Firefox continúa siendo vulnerable al robo de contraseñas

[Dvdcr]

Lamento decirlo (y no quiero caer en el recurso facilón de echarle la culpa a los antecedentes profesionales de Window Snyder), pero tengo la impresión de que la "reparación" de bugs de Mozilla se parece cada día más a la de Microsoft.

Así, hace unos días Heise informaba de que Mozilla se había visto obligada a parchear un parche para Firefox que, en vez de reparar el fallo, introducía una vulnerabilidad aún mayor que la que decía resolver. Entonces no di al asunto mayor importancia, porque al fin y al cabo la última versión (2.0.0.2) estaba a salvo.

Sin embargo, hoy me desayuno con la noticia de que también el parche para el famoso bug del robo de contraseñas de Firefox a través de su gestor (que se dijo resuelto en la 2.0.0.2) parece ser... otra chapuza...

Eso dice al menos Robert Chapin, descubridor original de ese bug, quien afirma que el parche de Mozilla cierra menos de la cuarta parte de los 22 problemas que genera ese bug. Y sus afirmaciones no parecen gratuitas: basta leerse su informe detallado (pdf) sobre el estado de cada una de ellas, donde incluso puntúa sus respectivas gravedades del 0 a 5.

Según Chapin, mientras Mozilla no resuelva al menos el 40% el usuario medio de Internet no puede considerarse razonablemente seguro, por lo que Chapin sigue recomendando la desactivación del gestor de contraseñas de Firefox.

En palabras de Chapin, Mozilla incluso debería esmerarse en superar esa cifra del 40% si quiere situarse por delante de su competencia.

Por tanto, por méritos propios y con el agravante de manifiesta reincidencia en una misma semana, en espera de confirmación esta nota va a la sección de Chapuzas, en lugar de la de Firefox, que habría de ser su destino natural.

- http://www.kriptopolis.org/firefox-c...de-contrasenas

felizmente uso opera

[keko_741]

Sera malo pero de ultima no se usa el administrador de contraseñas y listo, a demas una parte de los que utilizan el administrador de contraseñas lo hacen para recordar contraseñas que no tiene importancia como los de paginas de subtitulos o de torrents, en eso no tiene importancia.
A demas no usaria el administrador de contraseñas para guardar contraseñas de cosas importante como las que se usan para realizar movimientos bancarios.

[Vanchi]

Aguante Konqueror :)

[TolaWare]

¿Y quien les asegura que Konqueror u Opera no tiene fallos de este tipo?

[Dvdcr]

Iniciado por TolaWare

¿Y quien les asegura que Konqueror u Opera no tiene fallos de este tipo?

Nadie, pero hasta ahora no se ha reportado ninguno.
Pero supongo que como es firefox, esta bien

[keko_741]

Los errores aparacen en los navegadores que mas se usan devido a la cantidad de personas que lo utilizan.

[juankamed]

MMM yo nunca guardo contraseñas, pero lo que si sé es que Opera y Firefox son más seguros que IE, o no?

[multirest]

si, son más seguros, pero también hay que tener en cuenta que para el Explorer tienes por ejemplo, en proporción, 10 mil personas buscándole errores, en cambio para los otros tienes 10

saludos,

[Eternal Idol]

Iniciado por juankamed

MMM yo nunca guardo contraseñas, pero lo que si sé es que Opera y Firefox son más seguros que IE, o no?

Por supuesto que el Firefox es mas seguro que el IE asi que no existe ningun impedimento para guardar las contraseñas

[Vanchi]

Iniciado por multirest

si, son más seguros, pero también hay que tener en cuenta que para el Explorer tienes por ejemplo, en proporción, 10 mil personas buscándole errores, en cambio para los otros tienes 10

saludos,

Hola multirest,

Eso es una verdad a medias. Es cierto que M$ tiene más personas buscándole errores, pero Gecko (el motor de Firefox) tiene la increible ventaja de tener menos personas, pero más capacitadas.

Al Gecko ser de código abierto, es más fácil encontrarle los errores.

Existe un informe hecho por no me acuerdo que consultora (voy a buscarlo y si lo encuentro lo posteo) donde decía que se calcula que más o menos el 10% del código propietario tiene bugs... este porcentaje para el código abierto baja a 0.1%. (Léase 100 veces más estable)

Repito, no está en la cantidad de gente que lo use, sino en la posibilidad que tienen estas personas de investigar más el código.

Saludos

NOTA: Los porcentajes reales no los recuerdo, tan sólo recuerdo el orden

[Eternal Idol]

Iniciado por Vanchi

Existe un informe hecho por no me acuerdo que consultora (voy a buscarlo y si lo encuentro lo posteo) donde decía que se calcula que más o menos el 10% del código propietario tiene bugs... este porcentaje para el código abierto baja a 0.1%. (Léase 100 veces más estable)

Seria MUY interesante ver quien hizo y quien encargo el informe, ya que puede ser simplemente propaganda. No es bueno generalizar casi nunca y esta no es una excepcion, hay proyectos con todo tipo de licencias que son una porqueria y viceversa.

[juankamed]

Tengo entendido que al ser software libre hay personas en todo el mundo colaborando con esto verificando que tal está el software y sus bugs, eso si se compara con los 10mil de MS???

[TolaWare]

Iniciado por keko_741

Los errores aparacen en los navegadores que mas se usan devido a la cantidad de personas que lo utilizan.

Mas bien yo diría:

Los errores aparecen en los navegadores que mas se usan debido a la cantidad de personas que lo TESTEAN.

Digo esto porque no es lo mismo "usar" que "testear". Si no entiendes a lo que me refiero, te puedo contestar con una pregunta
¿De todos los fallos en programas que has encontrado cuantos reportaste a su desarrollador o corregiste tu mismo?

Esa es la diferencia entre USAR y TESTEAR

[nadie_ats]

Iniciado por TolaWare

¿De todos los fallos en programas que has encontrado cuantos reportaste a su desarrollador o corregiste tu mismo?

Si son de codigo abierto y son gratuitos si los reporto o reportaria . De codgio de propiedad o privado que les den bien dado , como mucho se lo venderia .

LA diferencia es que al de codigo abierto puedes encontrar un bug y mirar si se puede solucionar tu mismo o mirar donde esta el codigo sujeto a un posible bug y reportarlo adecuadamente .
En IE solo puedes percibir los bugs , pero no puedes ni arreglarlos , ni mirar donde esta el fallo .

Porcierto , el bug de el gestor de contraseñas (el cual no uso) ... no se como van a acceder a mi ordenador para explotar ese bug .......... cuando tengo controladas todas las conexiones que entran y que salen .... sin embargo con IE propio microsoft te hace conexiones entrantes a su querido navegador , no se para que , pero ahi estan ...

[Eternal Idol]

Iniciado por nadie_ats

LA diferencia es que al de codigo abierto puedes encontrar un bug y mirar si se puede solucionar tu mismo o mirar donde esta el codigo sujeto a un posible bug y reportarlo adecuadamente .
En IE solo puedes percibir los bugs , pero no puedes ni arreglarlos , ni mirar donde esta el fallo .

En realidad si que lo podes hacer, solo que es mucho mas complejo al necesitar hacerlo sin el codigo fuente pero Windows provee gratuitamente el depurador (WinDbg por ejemplo) y los simbolos de sus ejecutables que son de gran ayuda para saber los nombres de las funciones no exportadas y los campos de las estructuras.

[Vanchi]

Iniciado por Eternal Idol

Seria MUY interesante ver quien hizo y quien encargo el informe, ya que puede ser simplemente propaganda. No es bueno generalizar casi nunca y esta no es una excepcion, hay proyectos con todo tipo de licencias que son una porqueria y viceversa.

Encontré el informe prometido. Lo dejé en un post aparte:
http://www.forosdelweb.com/showthrea...18#post1926818

PD: Como me equivoqué en los números que puse en el primer post, entonces Uds. cambien donde dice "%" imaginensé que dice: "%o" (por mil) y listo!, ahora los órdenes son correctos.

Saludos

[keko_741]

Iniciado por TolaWare

Mas bien yo diría:

Los errores aparecen en los navegadores que mas se usan debido a la cantidad de personas que lo TESTEAN.

Digo esto porque no es lo mismo "usar" que "testear". Si no entiendes a lo que me refiero, te puedo contestar con una pregunta
¿De todos los fallos en programas que has encontrado cuantos reportaste a su desarrollador o corregiste tu mismo?

Esa es la diferencia entre USAR y TESTEAR

Tenes razon en eso, lo que yo puse fue una idea.

[Eternal Idol]

Iniciado por Vanchi

Encontré el informe prometido.

Si lo que comprobaron fue el software propietario de Symantec la verdad es que no me extraña.

[RBZ]

Iniciado por nadie_ats

Si son de codigo abierto y son gratuitos si los reporto o reportaria . De codgio de propiedad o privado que les den bien dado , como mucho se lo venderia .

No entiendo esta mentalidad, si encuentro un fallo en un programa de Microsoft lo reporto no me cuesta nada son ellos los que se tienen que esforzar. La próxima vez que compre un software suyo puede que este arreglado. Mi prioridad es que me den el mejor producto posible.

[keko_741]

Iniciado por RBZ

No entiendo esta mentalidad, si encuentro un fallo en un programa de Microsoft lo reporto no me cuesta nada son ellos los que se tienen que esforzar. La próxima vez que compre un software suyo puede que este arreglado. Mi prioridad es que me den el mejor producto posible.

Habria que reportarlos todos, si esto se hace y el personal de microsoft es responsable y soluciona todo lo que le dicen, se haria un software, casi perfecto.

[SeNdEr2003]

Iniciado por keko_741

Sera malo pero de ultima no se usa el administrador de contraseñas y listo, a demas una parte de los que utilizan el administrador de contraseñas lo hacen para recordar contraseñas que no tiene importancia como los de paginas de subtitulos o de torrents, en eso no tiene importancia.
A demas no usaria el administrador de contraseñas para guardar contraseñas de cosas importante como las que se usan para realizar movimientos bancarios.

Pero que clase de solucion tan tonta es esa?, yo venia leyendo por todos lados que Firefox era impenetrable, que era lo mejor, que la comunidad te corregia los bugs y que se yo cuantas pavadas y me venis con esto?, la solucion no es dejar de usarlo, es algo muy comodo para la navegacion, no solo se usa para bancos sino webmasters que requieren acceso a su panel de control dejan guardados sus passwords que por lo que veo son vulnerables, barbaro!, ahora tendran que tipearlos UNA Y OTRA Y OTRA VEZ....por suerte no lo uso, si la solucion que me dan es esta prefiero IE u Opera.

Iniciado por juankamed

Tengo entendido que al ser software libre hay personas en todo el mundo colaborando con esto verificando que tal está el software y sus bugs, eso si se compara con los 10mil de MS???

Tambien si lo vemos de otra forma hay personas de todo el mundo con el codigo en la mano y que pueden saber como vulnerarlo tranquilamente...asique todo depende de la honestidad de las personas (que sabemos muchas penden de un hilo)

[pablasso]

Iniciado por Vanchi

Hola multirest,

Eso es una verdad a medias. Es cierto que M$ tiene más personas buscándole errores, pero Gecko (el motor de Firefox) tiene la increible ventaja de tener menos personas, pero más capacitadas.

me encanta el software libre, pero a veces hay que ser mas objetivos y no solo tratar de hablar bonito, argumentando cosas que no puedes medir o probar

y no.. que me muestres que IE haya tenido una historia de mas vulnerabilidades, no me prueba en nada el grado de capacitacion de una persona

[Vanchi]

Iniciado por pablasso

me encanta el software libre, pero a veces hay que ser mas objetivos y no solo tratar de hablar bonito, argumentando cosas que no puedes medir o probar

y no.. que me muestres que IE haya tenido una historia de mas vulnerabilidades, no me prueba en nada el grado de capacitacion de una persona

Hola Pablasso,

Justo cortaste mi mensaje, pero abajo explicaba el significado que le di a la palabra "capacitado".

No se trata de un entrenamiento o de adquisición de "capacidades" por medio de estudio, sino de tener más posibilidades.

No quise decir que la gente de FireFox tuviese más entrenamiento o sea mejor que la de M$, sino que hay más gente en FireFox que tiene la "capacidad" de ver y estudiar el programa.

Saludos

PD: ¿Se entendió mi posición o me compliqué al pedo? (Si no está muy claro explico nuevamente)

[pablasso]

Entonces es un malentendido nada mas (sera que soy un poco quisquilloso jeje)

Saludos

[keko_741]

Iniciado por SeNdEr2003

Pero que clase de solucion tan tonta es esa?, yo venia leyendo por todos lados que Firefox era impenetrable, que era lo mejor, que la comunidad te corregia los bugs y que se yo cuantas pavadas y me venis con esto?, la solucion no es dejar de usarlo, es algo muy comodo para la navegacion, no solo se usa para bancos sino webmasters que requieren acceso a su panel de control dejan guardados sus passwords que por lo que veo son vulnerables, barbaro!, ahora tendran que tipearlos UNA Y OTRA Y OTRA VEZ....por suerte no lo uso, si la solucion que me dan es esta prefiero IE u Opera.

No es una solucion tonta, si no te sentis seguro no lo usas, es como subirte a un auto sin frenos, que vas a esperar que alguien lo arregle o no subis y listo.

[izar]

Iniciado por keko_741

No es una solucion tonta, si no te sentis seguro no lo usas, es como subirte a un auto sin frenos, que vas a esperar que alguien lo arregle o no subis y listo.

La solucion no es dejar de usar algo porque es inseguro y poco fiable. Si alguien adquiere un software es para poder usar con un minimo de seguridad-estabilidad todas sus características

[keko_741]

Iniciado por izar

La solucion no es dejar de usar algo porque es inseguro y poco fiable. Si alguien adquiere un software es para poder usar con un minimo de seguridad-estabilidad todas sus características

Seguro que no es una solucion, pero usarlo y quejarse, tampoco, a demas es una hipocresia.

[SeNdEr2003]

Iniciado por keko_741

Seguro que no es una solucion, pero usarlo y quejarse, tampoco, a demas es una hipocresia.

seguramente los anti-windows no lo usan?, veo hipocrecia en todos lados entonces, de parte de linuxeros tambien, si yo uso un software debe andar bien y sus opciones tambien, si son vulnerables esta mal y la solucion no es dejar de usarlas, y esta bien quejarse, sino nadie toma cartas en el asunto.

[Vanchi]

Iniciado por SeNdEr2003

seguramente los anti-windows no lo usan?, veo hipocrecia en todos lados entonces, de parte de linuxeros tambien, si yo uso un software debe andar bien y sus opciones tambien, si son vulnerables esta mal y la solucion no es dejar de usarlas, y esta bien quejarse, sino nadie toma cartas en el asunto.

Totalmente de acuerdo, aunque "quejarse" no sería una palabra apropiada, sino "reportar".

Hace más o menos 15 días actualicé mi Debian Sarge (en fase testing ya que lo tenía grabado en DVD unos 3 meses antes que fuera Stable) a Debian Etch.

Fue un cambio muy grande (cambios en la forma de operar del kernel, cambios en el sistema X)

Este cambio me significó perder el entorno gráfico. Pregunté en la lista de GNU/Linux a la cual pertenezco y me ayudaron a solucionar el problema.

Luego me criticaron el que no haya reportado el bug a Debian.

Saludos

[haggenx]

espero que para la tercera version este problema ya este resuelto, aunque creo que se van a ir mas por los servicios extras que traerá el navegador.