано или поздно. Не все DA принадлежат разработчикам, хотя и доступ на почётное членство держателей серверов DA несвободный. Подмена статистики может быть замечена не только с DA, но теоретически с любого узла сети.
Другой гипотетический вариант — прицельная атака при помощи ключей от корневых директорий против одного пользователя в сговоре с его провайдером (сами серверы DA ломать необязательно — достаточно поиметь с них ключи и оставить в покое). Пользователь будет подключаться к сети Tor, но провайдер будет эмулировать эту сеть со всеми узлами, но фальшивыми ключами, расшифровывать весь трафик пользователя и перенаправлять его в настоящий Tor с настоящими цепочками, которые выбрал пользователь. Тогда пользователь ничего не заметит. Атака тривиальна по сути, так как угроза незаметного похищения всех (или большей части — для получения консенсуса) ключей DA — слишком сильная модель угрозы, выходящая за рамки дизайна сети (псевдодецентрализованная аутентификация на малом числе корневых DA). Нетрививальна только реализация — расширенный MITM с виртуализацией на участке {пользователь — провайдер — Tor}.
Всё о чём здесь предупреждается — слишком преувеличено, это домыслы, которые авторы когда-то косвенно подтверждали, но сейчас не будут их повторять, чтобы не нагнетать паники у малопонимающих пользователей. Такие сценарии атак на раскрытие анонимности маловероятны (если не ничтожно малы) и не особо практичны. А данный взлом, так как его описывают авторы, не представляет никакой угрозы для пользователей даже с необновлённым клиентом (теоретически у них снижена безопасность, если прямо сейчас произойдёт более массированный, прицельный и изощрённый взлом). Но обновиться всё-таки следует.
Насколько у нас обсуждалось, клиент сам выбирает, с каких именно 4х (из 7ми) серверов скачать и проверить на консенсус статистику. Т.е. чтобы MITM в виде машинки unknown'а заработал, даже при краже 4х ключей нужно совпадение определённых событий, а иначе логи всё покажут...
Для контрасту: Новость про тоже самое событие с казалось бы приличного но припозднённого опеннета — вот что выдал: http://www.opennet.ru/opennews/art.shtml?num=25117
Всё там смешали в одно и получили по смыслу, вроде как, взлом всей сети, потому и экситы ещё припомнили.
Однако к счастью:
атакующие не получили доступ к ключам шифрования сети Tor
Скромненько так — всея сети, но пронесло... ога.
Al_H, извините, не заметил выше:
Вопрос к Rosenfeldу.
А вот допустим у меня есть портативная версия Файрфокса, и портативная версия Миранды, и почтовика, и все они на флэшке в криптоконтейнере, и чат по Жабру зашифрован, и все такое. И прихожу я на чужую Винду
Так весь смысл рабочей флэшки, как ее предлагает использовать господин Розенфельд, как раз и состоит в том, чтобы безопасно поработать с чужого компьютера
Прошу меня простить, но даже в пьяном бреду "адон (ивр. - "господин"; не путать с "add-on"!) Розенфельд" не мог посоветовать такую схему!
Читайте внимательно:
http://forum.mozilla-russia.org/viewtopic.php?id=38766
Как мы видим, НИГДЕ не идет речь о том, чтобы разворачивать криптоконтейнеры на ЧУЖИХ компьютерах.
Объясню, почему:
1. По причинам, указанным Вами выше (звучит абсолютно здраво).
2. При использовании ТС (см. примечания к вышеуказанной теме) последний требует для своей работы установки специальных драйверов в ОС, которые и будут тем демаскирующим признаком, по которому гипотетическая атакующая сторона может отследить, что Вы использовали машину для каких-то критичных операций. Более того, если Вы будете работать на чужой машине с урезанными (юзерскими) полномочиями - как, в принципе, и должно быть, то Вы физически не сможете установить такие драйвера даже из travel-режима ТС. Либо Вам не дадут это сделать HIPS-функции грамотно настроенного фаэрволла / антивируса.
3. Про использование паролей к веб-ресурсам ничего не скажу - если они зашифрованы мастер-паролем, то, как правило, по запросу отдается не сам пароль, а его хэш-сумма (здесь операция достаточно безопасная, но это надо конкретно смотреть - где и как организован вход).
Но я бы категорически не советовал бы осуществлять какие-то криптоперации на чужой машине вообще, в частности -связанные с использованием ассиметричных ключей PGP / GnuPG. В идеале, как советует владелец сайта pgpru Sattva (а он, как известно - маньяк в сто раз хуже, чем я!), шифрование переписки вообще должно осуществляться на машине, физически не подключенной к интернету (специально выделенном нетбуке, ноутбуке), а на машину, подключенную к интернету, должна переноситься (и отправляться с нее) уже зашифрованная корреспонденция. То же самое рекомендуется и для расшифровки поступающих сообщений.
Ergo, описываемая мною схема пригодна ТОЛЬКО для того, чтобы работать на своих же компьютерах - например, на домашнем и рабочем. Во всех остальных случаях, как я обычно и советую, включите свой девайс под названием /head и самостоятельно (то есть НЕ полагаясь на мои рекомендации!) правильно соотносите степень ценность хранимой у Вас информации и степень гипотетических угроз.
Я понятно изъясняюсь?
Откопал тут KeeFox - расширение Firefox для э... взаимодействия с KeePass.
Упоминается на странице плагинов самого KeePass, но отсутствует на AMO.
Мой "отчет" об испытаниях будет позже... а пока интересно узнать мнение остальных
<...>
Сайт автора: http://christomlinson.name/projects/keefox
На 3.6.8 заработал. (на 4pre не получилось)
Предоставляет небольшой тулбар на панель. Добавляет плагин в сам KeePass - таким образом и получает доступ к его БД.
Фактически заменяет стандартный менеджер паролей. Т.е. при первом логине на сайт предлагает запомнить логин/пароль, но сохраняет в БД KeePass. Оттуда же берет данные для заполнения.
Поддерживает выбор из нескольких логинов на страницу и, как я понял, позволяет использовать один логин на нескольких страницах(хотя это вроде от KeePass идет...).
На tutorial.keefox.org можно посмотреть как и что, хотя предназначена страница для обучения, а не "предпросмотра" 
Соответственно, для работы ему нужен запущенный KeePass с разблокированной БД.
Мои выводы:
1) Встроенный в Firefox менеджер паролей не есть хорошо, это понятно и так. Но он имеет существенное преимущество: заполняет данные основываясь на адресной строке и при опечатке в наборе не отдаст пароль какому-нибудь forum.mazilla-russia.org
2) При всей надежности хранения, автозаполнение KeePass как раз так сделать может - т.к. определение происходит или по заголовку окна, или по команде пользователя. Первое подделывается, второй обманывается.
3) Используя KeePass + KeeFox получаем надежность хранения первого и более тесную интеграцию Firefox'ом за счет второго, что приводит как к повышению удобства, так и к повышению безопасности.
4) Опять же данные передаются уже не через буфер обмена(как в случае копирования их из KeePass без автозаполнения).
5) Но... Но если KeePass программа проверенная и надежная, то про KeeFox мне такое сказать затруднительно... Поиск достоверных результатов не дал, хотя на "р-борд" один человек его "якобы тестировал" и все хорошо, но похоже, что тест был как минимум странен, т.к. использовался кейлоггер.
6) На сайте написано, что плагин в активной разработке. Так что есть повод ждать совместимости и с fx4, когда он выйдет.