Topic: info su firefox e sandbox

[marvin]

chiedo scusa per la mia ignoranza ma chi mi sa dire cosa è sandbox a che serve ed eventualmente come si attiva (se mai è possibile?)

[RNicoletto]

Dovresti un attimo contestualizzare la cosa. Di cosa stai parlando? Di una funzione/caratteristica di Firefox? Di una utility per Firefox o di una utility generica? Di qualcos'altro?

[marvin]

in realtà non so neanche io di cosa sto parlando, ma nei giorni scorsi mi sono ritrovato casualmente in un forum di banche e di sicurezza sull'online banking e leggevo delle cose su questo sandbox con firefox, con un linguaggio tecnico per cui io non capito niente, credo che la stessa cosa lo abbia anche Chrome forse con il nome di sandiboxie o qualcosa del genere.
In quanto non sono registrato a quel forum e non volendo farlo, mi sono permesso di chiedere qualcosa qui, se mai qualcuno ne sa qualcosa.

[marvin]

Ok, forse credo che sia un programma, quindi non penso sia una funzione o particolarità di Firefox, quindi direi che suono OT. Grazie comunque.

[RNicoletto]

Allora forse stavano parlando di Sandboxie.

[gialloporpora]

Un progetto per integrare in Firefox un sistema di sandbox è electrolysis, però è soltanto parzialmente presente in Firefox 4.

[miki64]

Anche la suite Comodo ha una funzione di Sandbox, ma ti assicuro che non vale la pena "sandboxare" il browser perché i browser attuali sono troppo complessi da mettere in sicurezza senza inficiarne qualche caratteristica.  

[gialloporpora]

Però dovrebbe essere una priorità di Mozilla quella di integrare questo strumento in Firefox, credo però non sia un'operazione semplicissima.

[miki64]

  Hanno copiato tante cose di Chrome e questa cosa no?

Firefox 4 non ha un meccanismo di sandboxing capace di rilevare operazioni dannose messe in atto dai componenti presenti nelle pagine web nocive. Lo conferma anche Marco Giuliani, Malware Technology Specialist per Prevx, che spiega: "Il browser di Mozilla non è stato adattato alle nuove tecnologie di sicurezza fornite da Microsoft: sia il processo firefox.exe che il processo plugin-container.exe vengono eseguiti ad un livello di integrità medio, senza alcun tipo di limitazione se non la restrizione fornita dall’account limitato generico configurato in Windows (ammesso che l’utente stia utilizzando il sistema come utente limitato e non come amministratore)". Giuliani ricorda come sia Chrome che Internet Explorer 9.0 utilizzino un meccanismo in grado di proteggere il personal computer dell'utente: "Sia Google Chrome che Internet Explorer pongono la sessione di navigazione in una modalità protetta, limitata, separata dal resto del sistema - e con essa anche gli eventuali plugin utilizzati dal browser -. Se, per qualsiasi motivo, l’utente, sua sfortuna, dovesse incappare in una pagina web capace di sfruttare qualche bug presente nel browser o nei plugin, e di conseguenza riesce a far eseguire del codice nocivo nel sistema, ecco che il codice nocivo non potrà arrecare alcun danno al sistema (o potrà fare dei danni molto limitati)".
Quindi, se Internet Explorer 9.0 si "aggancia" ad alcune caratteristiche introdotte nelle più recenti versioni di Windows e Chrome implementa una propria tecnologia di sandboxing basata sulla gestione dei privilegi degli utenti (unita alla possibilità di aggiungere ulteriori restrizioni), da Firefox 4 era lecito aspettarsi qualcosa di più in tal senso.

[gialloporpora]

L'articolo originale è qui:
http://www.prevx.com/blog/170/Mozilla-Firefox--just-arrived-where-is-Electrolysis.html

anche se credo anch'io che quello sia la massima priorità per una futura versione, non è che finora ci siano grossi problemi di sicurezza, IE9 che sfrutta i tool di Windows 7 ha già ricevuto un security alert:s

Internet Explorer 9: segnalate vulnerabilità | HWfiles

Nelle scorse ore sono state diffuse alcune informazioni relative a una falla in Internet Explorer 9 che affligge anche i PC con sistemi operativi Microsoft WIndows 7 con Service Pack1. L'exploit pare in grado di aggirare tutte le protezioni previste da Microsoft in IE9 e Windows, tra cui ASLR, DEP e l'esecuzione in sandbox messa a disposizione dal recente browser. Qui è disponibile il breve messaggio diffuso con Twitter.

quindi la sandbox non è tutto.

[miki64]

La penso come te: è chiaro che la sandbox non è tutto, meglio un browser che ha poche falle, che se le ha comunque non sono critiche e che rimedia subito alle falle scovate.
Purtroppo anche la sandbox ora va di moda e quindi l'utenza che non valuta le cose a 360° si chiede perché FF non ce l'abbia. 

[marvin]

... grazie a Voi ora finalmente ho capito perfettamente cosa è la sanbox