La situazione sembrava essere praticamente chiusa quando Microsoft, l’imputata della vicenda, aveva annunciato l’adozione del cosiddetto ballot screen, ovvero uno strumento che dovrebbe presentare, in un’apposita schermata, una panoramica dei vari browser disponibili, con una piccola descrizione per ognuno e tanto di link per consentirne il download.

Diciamo che la questione sembrava risolta anche perché le ultime modifiche avevano convinto pure la Commissione Europea, la quale aveva fortemente fatto pressione su Microsoft negli anni scorsi per porre fine alla presunta posizione dominante atta a favorire il proprio browser, Internet Explorer, rispetto ai concorrenti.

Non sembrano però dello stesso parere le tre concorrenti principali, ovvero Google, Mozilla e Opera, che hanno detto di voler presentare una richiesta affinché la Commissione Europea non dia il via libera all’implementazione del ballot screen così come Microsoft l’ha presentato, giudicando chiaramente inefficace la sua utilità rispetto all’obiettivo di garantire eque condizioni di mercato a tutti i concorrenti.

Così un rappresentante di Opera è intervenuto sulla questione:

Speriamo che la commissione sia aperta a risolvere i problemi. Pensiamo sia molto importante che questo rimedio funzioni. una opportunità unica per garantire che il mercato dei browser funzioni.

I punti richiesti dai tre sono essenzialmente quelli di avere una schermata di scelta del browser assolutamente anonima, senza alcun richiamo, nella grafica così come nei loghi usati, a Microsoft e al proprio programma per la navigazione, oltre all’implementazione di una funzione che disponga i browser nella finestra del ballot screen in maniera casuale ogni volta che viene attivata, evitando quindi favoritismi di tipo “alfabetico” o altri condizionamenti dettati dall’abitudine.

Adesso la decisione, che si annuncia difficile, spetta alla Commissione. Di certo c’è che questa vicenda, partita con le premesse di una giusta domanda di condizioni eque per tutti, sta diventando una vera e propria telenovela con una trama ricca di colpi di scena imprevedibili quanto improbabili e poco credibili.

Google, Mozilla e Opera puntanto spesso, nelle loro dichiarazioni, a far notare come l’utente possa scegliere Internet Explorer anche solo per “abitudine”, un aspetto che secondo loro potrebbe sfavorire la concorrenza, ma che al tempo stesso non sembra possa risolversi con le proposte fin qui fatte.

Se l’utente dovesse infatti scegliere “ad occhio”, che l’icona di Internet Explorer sia la prima o che sia l’ultima, la scelta ricadrà sempre su questa in base al ragionamento di prima, pertanto queste ulteriori polemiche appaiono più pretesti per “allungare” il discorso e tenere alta l’attenzione sui propri prodotti più che richieste veramente sensate.

In fondo, se proprio dà fastidio che un qualche richiamo a Microsoft possa influenzare la scelta, forse il prossimo passo potrebbe essere di creare un ballot screen che presenti tutti i browser tranne Internet Explorer, probabilmente in questo modo la scelta sarebbe, a detta delle “tre sorelle”, la più equa e giusta possibile…

Fonte: OneWindows

Rispetto al 2006, gli introiti hanno fatto segnare un interessante aumento del 12 per cento (più 8 milioni): l’anno scorso, il contributo di Google si era fermato all’85 per cento del totale, poco meno di 60 milioni, e già allora le polemiche erano infuriate. Dalla Foundation voci autorevoli si erano levate per difendere la filosofia e gli obiettivi di Mozilla: ma è indubbio che quei quattrini, qualunque sia la provenienza, facciano maledettamente bene allo sviluppo di Firefox, Thunderbird e tutti i progetti collegati direttamente e indirettamente alla Foundation.

Basti ricordare che sia Gnome che Creative Commons sono tra i destinatari delle donazioni di Mozilla, e si tratta in entrambi i casi di progetti che rivestono una certa importanza per la community dell’open source e in ogni caso in linea con la mission della Foundation: vale a dire lo sviluppo e la diffusione del web secondo standard condivisi, obiettivi che ne fanno (o forse ne hanno fatto fino ad oggi) un’organizzazione non profit che gode anche di notevoli benefici fiscali.

A quanto pare, però, l’ufficio delle imposte statunitense (IRS) starebbe pensando di rivalutare la posizione di Mozilla in tal senso: la crescita vertiginosa dei bilanci, la diversificazione degli impegni e quindi il successo della Foundation sembrano aver convinto l’organo di controllo a rivedere la definizione "non profit" della organizzazione, nonostante nel frattempo sia nata anche la Corporation proprio per tenere in regola i conti. In ogni caso, fanno sapere da Mozilla, le tasse arretrate non dovrebbero superare di molto l’ordine delle centinaia di migliaia di dollari, e un cospicuo fondo cassa era stato già accantonato proprio in questa prospettiva.

Il presidente della Foundation, Mitchell Baker, ha espresso la sua soddisfazione per i conti di Mozilla: il progetto è in buona salute, lavora alacremente alla diffusione del software anche grazie alle localizzazioni, la community è sana e rigogliosa e contribuisce ad oltre il 40 per cento di tutto il codice scritto per il browser, il numero di utenti che utilizzano quotidianamente Firefox è cresciuto fino a quasi 50 milioni (il doppio rispetto al 2006).

Nel futuro, poi, ci sono il mercato mobile (Fennec scalpita), una nuova attesa versione di Thunderbird e tanto, tanto lavoro per continuare a irrobustire la community che ruota attorno alla Foundation: così da garantire un futuro solido a Firefox anche quando Chrome dovesse sottrarre un po’ di spazio sulla scena, e magari anche un po’ dei soldi di Google.

Fonte: Punto Informatico

La finestra principale di Google Chrome mostra uno stile minimalista che si fonde al meglio con le applicazioni Google.

Chrome può importare le impostazioni da Firefox e Internet Explorer, tra cui segnalibri, motori di ricerca, password salvate e cronologia.

Il task manager di Chrome fornisce un modo semplice per identificare quale scheda sta utilizzando la maggior parte della banda, CPU e memoria. E grazie alla sua architettura multiprocessore vi permette di eliminare le schede e recuperare risorse.

Al posto di una pagina bianca, si ha una barra di ricerca, le pagine visitate di recente e i segnalibri più recenti.

Il gestore dei download ha un design molto attraente e semplice.

E’ aggiunta un’icona di download alla scheda in cui sta avvenendo lo scaricamento del file.

La funzionalità di ricerca è attivata con la combinazione di tasti Ctrl + F.

La barra informativa di salvataggio della password di Google Chrome.

Le finestre popup vengono ridotte nella zona in basso a destra dello schermo e possono essere visualizzate trascinandole.

E’ possibile salvare una qualunque applicazione web come una scorciatoia per la barra di avvio rapido di Windows, il desktop e il menu Start.

La navigazione in incognito fornisce uno spazio privato in cui ogni traccia della sessione viene eliminata quando si abbandona questa modalità e si ritorna alla navigazione "normale".

In modo coerente con il suo approccio minimalista, la finestra delle opzioni di Google Chrome contiene pochissime voci di base.

Per essere il più concisi possibile, vediamo che cos’ha Chrome in più rispetto a Firefox.

Direi che il vantaggio più grande rispetto a Firefox è la possibilità di gestire le schede in processi indipendenti il che significa che un bug nel browser o in un plugin, o una pagina web codificata male non mandano in crash l’intera applicazione, ma solo quella scheda o quel determinato plugin. Questa architettura consente anche l’utilizzo del task manager grazie al quale, una volta per tutte, saremo in grado di sapere se è il browser oppure una certa pagina a rallentarci.

C’è un rilevante overhead di memoria ma non se avete a bordo 1 GB o 2 GB di RAM non c’è molto da preoccuparsi se vengono utilizzati 200MB o 300MB. Essere snelli è sempre una buona cosa, ma essere rapidi è persino meglio.

Poi c’è quel tema davvero accattivante: nessun menu principale, la barra di stato viene mostrata in basso solo quando necessario, come la barra Trova; non c’è alcuna barra di ricerca perché è integrata nella barra degli indirizzi. C’è un pulsante per aprire una nuova scheda, una bella animazione quando si accede alla barra degli segnalibri o quando ci si sposta tra una scheda e l’altra.

La sua modalità privata, in incognito, la vedo più come una comoda funzionalità a disposizione piuttosto che un "must" ma la sua implementazione, insieme a quella di Microsoft e Apple, sta diventando uno standard, come la protezione dal phishing.

Chrome totalizza un 79/100 nel test Acid3, davanti a Firefox 3 che ha fatto segnare 75/100 ma dietro alle ultime nightly di Firefox 3.1 (85/100). Nel benchmark Sunspider JavaScript, Chrome supera nettamente Firefox 3.0.1: 3700 ms contro 5100 ms sul mio Dell Inspiron 6400 (equipaggiato con un Centrino Duo 2GHz, 2 GB di RAM).

Un’altra cosa positiva è quello che Google non ha fatto, vale a dire non hanno riempito il browser di applicazioni Google. Non c’è l’integrazione con Gmail (o con qualunque altro servizio di webmail), Google Reader, Google Docs, Gtalk e così via. Google naturalmente è il motore di ricerca predefinito ma si può facilmente cambiare. E naturalmente parliamo di una Beta e un’integrazione potrebbe già essere nei piani di Google, ma è bello sapere che c’è Chromium, il progetto open source dal quale deriva Chrome, così gli sviluppatori potranno modificarlo in caso di necessità.

Cosa manca a Chrome rispetto a Firefox? Beh, l’elenco è lungo e naturalmente inizia con la mancanza di ogni estendibilità che è il punto forte di Firefox: un modo per far fare al browser qualunque si possa immaginare, fino al punto di renderla un’applicazione completamente diversa, come fanno FireFTP o Pencil.

Come detto in precedenza, penso che Google tenterà di integrare Google Gadgets e presentarlo come un metodo per personalizzare il browser, ma ovviamente sarebbe limitato come quando Apple fece un annuncio simile per il primo iPhone.

Che altro? Tenetevi forte. Senza un ordine particolare: non c’è una gestione del sovraffollamento delle schede, non c’è l’etichettatura o una gestione dei segnalibri smart, non c’è il recupero dei download tra le sessioni, non c’è il recupero di una scheda appena chiusa, non c’è il supporto multidizionario, nessuna personalizzazione della barra degli strumenti oltre al fatto di nascondere il pulsante della pagina iniziale e la barra dei segnalibri (accessibile solo tramite Ctrl + B), nessun tipo di supporto ai feed web, nessun supporto nativo video/audio, nessuna seleziona discontigua del testo, nessuna opzione di stampa della pagina, e così via.

La lista è lunga ma poiché si tratta di una Beta possiamo aspettarci di vedere alcune di queste funzionalità in futuro. Oppure no. Questo è Google e la versione finale potrebbe anche non arrivare mai e quindi penso che se Google non fornirà presto una tabella di marcia (ah ah!) potremo chiamarlo definitivamente Chrome 1.0.

Conclusioni

Mi piace Google Chrome, e credo che riuscirà ad acquisire una significativa fetta del mercato dei browser, si spera ai danni di Internet Explorer. Ma è ancora tutto da vedere.

Anche se ancora non lo trovo sufficientemente competitivo per battersi con Firefox, si tratta di un’alternativa davvero succulenta per centinaia di milioni di utenti Google ai quali viene offerto di installarlo in ogni pagina di ricerca, o tramite qualunque prodotto targato Google. Il che mi sta bene, perché ne va a beneficio sia della concorrenza che di Mozilla ma la preoccupazione nel lungo periodo è: dove si fermerà Google?

Dopotutto, Google è una public company e, come minimo, le sue intenzioni per il bene di tutti si collocano in secondo piano rispetto ai suoi azionisti.

Funzionalità a parte (possono sempre essere copiate, anche l’estendibilità) la differenza principale tra Chrome e Firefox, entrambi progetti open source, è l’azienda che vi sta dietro e la loro missione. Mozilla è un’organizzazione che opera per il bene di tutti, si preoccupa di Internet, un principio nobile e idealistico, e devo ancora avere la prova che dimostri il contrario.

In passato, ha lottato per restare fedele alla propria missione. Oggi si gode il successo per la medesima ragione, per buona parte grazie ad un partner commerciale come Google. Il che non significa che Mozilla morirebbe senza Google: non mancano le aziende che sono interessate a raggiungere 200 milioni di utenti, ogni giorno.

Sono contento di dare il benvenuto a dei prodotti nuovi, soprattutto così validi come Chrome.

Fonte: mozilla links – edizione italiana

Quella che vi segnalo oggi è invece una estensione per Firefox, GDocs Bar che, oltre a funzionare su tutte le piattaforme, è sia un sistema di accesso rapido ai propri documenti che un sistema di gestione dell’upload dei documenti.
gDocs Bar permette di visualizzare tutti i documenti o solo quelli di una cartella, ricercare in tutti i documenti o solo in uno specifico tipo (testo, foglio elettronico, presentazione), ordinarli per data, titolo o autore: un click sul nome del documento permetterà di aprire immediatamente il documento.

La gestione dell’upload è molto semplice, è sufficiente trascinare i file all’interno dello spazio inferiore della gDocs Bar e questi verranno immediatamente caricati online.
Un utile compagno per il vostro ufficio nomade, soprattutto per chi usa Firefox in versione portable.

Fonte: Download | blog.it

Il problema sorge nel momento in cui lo script greasemonkey contiene al suo interno del codice maligno. A meno che non sia l’utente stesso in grado di capire il significato del codice che sta installando – ammesso che abbia la pazienza di visualizzarne il contenuto – nessun antivirus è in grado di verificare la genuinità degli script.

In seguito a due battute scambiate su twitter con Matteo posto qui una demo scritta al volo per rendere meglio l’idea

Questo codice js è solo una dimostrazione di come possono essere sfruttate le estensioni Firefox per eseguire operazioni illecite. La demo preleva la location e la password in chiaro dalle form di login e le inoltra all’autore dello script.

Con un po di fantasia il codice potrebbe essere annidato o offuscato in altro codice e spacciato per uno script di utilità. L’inoltro potrebbe essere eseguito silenziosamente attraverso un iframe.

Sono sempre più convinto che i prossimi trojan/keylogger ce li ritroveremo nelle estensioni per i browser.

di Gianni Amato, via GianniAmato.it

Barbara mi segnala nei commenti un problema alquanto strano:

Ciao Gianni, ho installato questa estensione che sembra veramente utile mi è capitato l’altro giorno un problema con Gmail ossia un’email di spam inviata dal mio account Gmail a parte dei miei contatti ( tale email l’ho trovata tra l’altro anche nelle sent email). Inizialmente ho pensato potesse essere un problema di Firefox + Gmail ma leggendo in giro l’ultima versione di Firefox mi dicono abbia risolto le vulnerabilità JAR? Ho scritto all’assistenza Gmail e mi hanno semplicemente suggerito di cambiare password … come può capitare una cosa del genere ( una settimana fa era capitata anche ad un amico, la stessa identica cosa) Scusa se ti rompo in OFF TOPIC ma tu sei un esperto ho letto di recente anche un articolo su internet magazine che parlava di quest’argomento (sicurezza Gmail) se non erro magari mi sai illuminare un pò, grazie mille e scusa dell’off topic

Dalla versione 2.0.0.10 in su il problema del protocollo jar è stato risolto e il bug dell’inoltro automatico che permetteva di creare una backdoor in Gmail è stato tappato quasi immediatamente. Quest’ultimo ha poco a che vedere con l’invio di email spam, è comunque consigliato dare un’occhiata alle impostazioni del filtro e assicurarsi che sia tutto ok.

Cosa può aver causato il problema? Generalmente le ipotesi sono 2:

1) Una vulnerabilità in Gmail non ancora resa nota (0-day).
2) Lo spammer è entrato in possesso dell’account Gmail a causa di una password debole.

La seconda è meno probabile. Se i messaggi spam sono stati inviati solo alla lista contatti si evince che l’operazione non è stata eseguita manualmente ma è frutto di uno script.

Navigare con XSS Warning attivo può aiutare a bloccare l’azione di eventuali script pericolosi.

Sarebbe interessante capire cosa è stato inviato, a quante persone (casuali o una lista sequenziale?) e con quale frequenza, oppure si tratta di una singola email inviata a più persone?

Aggiornamento (09/10/07 01:00):

Anche qualche utente Yahoo! in questi giorni lamenta un problema simile (accenna a una presunta manomissione delle credenziali).

Il messaggio spam è di questi giorni. Su ebay se ne trovano tantissimi, tutti dello stesso tipo, ne parlano su questo forum, altri su Yahoo! Gruppi.
Questo ad esempio è stato cancellato ma è ancora visibile dalla Cache di Google, lo stesso messaggio inviato dalla posta di Barbara.

I siti sui quali viene pubblicizzata la vendita dei prodotti sono stati registrati in Cina nel mese di ottobre.

di Gianni Amato, via GianniAmato.it

FireFox

I motivi di questo successo sono molteplici, ma non costituiscono l’argomento principale di questo articolo, che vuole invece puntare l’attenzione sul come poter sponsorizzare all’interno delle pagine di un sito web, il browser della "volpe di fuoco", cercando di ridurre al minimo l’invasività dell’operazione.

Il metodo più classico e certamente più diffuso è quello di inserire un banner di dimensioni opportune, all’interno di una o più pagine del proprio sito o, se si desidera rafforzare la presenza del messaggio, addirittura nel template del sito stesso. A tal scopo si possono utilizzare banner già predisposti allo scopo reperibili su Spread Firefox! (ringrazio Gioxx, consigliere dell’associazione Mozilla Italia, per la segnalazione indiretta).

Non è un mistero che Google finanzi la Mozilla Foundation^W: infatti chi partecipa al programma AdSense, può anche scegliere di inserire tra le tante tipologie di annuncio disponibile, anche dei pulsanti referral che sponsorizzano FireFox in congiunzione, naturalmente, con Google Toolbar.

Tra questi, quello che mi ha colpito di più è senz’altro quello che può comparire sotto forma di barra orizzontale su fondo giallino in testa all’header di una pagina, solo nel caso in cui, naturalmente, il browser utilizzato non sia FireFox. L’effetto, molto incisivo e immediato, a lungo andare, può risultare fastidioso per l’utente. Proprio per questo motivo ho pensato, più per sperimentazione che per reale necessità, di realizzare un semplice plug-in che fosse in grado di rendere lo stesso messaggio, dando però l’opportunità all’utente di disattivarlo, anche per le successive visite allo stesso sito.

Il banner, che si presenta come quello in figura, ospita un pulsante contenente una X che, se selezionato, consente di nascondere immediatamente il messaggio e di impedirne la visualizzazione anche durante le sessioni di navigazione successiva.

Questo sito viene visualizzato al meglio con Firefox.X

Come funziona

Il plug-in è stato realizzato con un semplice javascript^W per renderlo sia cross-browser che indipendente dal tipo di pubblicazione: può essere inserito sia all’interno di pagine statiche che dinamiche o template.

A seconda della lingua impostata sul browser di provenienza, il messaggio verrà mostrato:

• In italiano se il browser è localizzato nella lingua medesima
• In inglese se il browser è localizzato in qualunque altra lingua

Il banner non viene mostrato, ovviamente, se il client di navigazione è FireFox.

Se lo stesso client ha l’interprete javascript disattivato, semplicemente non verrà eseguito e di conseguenza non verrà mostrato il messaggio.

La pressione del pulsante di chiusura, oltre che a nascondere immediatamente il banner, provvede anche al salvataggio di un cookie^W della durata di 90 giorni, sul client del visitatore, al fine di tenere traccia, per le visite successive, della scelta operata dall’utente di non mostrare più il messaggio.

Ovviamente, se il visitatore in tale intervallo di tempo provvede alla pulizia (leggi eliminazione) della cache dei cookie del suo browser, alla successiva visita del sito ospitante il plug-in, il messaggio verrà nuovamente mostrato.

Installazione

Anzitutto è necessario scaricare il plugin: bvfirefox.js (2,08 kb)

Successivamente è sufficiente inserire immediatemente dopo il tag <BODY> della pagina HTML^W (o template) ove si vuol inserire il banner, la seguente riga di codice:

<script language="javascript" src="bvfirefox.js" />

L’attributo src del tag script deve contenere il percorso relativo esatto del file bvfirefox.js, pena la non esecuzione dello stesso. Nell’esempio indicato si presume che il file sia reperibile nello stesso percorso relativo alla pagina che contiene il riferimento allo script.

Il file javascript, non è compresso per dare l’opportunità di visionare il codice ed eventualmente personalizzarlo.

Conclusioni

Personalmente, non amo molto la pubblicità sul web, perlomeno non quella particolarmente invasiva: il plug-in realizzato vuole essere un punto di partenza per la realizzazione di banner che consentano all’utente di scegliere di nasconderli (o non mostarli affatto) nel caso in cui li si ritenga fastidiosi per la consultazione del sito che li ospita.

di Cristiano Fino, via cristianofino.net

Premessa: sono di parte, passo parte del mio tempo libero collaborando attivamente con Mozilla Italia, sono un consigliere dell’associazione, conosco i fatti veri senza necessità di inventare cagate da raccontare in giro, so cose “voi umani non potete neanche immaginare”

Mettiamola così: Google finanzia in modo massiccio la Mozilla Foundation. Ci crede, pensa che Firefox possa davvero combattere il predominio di Microsoft Windows Explorer (ex Internet Explorer). Il software è valido, i programmatori sanno il fatto loro e sono stati in grado di tirare fuori un applicativo che ha velocemente conquistato l’approvazione del pubblico di massa togliendo una buona fetta di utenza sia dal fronte Microsoft (con tutte le varianti di Explorer) che dall’Operiano (mi si conceda licenza poetica ).

Google NON è Mozilla. Durante l’ultimo incontro con Tristan Nitot più volte è stata avanzata l’ipotesi o fatta la fatidica domanda “e se Google decidesse di abbandonarvi?” ma la risposta è sempre stata la stessa: “Google è un donatore, non un datore di lavoro“. Fino a qualche tempo fa (neanche tanto) la sopravvivenza e tutti gli introiti dell’azienda venivano dalla vendita dei gadget, dal tempo libero dei programmatori e/o dei gruppi di assistenza tecnica, dal supporto morale / fisico / finanziario della comunità. Nell’agosto del 2005 Mozilla decise di fondare una Corporation per far si che grosse aziende potessero finalmente dare il loro supporto in modo trasparente. La prima fu AOL, a seguire tutte le altre. La nascita di una “S.p.a.” era necessaria. Anche in Italia le leggi sono parecchio restrittive nei confronti delle associazioni senza scopo di lucro (lo sappiamo fin troppo bene in Mozilla Italia): non si possono ricevere soldi come sponsorizzazione, tutte le uscite devono essere giustificate ed utilizzate per sostenere l’attività dell’associazione stessa, non si hanno guadagni di alcun tipo.

Google è solo un nome conosciuto che, se associato ad un altro grande logo, lascia spazio a facili supposizioni, a informazioni dubbie, a ipotesi infondate. Non fa eccezione nessuno (siti specializzati, blog, amici, colleghi, parenti). La cosa che più mi fa ridere è un’altra. Sono anni che macchine desktop e portatili nascono con sistemi operativi Microsoft forniti di Windows Internet Explorer. Articoli che parlano di “strani passaggi di dati verso Microsoft e simili” ce ne sono a bizzeffe, molto probabilmente fasulli anche loro. Perché quindi si grida allo scandalo contro Firefox? L’azienda (ed il software) è trasparente, qualunque programmatore con sufficienti capacità di interpretazione del codice può scorrere il sorgente e trovare ciò che gli interessa. Provate a farlo con Explorer.

Chiudo con un ultima riflessione riferita ad un particolare post del nostro forum:

http://forum.mozillaitalia.org/index.php?topic=29956.0

Ora: tralasciando la facile battuta sul nick dell’utente che ha cominciato la discussione, vorrei provare a buttare altre due righe oltre a quelle che gli ho dato “in risposta diretta“:

• All’atto dell’installazione del browser vengono impostati due parametri fondamentali come predefiniti: home page di Google (personalizzato per Firefox) e barra di ricerca che punta allo stesso identico motore (in alto a destra). In entrambi i casi sarà possibile mettere mano alle impostazioni ed estirpare il noto motore di ricerca sia in pagina iniziale (mettendo la vostra pagina preferita) che nella search bar (installando plugin di decine di altri motori).
• Google permette di proteggersi da siti malevoli (casi di phishing) attraverso un proprio database costantemente aggiornato. Da Strumenti / Opzioni / Sicurezza si può decidere di utilizzare una lista di siti sospetti senza fare appoggio a BigG. Per completezza di informazione, se si clicca sull’opzione “Verifica contattando Google…“, Firefox propone un messaggio che informa l’utente su quanto accadrà da quel momento in poi (fino alla successiva modifica dell’opzione).
• Solo installando la toolbar di Google sarà possibile salvare e tenere attivo l’accesso a tutti i servizi del portale. Il software non si installa da solo, è l’utente a fare tutto.
• La storia del cookie di Google valido fino al 2038 non dipende da Firefox, basterebbe informarsi in modo decente.

La smettiamo quindi di tirare fuori della gran fuffa?

di Gioxx, via Gioxx’s Wall

La vulnerabilità è stata portata alla luce da Petko D. Petkov, security analyst del gruppo open-source GNUCitizen, più di 10 giorni fa. L’analisi della problematica ha coinvolto successivamente anche altri popolari ricercatori di sicurezza, come Michal Zalewski e Aviv Raff. Bisogna tuttavia evidenziare che sul database di bug tracking di Mozilla il bug principale legato alla falla era stato segnalato da Jesse Ruderman già a Febbraio scorso (Bug 369814).

Mozilla ha confermato l’esistenza della problematica tramite il blog ufficiale Mozilla Security. Secondo l’azienda il problema di sicurezza è legato al fatto che il protocollo jar: non viene ristretto agli archivi java e può essere utilizzato per aprire qualsiasi tipo di formato file ZIP. Un attacker può quindi sfruttare questo bug per evadere il filtering dei siti che permettono agli utenti di caricare contenuti e ed utilizzare questi per lanciare un attacco di cross site scripting. Una descrizione dettagliata degli attacchi è stat pubblicata da Petkov in un ultimo intervento dedicato al problema.

Da Mozilla Security: "Firefox supporta lo schema Java Archive URI che permette l’ addressing dei contenuti di archivi ZIP. Un attacker potrebbe caricare un file in formato zip su un sito sicuro che permette l’upload di contenuti. La vittima clicca su un link sul sito dell’attacker, o in un messaggio di posta, che collega al contenuto caricato sul sito sicuro. Dato che il contenuto viene caricato da questo sito, il contenuto del file ZIP si esegue nel contesto del sito sicuro. Questo può permette all’attacker di accedere ad informazioni conservate sul siti sicuro senza che l’utente ne sia a conoscenza". Mozilla evidenza anche l’esistenza di una seconda problematica di sicurezza correlata (Bug 403331): se un archivio ZIP viene caricato da un sito tramite un redirect, Firefox utilizza il contesto del sito di partenza. Questo bug permette ad un attacker di sfruttare siti con "open redirect" per hostare contenuti sui propri siti nocivi ed eseguirli con i permessi del sito di redirecting.

Bisogna evidenziare che in rete è stato pubblicato un proof of concept che dimostra l’exploit di entrambe le problematiche in un attacco contro il popolare servizio di webmail Gmail. Il PoC permette all’attacker di accedere ai contatti salvati sull’account della vittima.
Mozilla ha affermato il bug relativo al "contesto di sicurezza" sarà corretto nella release Firefox 2.0.0.10, attualmente in testing(nel caso di reindirizzamenti, sarà considerato il sito web finale come quello di origine). Nelle future versioni di Firefox inoltre sarà supportato lo schema JAR solo per i file che vengono distribuiti con il corretto MIME type "application/java-archive". Considerata la disponibilità pubblica di un codice PoC, è probabile che anche Google interverrà presto per bloccare questo tipo di attacchi sui propri servizi web (eliminando i problemi di open redirecting).
Ricordiamo che gli utenti possono proteggersi da questi e da molti altri simili attacchi utilizzando su Firefox la popolare plug-in NoScript. Come spiegato da Giorgio Maone, autore della potente estensione, NoScript è in grado di impedire alle risorse remote JAR di essere caricate come documenti, neutralizzando tentativi di attacco XSS tramite il protocollo jar: protocol (maggiori dettagli nella FAQ).

di Netquik, via Tweakness

Traffyk segnala un metodo di risoluzione molto comodo. L’aggiunta del bookmarklet “Subscribe” tra i vostri segnalibri affinché si possa aggiungere velocemente tutti i feed con un solo clic.

La mia risoluzione sarà un tantinello più complicata (neanche tanto) ma permetterà di modificare il comportamento di Firefox per fare riferimento al solito bottone feed già presente.

Aprire l’about:config e cercare la chiave “browser.contentHandlers.types.2.uri“:

Al posto della stringa predefinita (http://fusion.google.com/add?feedurl=%s) inserire:

http://www.google.it/reader/view/feed/%s

Per sicurezza controllare che la chiave “browser.contentHandlers.types.2.title” sia impostata a “Google Reader“. Fatto questo occorrerà riavviare il browser per applicare le modifiche.

L’intenzione del sottoscritto era quella di realizzare un’estensione che facesse tutto automaticamente senza farvi toccare l’about:config. Il lavoro è pronto ma non funziona correttamente nonostante l’aiuto del buon Davide che sviluppa quotidianamente estensioni. In un prossimo post voglio comunque analizzarla con tutti voi e farvene capire il funzionamento.

di Gioxx, via Gioxx’s Wall

Tra le novità inserite in questa versione:

• Codice completamente riscritto per ottenere prestazioni migliori
• L’estensione è ora localizzabile

L’estensione raccoglie i migliori script Greasemonkey trovati in giro per il web e li propone sotto forma di estensione per Firefox.

Alcune immagini dell’estensione e maggiori informazioni (in lingua inglese), sono disponibili qui.