JonDoBrowser

[DrSchiwago]

Die Voreinstellungen sind schlecht, kein privater Modus per Standard, Cache Funktionen sind alle aktiv.
Certpatrol besitzt nicht die optionale Möglichkeit die Zertifikate im privaten Modus zu speichern.
Was wurde genau verbessert? Ich finde kein Changelog, wie sonst üblich.
Gibt es einen vordefinierte Zeitraum für die Erstellung von Sicherheitsupdates (im Fall der Notwendigkeit) für den Jondobrowser? Oder wird dieses durch Jondonym zeitgleich mit den normalen Firefox-Updates erfolgen.

[cane]

Die Voreinstellungen sind schlecht, kein privater Modus per Standard,

Wir nutzen den Privat Browsing Mode nicht, da er unserer Meinung nach nur suboptimal ist.

Cache Funktionen sind alle aktiv.

Das Cache-Management des JonDoFox/JonDoBowser verhindert ein Tracking anhand von ETags aus dem Cache u.ä. Eine Deaktivierung des Cache ist nicht nötig. Das ist ein deutlich Komfortgewinn im Vergleich zur Deaktivirung des Cache.

Was wurde genau verbessert? Ich finde kein Changelog, wie sonst üblich.

Diese BETA des JonDoBowser ist in erster Linie ein Test, ob wir in der Lage sind, einen sauberen Browser zu bauen, der auf allen unterstützen Plattformen fehlerfrei läuft. Diese Vesion soll nocht nicht(!) den JonDoFox ersetzen.

Als einzige kleine Verbesserung ist ein Schutz gegen Tracking mit der SSL-Session-ID implementiert.

Gibt es einen vordefinierte Zeitraum für die Erstellung von Sicherheitsupdates (im Fall der Notwendigkeit) für den Jondobrowser? Oder wird dieses durch Jondonym zeitgleich mit den normalen Firefox-Updates erfolgen.

Die RELEASE Version des JonDoBrowser wird später zeitnah mit dem Firefox zusammen aktualisiert und alle Bugfixes vom Firefox enthalten. Bei der aktuellen BETA Version behalten wir uns Abweichungen von Mozillas Zeitplan vor.

[k9gdj82FGKK2]

Auf jede Kritik an Jondos, der Tor gegenübergestellt wird (Tor hat kostenlos wofür Jondos Geld verlangt), reagiert Jondos indem es versucht Tor in den Schmutz zu ziehen (finanziert durch CIA, gar nicht belegt, Navy ist belegt). Jetzt arbeitet Jondos mit Tor zusammen um einen Browserfork zu entwickeln. Wie im Blog steht bei noch mehr Sachen. Wie passt das zusammen? Entweder misstraut man Tor wegen der Finanzierung oder man vertraut ihnen wegen, ja, wegen was? Hat sich also eure Meinung zu Tor geändert soweit es das risiko durch die Finanzierung angeht oder haben wir das selbe Risiko, das ihr immer mit Tor in Verbindung bringt um eure Preise zu rechtfertigen, jetzt auch bei Jondos wenn wir die Fork nutzen? Nach der bisherigen Argumentation cane und Georg Koppen haben wir das Risiko.

Keine Antwort von Trollen bitte. Nur ernsthaftes und nachprüfbares (nicht mal so, mal so reden) um Änderungen des Risikos abschätzen zu können.

Die Option, den Nutzer über die SSL Session ID zu tracken gab es immer schon (wenigstens solange es SSL gibt bzw. dieses Feature spezifiziert und implementiert wurde), wir haben Sie aber jetzt in den Anon-Test mit aufgenommen und der JonDoBrowser schützt davor.

Das heisst dann ja dass sowas nicht in den Test aufgenommen wird, solange Jondos nicht davor schützt. Angezeigt wird also nur, wofür man etwas hat, alles andere wird verschwiegen. Finde ich bedenklich.

Leider hat jondos verpasst mit der Verschrottung von JDF den ganzen Mist mit zu verschrotten. Findet sich alles auch im Browser. Es hat auch nach wie vor keiner verstanden, dass es Jondos unbekannte Angriffe gibt.

Das Cache-Management des JonDoFox/JonDoBowser verhindert ein Tracking anhand von ETags aus dem Cache

Aber nicht das auslesen des caches. Dafür muss man ihn deaktivieren. Das steht sogar in einer Studie, die hier mal verlinkt war. Solche Verständnisprobleme gibt es bei jeder zweiten Funktion, die dadurch kein Feature wird, sondern ein Bug.

Diese BETA des JonDoBowser ist in erster Linie ein Test, ob wir in der Lage sind, einen sauberen Browser

Nein, seid ihr nicht, aber das wusste man doch vorher. Diese höchstens Alpha bestätigt es nur. Hat sich die Arbeit gelohnt um zu erfahren was schon bekannt war?

[cane]

reagiert Jondos indem es versucht Tor in den Schmutz zu ziehen (finanziert durch CIA, gar nicht belegt, Navy ist belegt).

Wir haben nie und nirgends behauptet, dass Tor durch die CIA finanziert wird!

TorProject.org wird im wesentlichen durch die US-Regierung finanziert (zu 70-80%, fast 1 Mio. Dollar pro Jahr). Das ist kein Geheimnis, sondern wurde so von TorProject.org veröffentlicht, beispielweise im Tor Financial Report 2009: https://www.torproject.org/about/findoc ... Report.pdf

Wir sehen in dieser Finanzierung KEIN Risiko für die Nutzer des Anonymisierungsdienstes Tor und arbeiten seit längerem mit TorProject.org zusammen, wenn es sinnvoll ist.

Der Rest Ihres Beitrages ist mir zu unsachlich, um weiter darauf einzugehen. Wie ich bereits oben geschrieben habe, verhindert JonDoFox das Tracking anhand von Daten, die im Cache gespeichert wurde.

[DrSchiwago]

@cane

Danke für die Antworten.

Das Cache-Management des JonDoFox/JonDoBowser verhindert ein Tracking anhand von ETags aus dem Cache u.ä. Eine Deaktivierung des Cache ist nicht nötig. Das ist ein deutlich Komfortgewinn im Vergleich zur Deaktivirung des Cache.

Mein Einwand bezog sich nicht auf den Performancegewinn. Vielmehr sehe ich grundsätzlich ein Risiko wenn Daten in den Cache geschrieben werden, da diese jederzeit auf dem Speichermedium wiederhergestellt werden können. Die Firefox Löschfunktion ist ja keine sichere Methode der Beseitigung.
Eine Deaktivierung der Cache Funktionen bietet mehr Vorteile als Nachteile. Priorität sollte die Sicherheit sein, nicht die Performance.

Ich werde weiter testen, ist ein begrüßenswertes Projekt.

[xvegx]

Auf jede Kritik an Jondos, der Tor gegenübergestellt wird (Tor hat kostenlos wofür Jondos Geld verlangt), reagiert Jondos indem es versucht Tor in den Schmutz zu ziehen (finanziert durch CIA, gar nicht belegt, Navy ist belegt). Jetzt arbeitet Jondos mit Tor zusammen um einen Browserfork zu entwickeln.

Eventuell ging es nicht um die Finanzierung von Tor, sondern um den Betrieb von Tor-Nodes. Sicher kann man nicht beweisen das die CIA Tor-Nodes betreibt, ausschließen aber auch nicht..

[nichtbekannt]

cane schrieb:
Diese BETA des JonDoBowser ist in erster Linie ein Test, ob wir in der Lage sind, einen sauberen Browser zu bauen, der auf allen unterstützen Plattformen fehlerfrei läuft. Diese Vesion soll nocht nicht(!) den JonDoFox ersetzen.

Als einzige kleine Verbesserung ist ein Schutz gegen Tracking mit der SSL-Session-ID implementiert.

Danke für die Info. Hab fälschlicherweise gemeint der JonDoBrowser sei schon was konkretes. Daher hab ich mich darüber gewundert das bei einer Eingabe Korrektur gelesen und Vorschläge unterbreitet werden. Rolf hatte das im JonDoFox damals abgeschaltet weil nicht sicher. Daher dachte ich Sie haben dafür eine Lösung gefunden. Nun ja, jetzt weiß ich Bescheid. Danke! Wird bestimmt alles gut werden. Sofern ich kann teste ich mit.

[Georg Koppen]

Was wurde genau verbessert? Ich finde kein Changelog, wie sonst üblich.

Ich habe jetzt im Wiki einen Changelog-Bereich für JonDoBrowser selbst eingerichtet, in dem Sie Änderungen an zukünftigen Versionen nachvollziehen können. Allgemein lässt sich der Unterschied zum aktuellen JonDoFox + normalem Firefox wie folgt zusammenfassen:
1) Es gibt den Schutz vor Tracking mit SSL-Session-Ids
2) Der Browser ist gehärtet, um Exploits schwieriger zu machen (bei einigen Linux-Ditros wenigstens wird der Firefox/Iceweasel allerdings auch schon gehärtet ausgeliefert)

Gibt es einen vordefinierte Zeitraum für die Erstellung von Sicherheitsupdates (im Fall der Notwendigkeit) für den Jondobrowser? Oder wird dieses durch Jondonym zeitgleich mit den normalen Firefox-Updates erfolgen.

Solange wir noch keinen eigenen Auto-Updater haben, werden wir so schnell wie möglich ein eigenes Sicherheitsupdate nachschieben. Das sollte, wenn alles gut geht nicht länger als 2 Werktage dauern. Das gilt von nun an für jede aktuelle JonDoBrowser-Version. D.h. wir fangen damit nicht erst mit dem Release an. Ansonsten gibt es natürlich die üblichen Updates im Zuge der normalen Updatetätigkeit von Mozilla (also ca. alle 6 Wochen).

[Georg Koppen]

Mein Einwand bezog sich nicht auf den Performancegewinn. Vielmehr sehe ich grundsätzlich ein Risiko wenn Daten in den Cache geschrieben werden, da diese jederzeit auf dem Speichermedium wiederhergestellt werden können.

Daten werden nicht auf der Festplatte oder dem USB-Stick o.Ä. gecached. Das ist abgeschaltet. Lediglich ein Zwischenspeichern der Daten im RAM ist erlaubt (d.h. bis die Sitzung geschlossen ist). Sind Sie vor diesem Hintergrund immer noch der Meinung, dass hier die Sicherheit die Performance schlägt?
---EDIT: Vielleicht sollten wir die entsprechenden Einstellungen in der about:config noch ein wenig klarer machen, um diesen Punkt zu verdeutlichen. In diesem Zuge werde ich auch noch "browser.cache.offline.enable" auf "false" setzen, so dass die Nutzer, die JavaScript benutzen müssen, vom Zwischenspeichern auf der Festplatte verschont sind.---EDIT

Ich werde weiter testen, ist ein begrüßenswertes Projekt.

Danke!

[Georg Koppen]

Jetzt arbeitet Jondos mit Tor zusammen um einen Browserfork zu entwickeln. Wie im Blog steht bei noch mehr Sachen. Wie passt das zusammen? Entweder misstraut man Tor wegen der Finanzierung oder man vertraut ihnen wegen, ja, wegen was? Hat sich also eure Meinung zu Tor geändert soweit es das risiko durch die Finanzierung angeht oder haben wir das selbe Risiko, das ihr immer mit Tor in Verbindung bringt um eure Preise zu rechtfertigen, jetzt auch bei Jondos wenn wir die Fork nutzen? Nach der bisherigen Argumentation cane und Georg Koppen haben wir das Risiko.

Ich glaube, Sie vermischen hier zwei Ebenen: Zum einen die Netzwerkebene, auf der die IP-Anonymisierung gemacht wird und zum anderen die Anwendungsebene, auf der der JonDoBrowser arbeitet. Auf der Netzwerkebene haben die Tor-Leute und wir nachwievor unterschiedliche Ansichten, so dass sich hier an unserer Risiko-Einschätzung nichts geändert hat. Es ist allerdings völlig absurd zu behauptem, dass wir hier mit Schmutz um uns werfen würden. Des Weiteren soll hier auch nicht der Eindruck erweckt werden, dass irgendeine Profilierung auf Kosten von Tor erfolgen soll. Weit gefehlt. Es gibt bei JonDonym und Tor unterschiedliche Risiken abzuwägen und entsprechend zu handeln. Punkt. Davon getrennt ist die Anwendungsebene zu betrachten, auf der wir im Prinzip identische Angriffsszenarien haben und es sich daher mehr als nur anbietet an einer Lösung für beide Parteien zu arbeiten. Das klappt auch erstaunlich gut in der Praxis.

Die Option, den Nutzer über die SSL Session ID zu tracken gab es immer schon (wenigstens solange es SSL gibt bzw. dieses Feature spezifiziert und implementiert wurde), wir haben Sie aber jetzt in den Anon-Test mit aufgenommen und der JonDoBrowser schützt davor.

Das heisst dann ja dass sowas nicht in den Test aufgenommen wird, solange Jondos nicht davor schützt. Angezeigt wird also nur, wofür man etwas hat, alles andere wird verschwiegen.

Das ist offensichtlich falsch. Schauen Sie sich doch einmal den IP-Check an. Dort findet sich schon seit einer geraumen Weile das Problem, dass man die Größe des Browser-Fensters mittels CSS auslesen kann. Und es gibt im Augenblick weder im JonDoFox noch im JonDoBrowser einen Schutz dagegen. Warum sollten wir das verschweigen?