Расширения (дополнения) браузера Firefox, связанные с безопасностью

TorButton

TorButton — Расширение добавляет кнопку для простого и быстрого включения/выключения Tor в браузере. На сегодняшний день это единственное расширение Firefox которое может безопасно управлять использованием Tor из браузера, защищая от утечки IP, кук и более общих атак на приватность.

Управление прокси

MM3 ProxySwitch

MM3 ProxySwitch — В Браузере Firefox (и других программах Mozilla) Вы можете переключать установки только для одного интернет-соединения. С MM3-ProxySwitch вы можете управлять различными конфигурациями и просто переключаться между ними.

FoxyProxy

FoxyProxy — По умолчанию, политика выбора прокси такова что через прокси сервер происходит обращение только к URL совпавшим с шаблоном. Такое поведение позволяет отслеживать пользователя внедряя ссылки внешние ресурсы.Обсуждение на форуме FP

Контроль JavaScript, Java, Flash и других нежелательных элементов страницы

NoScript

NoScript — С помощью NoScript вы сможете разрешить исполнение JavaScript, Java и других плагинов только для доменов и сайтов, установленных вами (например, это может быть ваш собственный сайт). Дополнение, основанное на принципе упреждающего блокирования, позволяет предотвратить использование уязвимостей (известных и ещё не известных!) без потери функциональности. После установки расширения в настройках можно дополнительно установить, что именно не следует загружать при открытии страницы (элементы Java, Flash, или других плагинов). В итоге вы получаете дополнение, которое не только позволяет повысить защищённость сёрфинга в сети, но и косвенным образом позволяет блокировать некоторые виды рекламы, а также межсайтовый скриптинг и т.п.

Внимание: функция белых списков (разрешения javascript для определённых доменов) требует внимательного обращения или, предпочтительно, полного отключения при использовании через Tor, так как злоумышленный exit-узел может подсунуть зловредный скрипт (или иной разрешённый объект) якобы от домена из белого списка.

Flashblock

Flashblock — Это расширение блокирует загрузку ВСЕХ флеш-роликов с веб-страниц, оставляя вместо них пустую рамку с кнопкой. Щелкнув мышью по этой кнопке вы можете просмотреть данный флеш-ролик.

История, cookies и кэш. Следы пребывания в интернете и локально

CookieSafe

CookieSafe — Это дополнение позволяет вам легко управлять разрешениями для Cookies и контролировать их. Простым нажатием на иконке в статусбаре вы можете разрешать, блокировать или разрешать на сессию установку Cookies, осуществлять глобальные или частные разрешения/запреты при веб-сёрфинге. Есть возможность сохранения, импорта/экспорта, просмотра как Cookies, так и разрешений для них. Является расширенным и более удобным вариантом CS Lite.

CookieSafe Lite

CookieSafe Lite — Позволяет вам легко управлять разрешениями для Cookies, блокировать и контролировать их. Простым нажатием на иконке в статусбаре вы можете разрешать, блокировать или разрешать на сессию установку Cookies, осуществлять глобальные или частные разрешения / запреты при веб-сёрфинге. Есть возможность сохранения, импорта/экспорта, просмотра как Cookies, так и разрешений для них.

CookieMan Context

CookieMan Context — Дополнительные пункты в контекстном меню куков: разрешить/запретить, разрешить на сессию, удалить.

Eraser

Eraser — Автоматически (при выходе из браузера) или вручную – нажатием всего одной кнопки – уничтожает всю историю вашего веб-сёрфинга (Flash Cookies и т.д.).

Внимание: Нет никакой гарантии полного удаление следов пребывания в интернете при помощи каких-либо программ или расширений. Поэтому для Windows предпочтительнее использовать портативную (Portable) версию браузера и хранить ее в зашифрованной области носителя. Для других систем и не портативных версий можно ограничиться зашифрованной областью.

Privacy Plus

Privacy Plus — Дополнение повышает вашу приватность путем удаления cookies, основанных на технологии Flash LSO (веб видео- и аудио-графика).

Борьба с рекламой (включая всплывающие окна)

Реклама часто несет опасность связанную с переадресацией или банальным кликом "не туда".

AdBlock Plus

AdBlock Plus — Надоела навязчивая реклама в интернете, которая часто загружается дольше всего остального на странице? Установите Adblock Plus и избавьтесь от нее навсегда! Снабжено обновленным списком (не подпиской!), основанным на общих выражениях из RuAdList – http://code.google.com/p/ruadlist/

Adblock Plus: Element Hiding Helper

Element Hiding Helper расширяет возможности Adblock Plus, упрощая создание правил для скрытия элементов.

Контроль http заголовков (Http headers)

RefControl

RefControl — Дополнение сохраняет вашу анонимность: запрещает реферреры – передачу сведений о последней просмотренной странице странице сервера, на который вы переходите, нажав на определенную ссылку.

User Agent Switcher

User Agent Switcher — Позволяет менять user agent браузера, прикидываясь другим браузером (IE, Оперой и т.д.) или ботом. Полезно для некоторых сайтов. Также возможно изменять некоторые другие заголовки, в основном, связанные с UserAgent.

LiveHTTPHeaders

LiveHTTPHeaders — Расширение для просмотра HTTP заголовков в режиме реального времени.

Header Spy

Header Spy — Показывает заголовки HTTP в статусной строке браузера. После загрузки страницы, в статусной строке браузера появится наименование и версия операционной системы сервера, на котором установлен сайт. При наведении курсора, появится окошечко с информацией: User-agent, ответ сервера, дата, куки. Все это настраивается, можно добавлять, удалять, изменять размеры и прочее.

HttpFox

HttpFox — Расширение анализирует входящий и исходящий трафик HTTP между браузером и сервер. (заголовки запроса и ответа, отправленные и полученные куки (cookies), параметры запрос, POST параметры). Монитор перехватывает информацию браузер-сервер в реальном времени. Это расширение для более подробного изучения сайта (сервера).

Почта

MailCatch

MailCatch — Дополнение, позволяющее генерировать и использовать «одноразовые» анононимные почтовые ящики, предназначенные для регистрации на сомнительных веб-ресурсах или в целях «одноразовой» переписки.

TrashMail.net

TrashMail.net — Вы создаете новый почтовый ящик "@ trashmail.net", который живет столько времени, сколько вы сочтете нужным. В пределах от одного дня до шести месяцев. Настраиваете переадресацию на свой почтовый ящик. Указываете, сколько раз разрешаете перенаправлять к вам письма. После этого ящик самоуничтожится. Предназначен для регистрации на сомнительных веб-ресурсах или отсечения спама.

Шифрование и пароли

FireGPG

FireGPG — Это расширение для браузера Firefox распространяемое под лицензией MPL, обеспечивающее взаимодействие с GnuPG, что позволяет вам зашифровать, расшифровывать, подписывать и проверять подпись текста на любой веб-странице. FireGPG также реализует специальную поддержку почтовой службы Google, Gmail, значительно облегчая работу пользователей с зашифрованными и подписанными GPG сообщениями. Используя этот модуль для Firefox и установив на свой компьютер GnuPG вы сможете подписывать и шифровать письма прямо из веб-интерфейса Gmail.

Внимание: Это дополнение размещено на собственном веб-сайте разработчика и не было проверено Mozilla.

Keylogger Beater

Keylogger Beater — Средство для борьбы с кейлоггерами (вредоносными программами, которые позволяют перехватывать информацию, вводимую пользователем с клавиатуры или при помощи мыши). Дополнение имеет два вида ввода, позволяющие обмануть кейлоггеры, посылая им ложные символы.

Master Password Timeout

Master Password Timeout — С помощью мастер-пароля блокирует браузер через определенный промежуток времени, устанавливаемый пользователем, с целью предотвращения несанкционированного доступа к критичной информации: закладкам, пароля и т.п., хранящимся в профиле.

Link Password

Link Password — Дополнение шифрует гиперссылки и их имена, хранящиеся в пользовательских закладках, при помощи пароля.

Password Exporter

Password Exporter — Средство для импорта-экспорта сохраненных логинов и паролей, в том числе и в зашифрованном виде.

Pwgen

Pwgen — Генерирует криптостойкие произвольные пароли любой заданной длины, включающие в себе буквы в разном регистре, цифры и спецсимволы.

Lock The Text

Lock The Text — Средство, позволяющее шифровать сообщения при помощи алгоритма AES. Возможно также шифрование текста пользовательских заметок, хранящихся во встроенном блокноте (см. описание дополнения FoxNotes).

FoxNotes

FoxNotes — Функциональный и многостраничный блокнот для хранения заметок. Имеет функцию шифрование текста при помощи алгоритма AES (см. описание дополнения Lock The Text).

Secure Login

Secure Login — Средство для автоматического и безопасного введения связки «логин-пароль» на различных веб-ресурсах.

Разное

Cipherfox

Cipherfox Показывает расширенную информацию о текущем SSL-соединении в статусбаре.

RequestPolicy

RequestPolicy — Предотвращает ошибочное делегирование прав доступа, основанное на кросс-сайтовых запросах, которое происходит, если какая-либо программа использует свои полномочия неправильно, будучи введённой в заблуждение третьей стороной. Посредническая атака через позволяет атакующему косвенно подключаться к TCP портам, к которым сам атакующий не имеет доступа. Для этого используется удалённый сервер, который и выступает в роли «обманутого представителя».

HTTPS Everywhere

Оф. сайт
Сайт Mozilla
По заявлению разработчиков, многие сайты предлагают посетителям по умолчанию доступ без шифрования, оставляя HTTPS как запасной вариант, или делают использование HTTPS затруднительным, например, из-за наличия ссылок из безопасной области на незашифрованные страницы сайта. Проект HTTPS Everywhere призван автоматизировать решение данных проблем путем перенаправления запросов на HTTPS-области во всех возможных случаях. Среди поддерживаемых известный сайтов, для которых дополнение может обеспечить полное шифрование передаваемых данных, называются: Google, Wikipedia, Twitter, Identi.ca, Facebook, EFF, Tor, Ixquick, DuckDuckGo, Scroogle, New York Times, Washington Post и другие популярные сервисы.

При необходимости добавления в HTTPS Everywhere поддержки нового сайта для пользователей разработан несложный XML-формат формирования правил перенаправления. Дополнительно разработчики расширения советуют пользователям Firefox быть бдительными и при посещении защищенных областей сайтов обращать внимание на значок с изображением замка в правом нижнем углу, если замок разомкнут, то несмотря на характерную для шифрованной сессии подсветку адресной строки, данные шифруются не полностью и транзитный злоумышленник при желании может организовать прослушивание трафика.

Внимание: Иногда при доступе через https сайт может не предоставлять некоторые функции или некоректно работает. Обращайте на это внимание также при самостоятельном формировании правил.

Рекомендации, нежелательные расширения

Список расширений, которые не должны использоваться с продуктами Mozilla

Add-ons Blocklist — Список расширений, которые не должны использоваться с продуктами Mozilla.

FAQ по использованию дополнения TorButton (отрывок устаревшей страницы)

Какие дополнения к браузеру Firefox мне не стоит использовать?

Это достаточно сложный вопрос. Существует тысячи дополнений для браузера Firefox: составить список тех из них, которые представляют опасность для анонимности, практически невозможно. Однако, вот несколько примеров, которые позволят вам задуматься над тем, какие свойства программного обеспечения ставят вашу конфиденциальность под удар.

1. StumbleUpon и другие — Эти дополнения отправляют на свои сервера всю информацию о том, какие сайты вы посещаете, и соотносят эту информацию с вашим IP-адресом (уникальным определителем пользователя). Очевидно, что это ужасно для вашей конфиденциальности. Говоря в общем, любые дополнения, которые требует от пользователя регистрации, или даже те из них, что предоставляют информацию о посещаемых пользователем веб страницах – подозрительны.
2. FoxyProxy — Хотя дополнение FoxyProxy в теории является отличной идеей, на практике его невозможно настроить на безопасное использование сервиса Tor без приложения Torbutton. Как и при использовании всех «ванильных» прокси плагинов сторонних разработчиков, главным риском являются утечки плагина и раскрытие истории, за которыми вплотную следуют кражи куки выводными узлами и слежение с использованием рекламных серверов (adservers, ознакомьтесь с Моделью Оппонентов Torbutton для получения более детальной информации). Однако в тандеме с Torbutton, если дополнение установлено и всегда включено, можно настроить FoxyProxy на безопасную работу (хотя это сложно). Так как режим «Образцов» (Patterns mode) дополнения FoxyProxy распространяется только на специфичные URL-адреса, а не на все, установка FoxyProxy на пропускание через Tor только трафика со специфических сайтов все равно позволит рекламным серверам (adservers, чьи хост имена не соответствуют вашим фильтрам) узнать ваш реальный IP-адрес. Более того, если сайты используют сервисы сбора данных, такие как Google Analytics, ваш настоящий IP-адрес, так или иначе, окажется в их лог файлах. Выводные узлы злоумышленников могут также сотрудничать с сайтами, чтобы вводить изображения в страницы, которые обходят ваши фильтры. Настройка FoxyProxy на пропускание прямого трафика (не через серверы Tor) только с определенных URL-адресов является намного более безопасным в этом смысле, но будьте очень аккуратны при активизации фильтров. Например, такая небольшая ошибка, как разрешение подключаться к *google* напрямую приведет к тому, что ваш IP-адрес будет «всплывать» на всех сайтах, которые используют сервис Google Analytics! Ознакомьтесь с этим вопросом списка часто задаваемых вопросов (FAQ) о FoxyProxy для получения более детальной информации.

Какие дополнения к браузеру Firefox вы рекомендуете?

1. RefControl — Упомянутое ранее, это дополнение позволяет осуществлять более тонкий referrer spoofing (изменение данных по referer для того чтобы приобрести анонимный доступ к веб-сайту), чем тот, который в настоящее время может обеспечить Torbutton. Оно должно «ломать» меньше сайтов, чем опция referrer spoofing дополнения Torbutton.
2. Better Privacy — Это отличное дополнение, которое защищает вас от куки, используемых Flash приложениями, которые часто сохраняются навсегда и не очищаются при использовании стандартной функции очистки браузера Firefox "Удалить личные данные…". Flash и все остальные плагины отключаются дополнением Torbutton по умолчанию, но если вам важна ваша конфиденциальность, вам возможно захочется использовать дополнение Better Privacy, так как оно позволит вам проверять и автоматически очищать ваши Flash куки для «неторифицированного» трафика.
3. AdBlock Plus — дополнение для удаления раздражающей, вредящей конфиденциальности, и распространяющей вредоносное ПО рекламы из веб. Оно предоставляет подписки, которые постоянно обновляются, получая последнюю информацию рекламных сетей, что позволяет блокировать рекламу. Я рекомендую использовать комбинацию фильтровых подписей EasyPrivacy + EasyList в разделе Разное (Miscellaneous) страницы подписок.
4. Cookie Culler -– полезное дополнение, которое предоставляет вам быстрый доступ к менеджеру куки в браузере Firefox. Оно также обеспечивает возможность защиты некоторых куки от удаления, но, к сожалению, эта функция не очень хорошо работает с дополнением Torbutton. Кори Кирк (Kory Kirk) работал над этим вопросом на проекте Google Summer of Code в 2009 году.
5. NoScript — Дополнение Torbutton смягчает все известные проблемы анонимности, связанные с использованием Javascript. Однако если вы обеспокоены средствами атаки Javascript против вашего браузера или веб-сайта, на который вы вошли, вы, возможно, захотите использовать дополнение NoScript. Оно дает возможность разрешать использование Javascript только при работе с некоторыми определенными веб-сайтами, а также обеспечивает механизм усиления HTTPS URL-адресов для сайтов с небезопасными куки.

6. Request Policy -– это аналогичное NoScript дополнение. Аналогичность заключается в том, что дополнение Request Policy запрашивает настройку сайтов, чей контент можно грузить с других доменов. Для новичка настроить дополнение корректно может оказаться сложной задачей, но дополнение обеспечивает достойный уровень защиты против рекламы, встроенного контента и атак с использованием сфальсифицированных межузловых запросов.

Удаление расширения Microsoft .NET Framework Assistant (ClickOnce) из Firefox (для ОС Windows)

Удаление расширения Microsoft .NET Framework Assistant (ClickOnce) из Firefox.
C февраля 2009 года при обновлении Windows и установки Microsoft .NET Framework 3.5 Service Pack 1 не спрашивая вашего согласия устанавливается ещё и расширение Microsoft .NET Framework Assistant для Firefox.

Это обновление добавляет в Firefox одну из самых опасных уязвимостей Internet Explorer — способность веб-сайтов легко и непринужденно устанавливать программное обеспечение на вашем ПК. Так как этот недостаток является одной из причин выбора безопасного браузера Firefox, то нужно как можно быстрее удалить это расширение.

К сожалению Microsoft предприняла дополнительные меры для того, чтобы сделать удаление этого расширения особо трудным, а для простого пользователя и вовсе невозможным. Это становится понятно, когда вы откроете окно Дополнений Firefox и увидите, что кнопка удаления расширения не активна (по ней нельзя щелкнуть). По заявлениям сотрудников Microsoft это расширение нуждается в поддержке на уровне системы для всех пользователей этого компьютера, но это плохая новость для пользователей Firefox.

Вот способ, достаточно трудный, благодаря которому можно избавиться от этого мусора.

1. Откройте редактор реестра (введите regedit в строке поиска Меню Пуск — начать поиск в Vista/Windows 7 или в строку Run (Выполнить) в Windows XP).
2. Разверните и дойдите до ключа:
   • 32-бит системы: HKEY_LOCAL_MACHINE \ SOFTWARE \ Mozilla \ Firefox \ Extensions
   • x64 системы: HKEY_LOCAL_MACHINE \ SOFTWARE \ Wow6432Node \ Mozilla \ Firefox \ Extensions
3. Удалите значение {20a82645-c095-46ed-80e3-08825760534b} в правой части.
4. После этого закройте редактор реестра.
5. Откройте новое окно Firefox и наберите в адресной строке about:config и нажмите Enter.
6. Введите в Фильтр значение microsoftdotnet, чтобы быстрее найти значение general.useragent.extra.microsoftdotnet.
7. Наведите курсор на это значение, нажмите правой кнопкой мыши и в контекстном меню выберите Reset (Сбросить).
8. Перезагрузите Firefox.
9. Откройте Windows Explorer или любой другой файловый менеджер и найдите %SYSTEMDRIVE%\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation.
10. Зайдите в папку с названием DotNetAssistantExtension и удалите всё содержимое.
11. Откройте окно Add-ons (Дополнений) Firefox и убедитесь, что расширение Microsoft .NET Framework Assistant было удалено.

Источник: http://www.annoyances.org/exec/show/article08-600, http://support.microsoft.com/kb/963707

Использованы материалы: http://mydisk.se/rosenfeld/webpage/main.htm http://forum.mozilla-russia.org