forum.opennet.ru - "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." (35)

форумы

помощь

поиск

регистрация

майллист

вход/выход

слежка

"В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
Сообщение от opennews (ok) on 09-Дек-10, 17:41
Разработчики Firefox и Opera приняли решение (http://hacks.mozilla.org/2010/12/websockets-disabled-in-fire.../) отключить поддержку протокола WebSockets (http://dev.w3.org/html5/websockets/), входящего в число спецификаций группы HTML5. Протокол WebSockets уже реализован в браузерах на базе движка WebKit, таких как Chrome/Chromium и Safari, и является одной из наиболее ожидаемых новинок Firefox 4 и Opera 11, так как позволяет решить проблему с организацией двустороннего обмена данными между web-приложением и сервером. Образно говоря, WebSockets является своеобразным аналогом TCP для Web и позволяет в произвольном порядке инициировать отправку данных от сервера к web-приложению, а не только от web-приложения к серверу. Для аутентификации и обеспечения безопасности передачи данных в Web Sockets используются стандартные механизмы браузера. Сам протокол не использует сырые TCP-соединения, но и не работает поверх HTTP. Тем не менее соединение поддерживается в рамках единого с HTTP кан... URL: http://hacks.mozilla.org/2010/12/websockets-disabled-in-fire.../ Новость: http://www.opennet.dev/opennews/art.shtml?num=28944
Ответить \| Правка \| Cообщить модератору

Оглавление

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Wormik, 17:41 , 09-Дек-10, (1) +19

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., User294, 23:57 , 09-Дек-10, (17) –2

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Тот_Самый_Анонимус, 06:28 , 10-Дек-10, (20) –2

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., User294, 20:39 , 10-Дек-10, (28)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., pavel_simple, 22:57 , 10-Дек-10, (31)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., ksuit, 03:30 , 12-Дек-10, (34)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., pavel_simple, 20:39 , 12-Дек-10, (35)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Aqueelone, 12:40 , 13-Дек-10, (36) +1

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., pavlinux, 18:31 , 09-Дек-10, (2)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., анониммм, 19:02 , 09-Дек-10, (4) +1

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., pavlinux, 19:17 , 09-Дек-10, (5)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 19:59 , 09-Дек-10, (8) +1

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., pavlinux, 21:48 , 09-Дек-10, (15)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним123321, 19:34 , 09-Дек-10, (7)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Wormik, 20:07 , 09-Дек-10, (9) +6
В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Блуд, 20:39 , 09-Дек-10, (11) –1
В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 20:49 , 09-Дек-10, (12)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 20:34 , 09-Дек-10, (10)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., filosofem, 20:50 , 09-Дек-10, (13) +1

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 21:10 , 09-Дек-10, (14)
В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 22:41 , 09-Дек-10, (16)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., dss, 00:45 , 10-Дек-10, (19)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., filosofem, 09:58 , 10-Дек-10, (24)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., dss, 01:35 , 11-Дек-10, (32)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., filosofem, 11:31 , 11-Дек-10, (33)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., User294, 20:48 , 10-Дек-10, (29)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., devlink, 23:59 , 09-Дек-10, (18) –2

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., ugo, 08:56 , 10-Дек-10, (23) +3

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 08:22 , 10-Дек-10, (21)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., анони, 08:43 , 10-Дек-10, (22)

В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., sluge, 10:23 , 10-Дек-10, (25)
В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 17:11 , 10-Дек-10, (27)
казалось бы, при чём тут браузеры?, Аноним, 22:48 , 10-Дек-10, (30)
В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 23:10 , 10-Июн-11, (37)
В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..., Аноним, 16:33 , 13-Май-12, (38)

Сообщения по теме [Сортировка по времени | RSS]

1. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +19 +/–

Сообщение от Wormik (ok) on 09-Дек-10, 17:41

Поддерживаю. Молодцы, серьезные люди и серьезные продукты. А сокеты подождут!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

17. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." –2 +/–

Сообщение от User294 (ok) on 09-Дек-10, 23:57

Давно заметно что гуглу пофигу на проблемы пользователей. Подумаешь, пользователей поимеют. Гугл и так их имеет, сливая статистику и прочая направо-налево за бабки.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

20. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." –2 +/–

Сообщение от Тот_Самый_Анонимус on 10-Дек-10, 06:28

То, что гуглу плевать на пользователей, согласен. Но то, что возможность надо отключать из-за одного ненадёжного варианта использования — бред.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

28. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от User294 (ok) on 10-Дек-10, 20:39

Нет, не бред. Как это будет на практике?
1) Пров или корпоративный админ может воткнуть вам по пути прозрачный прокси, вообще забыв у вас спросить - "а можно ли?". И откаться от этой медвежьей услуги не слишком просто, кстати. Хомячки точно не смогут - хардкор типа своих проксиков на кастомном порту или впн для них шибко загрузно будет.
2) Хакерье начнет радостно травить кеши на этих проксях.
3) Миллионы хомяков начнут жесточайше иметь. Скорее всего угоняя у них аккаунты пачками, спамя от их лица и прочая. Заметьте, от них вообще при этом не требуется никаких неправильных действий.
Вопрос на засыпку: а вам понравится если с вашего аккаунта поспамят весьма некисло, а потом еще и копирайченого матерьяльца на пару миллионов баксов выложат? А вы потом уворачивайтесь от посыпавшихся со всех сторон люлей, ага. Можно подумать, хаксоров, спамеров и прочих очень колебут ваши проблемы :). Гугла вот они тоже не колебут. Мозилла и опера выгодно отличаются в этом плане. Впрочем у гугла бардак с троянами и в других местах. В андроидовском сторе например полно троянообразных программ. Они еще и вебе хотят такой же срач развести? Можно подумать без них проблем мало.

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

31. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от pavel_simple (ok) on 10-Дек-10, 22:57

> Нет, не бред. Как это будет на практике?
> 1) Пров или корпоративный админ может воткнуть вам по пути прозрачный прокси,
> вообще забыв у вас спросить - "а можно ли?". И откаться
> от этой медвежьей услуги не слишком просто, кстати. Хомячки точно не
> смогут - хардкор типа своих проксиков на кастомном порту или впн
> для них шибко загрузно будет.
> 2) Хакерье начнет радостно травить кеши на этих проксях.
устанут травить ксли это прозрачный кэш -- особенно устанут очитывая то, что обычно корпо-прокси нормально прикрыты МСЭ или хотя-бы NAT.
> 3) Миллионы хомяков начнут жесточайше иметь. Скорее всего угоняя у них аккаунты
> пачками, спамя от их лица и прочая. Заметьте, от них вообще
> при этом не требуется никаких неправильных действий.
возьми бумажку и попробуй как твоя выдумка будет работать
> Вопрос на засыпку: а вам понравится если с вашего аккаунта поспамят весьма
> некисло, а потом еще и копирайченого матерьяльца на пару миллионов баксов
> выложат? А вы потом уворачивайтесь от посыпавшихся со всех сторон люлей,
> ага. Можно подумать, хаксоров, спамеров и прочих очень колебут ваши проблемы
> :). Гугла вот они тоже не колебут. Мозилла и опера выгодно
> отличаются в этом плане. Впрочем у гугла бардак с троянами и
> в других местах. В андроидовском сторе например полно троянообразных программ. Они
> еще и вебе хотят такой же срач развести? Можно подумать без
> них проблем мало.
казалось-бы при чём тут гуг^W проблемы использования устаревших прокси решаются за счёт современных браузеров -- подумай 294'ый -- ведь это явно не решение проблкмы.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

34. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от ksuit on 12-Дек-10, 03:30

>казалось-бы при чём тут гуг^W проблемы использования устаревших прокси решаются за счёт
>современных браузеров -- подумай 294'ый -- ведь это явно не решение проблкмы.
угу. "проблемы устаревших прокси". Вот сейчас все как ломанулись обновлять свои отработанные и действующие системы доступа ради того чтобы некая часть непринятого таки стандарта таки заработала...
Да и не говорит Мозилла "вам это не надо и забудьте", Мозилла говорит "в том виде в котором есть сейчас - это опасно, но если вам это надо - врубайте сами на свой страх и риск".

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

35. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от pavel_simple (ok) on 12-Дек-10, 20:39

>>казалось-бы при чём тут гуг^W проблемы использования устаревших прокси решаются за счёт
>>современных браузеров -- подумай 294'ый -- ведь это явно не решение проблкмы.
> угу. "проблемы устаревших прокси". Вот сейчас все как ломанулись обновлять свои отработанные
такие-же оработанyые как машинное масло?
> и действующие системы доступа ради того чтобы некая часть непринятого таки
> стандарта таки заработала...
при чём тут стандарт на html5 если нарушен стандарт на работу самих прокси-сереров и не соблюдая его естm неслабая возможность предоставить ещё одну дыру для взлома.
> Да и не говорит Мозилла "вам это не надо и забудьте", Мозилла
> говорит "в том виде в котором есть сейчас - это опасно,
> но если вам это надо - врубайте сами на свой страх
> и риск".
и казалось-бы при чём тут user294? - он хоnь иногда читает прежде чем пишет в отличии...

Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

36. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +1 +/–

Сообщение от Aqueelone on 13-Дек-10, 12:40

1) Если корпоративный админ -- так на то он и админ чтоб ОТВЕЧАТЬ ЗА ВСЕ.
Если провайдер ... это нарушение Прав Потребителя -- пишите в личку -- -взгреем провайдера по первое число.
2) Нормальный человек через чужое прокси не ходит.
Идя через чужое_прокси Вы пытаетесь представиться от ЭТОГО_ПРОКСИ, потому хозяин ЭТОГО_ПРОКСИ может делать ЧТО ОН ХОЧЕТ. (Даже пустить поверх протокола http:// 220 вольт --- если придумает как! :) )
А кто отвечает за ВАШ_ПРОКСИ? Если он ВАШ -- то собственно ВЫ САМИ.
Вообще, В НАШЕ ВРЕМЯ хождение вэбом через прокси -- это "ДУРНОЙ ТОН".
3) При вождении машины нужно умение водить, которое проверяется при выдаче прав.
>> Заметьте, от них вообще при этом не требуется никаких неправильных действий.
Как это не требуется?
Неправильные действия, приводящие к тому, что Вы написали:
1. Отсутствие головы и логического мышления.
2. Использование прокси.
3. Использование плохого провайдера.
4. Использование продуктов фирмы Микрософт.
Чтоже в отношении Мозилы и Оперы... ну конечно респект --- сделано грамотно и корректно.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

2. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от pavlinux (ok) on 09-Дек-10, 18:31

Эта чтоль?
network.websocket.enabled

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +1 +/–

Сообщение от анониммм on 09-Дек-10, 19:02

и network.websocket.override-security-block в true

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

5. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от pavlinux (ok) on 09-Дек-10, 19:17

нету такой :(

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

8. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +1 +/–

Сообщение от Аноним (??) on 09-Дек-10, 19:59

она появилась в сегодняшней найтли-сборке firefox'a, как и отключение вебсокетов, и будет в восьмой бете

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

15. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от pavlinux (ok) on 09-Дек-10, 21:48

> она появилась в сегодняшней найтли-сборке firefox'a, как и отключение вебсокетов,
> и будет в восьмой бете
Устроили там ромашку - включаем-невключаем :)

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

7. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним123321 (ok) on 09-Дек-10, 19:34

отлично! правильно!!
вот именно этим HTML5 отличается от Adobe Flash (...и других сильверлайтов и прочего вендорского Г):
...а именно: здесь (в W3C-стандартах) -- 10 раз подумают над безопасностью прежде чем будут реализовывать чтото!
...а не то что "функция для галочки" (Silverlight) чтобы потом на очередных конференциях (Microsoft для студентов и имбицилов) рассказывать что якобы продукт сделан для rich-media и просто блещщит числом функций! :-D

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +6 +/–

Сообщение от Wormik (ok) on 09-Дек-10, 20:07

Это не HTML5, а решение тех, кто его реализовывает в своих продуктах. Так что хвалить стоит их, а не создателей спецификаций, допустивших ошибки и решающих их.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

11. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." –1 +/–

Сообщение от Блуд (ok) on 09-Дек-10, 20:39

> вот именно этим HTML5 отличается от Adobe Flash (...и других сильверлайтов и прочего вендорского Г):
> ...а именно: здесь (в W3C-стандартах) -- 10 раз подумают над безопасностью прежде чем будут реализовывать чтото!
Что-то мне подсказывает, что оно уже есть, поэтому и реализовано в движке WebKit, а не реализовывать решили лишь две компании, так как решето. Так что не сильно-то и отличается.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

12. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 09-Дек-10, 20:49

> чем будут реализовывать чтото!
они и не реализовывают ничего. они лишь выпускают стандарт

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

10. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 09-Дек-10, 20:34

> рекомендовано для согласования соединения вместо механизма HTTP Upgrade использовать метод CONNECT
Однако, не из всех локаций доступен метод CONNECT на 80 порт. :(

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +1 +/–

Сообщение от filosofem (ok) on 09-Дек-10, 20:50

В тех же "локациях" обычно и Upgrade не работает, поэтому не расстраивайтесь.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

14. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 09-Дек-10, 21:10

Ура. На самом деле, давно назревает аналог noscript (в сумме enable cookies for site, adblock и еще десятком плагинов), который работает как персональные фаирволы в венде и позволяет (дебилам) все разрешить, а кому надо - настроить посайтово всю возможную активность, включая cookies, storage, websockets, кэш и т.д.
В идеале, должна быть возможность противостоять даже такой штуке, как evercookie (у меня даже при отсутствии noscript она сохраняется только в кэше).

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 09-Дек-10, 22:41

Поясните пожалуйста, кто понял новость:
> используя механизм HTTP Upgrade можно на этапе установки соединения передать порцию данных, которую прокси-cервер воспримет как HTTP-запрос/ответ
получается я могу написать программку которая будет слать такой же трафик как HTTP Upgrade и это позволит мне подменять любые страницы в кеше прокси?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

19. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от dss on 10-Дек-10, 00:45

Да-да, все так и есть.
И я, честно говоря, не совсем понимаю, как запрет websockets в браузерах исправит «core issue is that some number of transparent proxies do not understand the HTTP Upgrade mechanism and therefore don't understand that the remaining bytes sent by the attacker on the socket are not HTTP.»
Т.е. это не уязвимость протокола websockets, а уязвимость существующих проксей.
И тем 8 пользователям, которых поимели, подсунув зловредный жаваскрипт, отключение вебсокетов никак не поможет.
У меня даже в голове не укладывается, как можно быть такими идиотами…

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

24. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от filosofem (ok) on 10-Дек-10, 09:58

Кривые прокси уязвимы изнутри. Это значит, что ваш коллега или ваша жена, может отравить кэш этого прокси и таким образом подсунуть вам некий неправильный http://www.google-analytics.com/ga.js.
Websocket делает их уязвимыми снаружи. Это значит, что не только ваш коллега за соседним столом, а любой киддис Вася может таким образом подсунуть вам некий неправильный http://www.google-analytics.com/ga.js.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

32. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от dss on 11-Дек-10, 01:35

Так в том же исследовании прекрасно описано, как тех же целей «ломания снаружи» можно достичь с явой и флэшом. И что, запретим по дефолту в браузерах флэш и яву?
Только очень особые любди думают, что «безопасно» == «через жопу».
Если ты делаешь в своей сетке transparent proxy, ты берешь на себя всю ответственность за обеспечение безопасности пользователей за ним. И если у тебя кривой прокси — это твой косяк, а не разработчиков спецификации протокола, который, между прочим, спецификаций HTTP не нарушает (почитайте rfc2616 про Upgrade).
Запрещать протокол, соответствующий спецификации, потому что он ломает прокси, которые положили на спецификацию — это феерический идиотизм.

Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

33. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от filosofem (ok) on 11-Дек-10, 11:31

А что прокси нарушают, какую спецификацию? Ни в каком std не написано, что нельзя кэшировать по хостнэйму. Да и кэширование по ИП не дает никакой гарантии, что другие исследователи не смогут его эксплуатировать.
>Так в том же исследовании прекрасно описано, как тех же целей «ломания снаружи» можно достичь с явой и флэшом. И что, запретим по дефолту в браузерах флэш и яву?
Да, этот крап в вэбе не нужен.
Так, между прочим, эксплойт вэбсокета через Upgrade тоже использует флэш.
Так обычно и получается (и тот кто хотя бы раз занимался взломом или защитой от него, а не просто теоретизирует, тот знает), что успешный взлом эксплуатирует сразу множество уязвимостей. Например дыра в CMS, плюс кривость PHP, плюс необновленное ядро, плюс неграмотная политика безопасности, позволяющая поднять привилегии чаще всего приводят к взлому сервера при помощи инъекции, PHP шелла и эксплойта ядра. Хотя ни одна из этих уязвимостей в отдельности ни к каким катастрофическим последствиям не приводит.
Клиента чаще всего подводит дырявая необновленная операционка, плюс работа под админом, плюс необновленный браузер, плюс дыра в флэше/джаве/пдф-ридере или каком-то софте со старыми библиотеками, плюс конечно _незнание_ и желание пользоваться всем новеньким и блестящим, забив на безопасность, несмотря на предупреждение о том, что протокол уязвим сам по себе.
Кстати и протокол отвечающий всем спецификациям нифига не обязательно безопасен на практике, взять тот же ДНС.
И вообще развелось "специалистов" которые на каждое сообщение о уязвимости кричат, что это не работает и все юзеры сами виноваты. И так до тех пор пока не увидят у себя в консоле uid=0(root) или пока их самих не поимеют.

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

29. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от User294 (ok) on 10-Дек-10, 20:48

> Т.е. это не уязвимость протокола websockets, а уязвимость существующих проксей.
... эксплуатируемая при помощи нового протокола про который они не знают, ага. Прокси это конечно не оправдывает, однако возможность впаривать хомякам неправильные куски того же гугля или иных популярных сайтов - трудно переоценить.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

18. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." –2 +/–

Сообщение от devlink on 09-Дек-10, 23:59

ээээ... верните сокеты редиски.
Когда уже нормально подумают над стандартом - недавно ввели новую версию, которая со старой несовместима, теперь opera и firefox отказываются.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +3 +/–

Сообщение от ugo on 10-Дек-10, 08:56

Так они же не отказываются, они просто снимают с себя ответственность за потенциальные проблемы, не активируя по умолчанию данный функционал. Если Вам нужно, вы можете все включить, только потом не кричите, что Вам подсунули дырявое ПО.

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

21. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 10-Дек-10, 08:22

Консорциум честно предупреждал, что НЕ стоит реализовывать HTML5, поскольку стандарт еще очень сырой и не обкатан, кроме того, еще будет огромное кол-во изменений стандарта.
ССЗБ

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

22. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от анони on 10-Дек-10, 08:43

Маркетинг будь он неладен
Почти все уверены, что HTML5 сайт - это видео без флеша

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

25. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от sluge (ok) on 10-Дек-10, 10:23

ну и правильно

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

27. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 10-Дек-10, 17:11

Молодцы, всё правильно. А скачущим впереди паровоза надо дать хорошего пинка.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

30. "казалось бы, при чём тут браузеры?" +/–

Сообщение от Аноним (??) on 10-Дек-10, 22:48

Судя по письму речь идёт об отравлении кэша прокси сервера через который прошёл запрос. Кому надо спокойно смогут это сделать тупо телнетом, а юзеры без сокетов и так огребут.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

37. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 10-Июн-11, 23:10

hf

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

38. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..." +/–

Сообщение от Аноним (??) on 13-Май-12, 16:33

Новая opera 11.64
http://letitbit.net/download/54784.5a1624aaaf9e6e9d0a7fa96f9...
http://vip-file.com/downloadlib/79640174973988606-54784.5a16...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+19 +/–
Сообщение от Wormik (ok) on 09-Дек-10, 17:41
Поддерживаю. Молодцы, серьезные люди и серьезные продукты. А сокеты подождут!
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	17. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	–2 +/–
	Сообщение от User294 (ok) on 09-Дек-10, 23:57
	Давно заметно что гуглу пофигу на проблемы пользователей. Подумаешь, пользователей поимеют. Гугл и так их имеет, сливая статистику и прочая направо-налево за бабки.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	20. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	–2 +/–
	Сообщение от Тот_Самый_Анонимус on 10-Дек-10, 06:28
	То, что гуглу плевать на пользователей, согласен. Но то, что возможность надо отключать из-за одного ненадёжного варианта использования — бред.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	28. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от User294 (ok) on 10-Дек-10, 20:39
	Нет, не бред. Как это будет на практике? 1) Пров или корпоративный админ может воткнуть вам по пути прозрачный прокси, вообще забыв у вас спросить - "а можно ли?". И откаться от этой медвежьей услуги не слишком просто, кстати. Хомячки точно не смогут - хардкор типа своих проксиков на кастомном порту или впн для них шибко загрузно будет. 2) Хакерье начнет радостно травить кеши на этих проксях. 3) Миллионы хомяков начнут жесточайше иметь. Скорее всего угоняя у них аккаунты пачками, спамя от их лица и прочая. Заметьте, от них вообще при этом не требуется никаких неправильных действий. Вопрос на засыпку: а вам понравится если с вашего аккаунта поспамят весьма некисло, а потом еще и копирайченого матерьяльца на пару миллионов баксов выложат? А вы потом уворачивайтесь от посыпавшихся со всех сторон люлей, ага. Можно подумать, хаксоров, спамеров и прочих очень колебут ваши проблемы :). Гугла вот они тоже не колебут. Мозилла и опера выгодно отличаются в этом плане. Впрочем у гугла бардак с троянами и в других местах. В андроидовском сторе например полно троянообразных программ. Они еще и вебе хотят такой же срач развести? Можно подумать без них проблем мало.
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	31. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от pavel_simple (ok) on 10-Дек-10, 22:57
	> Нет, не бред. Как это будет на практике? > 1) Пров или корпоративный админ может воткнуть вам по пути прозрачный прокси, > вообще забыв у вас спросить - "а можно ли?". И откаться > от этой медвежьей услуги не слишком просто, кстати. Хомячки точно не > смогут - хардкор типа своих проксиков на кастомном порту или впн > для них шибко загрузно будет. > 2) Хакерье начнет радостно травить кеши на этих проксях. устанут травить ксли это прозрачный кэш -- особенно устанут очитывая то, что обычно корпо-прокси нормально прикрыты МСЭ или хотя-бы NAT. > 3) Миллионы хомяков начнут жесточайше иметь. Скорее всего угоняя у них аккаунты > пачками, спамя от их лица и прочая. Заметьте, от них вообще > при этом не требуется никаких неправильных действий. возьми бумажку и попробуй как твоя выдумка будет работать > Вопрос на засыпку: а вам понравится если с вашего аккаунта поспамят весьма > некисло, а потом еще и копирайченого матерьяльца на пару миллионов баксов > выложат? А вы потом уворачивайтесь от посыпавшихся со всех сторон люлей, > ага. Можно подумать, хаксоров, спамеров и прочих очень колебут ваши проблемы > :). Гугла вот они тоже не колебут. Мозилла и опера выгодно > отличаются в этом плане. Впрочем у гугла бардак с троянами и > в других местах. В андроидовском сторе например полно троянообразных программ. Они > еще и вебе хотят такой же срач развести? Можно подумать без > них проблем мало. казалось-бы при чём тут гуг^W проблемы использования устаревших прокси решаются за счёт современных браузеров -- подумай 294'ый -- ведь это явно не решение проблкмы.
	Ответить \| Правка \| ^ к родителю #28 \| Наверх \| Cообщить модератору


	34. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от ksuit on 12-Дек-10, 03:30
	>казалось-бы при чём тут гуг^W проблемы использования устаревших прокси решаются за счёт >современных браузеров -- подумай 294'ый -- ведь это явно не решение проблкмы. угу. "проблемы устаревших прокси". Вот сейчас все как ломанулись обновлять свои отработанные и действующие системы доступа ради того чтобы некая часть непринятого таки стандарта таки заработала... Да и не говорит Мозилла "вам это не надо и забудьте", Мозилла говорит "в том виде в котором есть сейчас - это опасно, но если вам это надо - врубайте сами на свой страх и риск".
	Ответить \| Правка \| ^ к родителю #31 \| Наверх \| Cообщить модератору


	35. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от pavel_simple (ok) on 12-Дек-10, 20:39
	>>казалось-бы при чём тут гуг^W проблемы использования устаревших прокси решаются за счёт >>современных браузеров -- подумай 294'ый -- ведь это явно не решение проблкмы. > угу. "проблемы устаревших прокси". Вот сейчас все как ломанулись обновлять свои отработанные такие-же оработанyые как машинное масло? > и действующие системы доступа ради того чтобы некая часть непринятого таки > стандарта таки заработала... при чём тут стандарт на html5 если нарушен стандарт на работу самих прокси-сереров и не соблюдая его естm неслабая возможность предоставить ещё одну дыру для взлома. > Да и не говорит Мозилла "вам это не надо и забудьте", Мозилла > говорит "в том виде в котором есть сейчас - это опасно, > но если вам это надо - врубайте сами на свой страх > и риск". и казалось-бы при чём тут user294? - он хоnь иногда читает прежде чем пишет в отличии...
	Ответить \| Правка \| ^ к родителю #34 \| Наверх \| Cообщить модератору


	36. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+1 +/–
	Сообщение от Aqueelone on 13-Дек-10, 12:40
	1) Если корпоративный админ -- так на то он и админ чтоб ОТВЕЧАТЬ ЗА ВСЕ. Если провайдер ... это нарушение Прав Потребителя -- пишите в личку -- -взгреем провайдера по первое число. 2) Нормальный человек через чужое прокси не ходит. Идя через чужое_прокси Вы пытаетесь представиться от ЭТОГО_ПРОКСИ, потому хозяин ЭТОГО_ПРОКСИ может делать ЧТО ОН ХОЧЕТ. (Даже пустить поверх протокола http:// 220 вольт --- если придумает как! :) ) А кто отвечает за ВАШ_ПРОКСИ? Если он ВАШ -- то собственно ВЫ САМИ. Вообще, В НАШЕ ВРЕМЯ хождение вэбом через прокси -- это "ДУРНОЙ ТОН". 3) При вождении машины нужно умение водить, которое проверяется при выдаче прав. >> Заметьте, от них вообще при этом не требуется никаких неправильных действий. Как это не требуется? Неправильные действия, приводящие к тому, что Вы написали: 1. Отсутствие головы и логического мышления. 2. Использование прокси. 3. Использование плохого провайдера. 4. Использование продуктов фирмы Микрософт. Чтоже в отношении Мозилы и Оперы... ну конечно респект --- сделано грамотно и корректно.
	Ответить \| Правка \| ^ к родителю #28 \| Наверх \| Cообщить модератору

2. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
Сообщение от pavlinux (ok) on 09-Дек-10, 18:31
Эта чтоль? network.websocket.enabled
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	4. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+1 +/–
	Сообщение от анониммм on 09-Дек-10, 19:02
	и network.websocket.override-security-block в true
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	5. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от pavlinux (ok) on 09-Дек-10, 19:17
	нету такой :(
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	8. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+1 +/–
	Сообщение от Аноним (??) on 09-Дек-10, 19:59
	она появилась в сегодняшней найтли-сборке firefox'a, как и отключение вебсокетов, и будет в восьмой бете
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	15. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от pavlinux (ok) on 09-Дек-10, 21:48
	> она появилась в сегодняшней найтли-сборке firefox'a, как и отключение вебсокетов, > и будет в восьмой бете Устроили там ромашку - включаем-невключаем :)
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору

7. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
Сообщение от Аноним123321 (ok) on 09-Дек-10, 19:34
отлично! правильно!! вот именно этим HTML5 отличается от Adobe Flash (...и других сильверлайтов и прочего вендорского Г): ...а именно: здесь (в W3C-стандартах) -- 10 раз подумают над безопасностью прежде чем будут реализовывать чтото! ...а не то что "функция для галочки" (Silverlight) чтобы потом на очередных конференциях (Microsoft для студентов и имбицилов) рассказывать что якобы продукт сделан для rich-media и просто блещщит числом функций! :-D
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	9. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+6 +/–
	Сообщение от Wormik (ok) on 09-Дек-10, 20:07
	Это не HTML5, а решение тех, кто его реализовывает в своих продуктах. Так что хвалить стоит их, а не создателей спецификаций, допустивших ошибки и решающих их.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	11. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	–1 +/–
	Сообщение от Блуд (ok) on 09-Дек-10, 20:39
	> вот именно этим HTML5 отличается от Adobe Flash (...и других сильверлайтов и прочего вендорского Г): > ...а именно: здесь (в W3C-стандартах) -- 10 раз подумают над безопасностью прежде чем будут реализовывать чтото! Что-то мне подсказывает, что оно уже есть, поэтому и реализовано в движке WebKit, а не реализовывать решили лишь две компании, так как решето. Так что не сильно-то и отличается.
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	12. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от Аноним (??) on 09-Дек-10, 20:49
	> чем будут реализовывать чтото! они и не реализовывают ничего. они лишь выпускают стандарт
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору

10. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
Сообщение от Аноним (??) on 09-Дек-10, 20:34
> рекомендовано для согласования соединения вместо механизма HTTP Upgrade использовать метод CONNECT Однако, не из всех локаций доступен метод CONNECT на 80 порт. :(
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	13. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+1 +/–
	Сообщение от filosofem (ok) on 09-Дек-10, 20:50
	В тех же "локациях" обычно и Upgrade не работает, поэтому не расстраивайтесь.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору

14. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
Сообщение от Аноним (??) on 09-Дек-10, 21:10
Ура. На самом деле, давно назревает аналог noscript (в сумме enable cookies for site, adblock и еще десятком плагинов), который работает как персональные фаирволы в венде и позволяет (дебилам) все разрешить, а кому надо - настроить посайтово всю возможную активность, включая cookies, storage, websockets, кэш и т.д. В идеале, должна быть возможность противостоять даже такой штуке, как evercookie (у меня даже при отсутствии noscript она сохраняется только в кэше).
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

16. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
Сообщение от Аноним (??) on 09-Дек-10, 22:41
Поясните пожалуйста, кто понял новость: > используя механизм HTTP Upgrade можно на этапе установки соединения передать порцию данных, которую прокси-cервер воспримет как HTTP-запрос/ответ получается я могу написать программку которая будет слать такой же трафик как HTTP Upgrade и это позволит мне подменять любые страницы в кеше прокси?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	19. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от dss on 10-Дек-10, 00:45
	Да-да, все так и есть. И я, честно говоря, не совсем понимаю, как запрет websockets в браузерах исправит «core issue is that some number of transparent proxies do not understand the HTTP Upgrade mechanism and therefore don't understand that the remaining bytes sent by the attacker on the socket are not HTTP.» Т.е. это не уязвимость протокола websockets, а уязвимость существующих проксей. И тем 8 пользователям, которых поимели, подсунув зловредный жаваскрипт, отключение вебсокетов никак не поможет. У меня даже в голове не укладывается, как можно быть такими идиотами…
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	24. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от filosofem (ok) on 10-Дек-10, 09:58
	Кривые прокси уязвимы изнутри. Это значит, что ваш коллега или ваша жена, может отравить кэш этого прокси и таким образом подсунуть вам некий неправильный http://www.google-analytics.com/ga.js. Websocket делает их уязвимыми снаружи. Это значит, что не только ваш коллега за соседним столом, а любой киддис Вася может таким образом подсунуть вам некий неправильный http://www.google-analytics.com/ga.js.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	32. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от dss on 11-Дек-10, 01:35
	Так в том же исследовании прекрасно описано, как тех же целей «ломания снаружи» можно достичь с явой и флэшом. И что, запретим по дефолту в браузерах флэш и яву? Только очень особые любди думают, что «безопасно» == «через жопу». Если ты делаешь в своей сетке transparent proxy, ты берешь на себя всю ответственность за обеспечение безопасности пользователей за ним. И если у тебя кривой прокси — это твой косяк, а не разработчиков спецификации протокола, который, между прочим, спецификаций HTTP не нарушает (почитайте rfc2616 про Upgrade). Запрещать протокол, соответствующий спецификации, потому что он ломает прокси, которые положили на спецификацию — это феерический идиотизм.
	Ответить \| Правка \| ^ к родителю #24 \| Наверх \| Cообщить модератору


	33. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от filosofem (ok) on 11-Дек-10, 11:31
	А что прокси нарушают, какую спецификацию? Ни в каком std не написано, что нельзя кэшировать по хостнэйму. Да и кэширование по ИП не дает никакой гарантии, что другие исследователи не смогут его эксплуатировать. >Так в том же исследовании прекрасно описано, как тех же целей «ломания снаружи» можно достичь с явой и флэшом. И что, запретим по дефолту в браузерах флэш и яву? Да, этот крап в вэбе не нужен. Так, между прочим, эксплойт вэбсокета через Upgrade тоже использует флэш. Так обычно и получается (и тот кто хотя бы раз занимался взломом или защитой от него, а не просто теоретизирует, тот знает), что успешный взлом эксплуатирует сразу множество уязвимостей. Например дыра в CMS, плюс кривость PHP, плюс необновленное ядро, плюс неграмотная политика безопасности, позволяющая поднять привилегии чаще всего приводят к взлому сервера при помощи инъекции, PHP шелла и эксплойта ядра. Хотя ни одна из этих уязвимостей в отдельности ни к каким катастрофическим последствиям не приводит. Клиента чаще всего подводит дырявая необновленная операционка, плюс работа под админом, плюс необновленный браузер, плюс дыра в флэше/джаве/пдф-ридере или каком-то софте со старыми библиотеками, плюс конечно _незнание_ и желание пользоваться всем новеньким и блестящим, забив на безопасность, несмотря на предупреждение о том, что протокол уязвим сам по себе. Кстати и протокол отвечающий всем спецификациям нифига не обязательно безопасен на практике, взять тот же ДНС. И вообще развелось "специалистов" которые на каждое сообщение о уязвимости кричат, что это не работает и все юзеры сами виноваты. И так до тех пор пока не увидят у себя в консоле uid=0(root) или пока их самих не поимеют.
	Ответить \| Правка \| ^ к родителю #32 \| Наверх \| Cообщить модератору


	29. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от User294 (ok) on 10-Дек-10, 20:48
	> Т.е. это не уязвимость протокола websockets, а уязвимость существующих проксей. ... эксплуатируемая при помощи нового протокола про который они не знают, ага. Прокси это конечно не оправдывает, однако возможность впаривать хомякам неправильные куски того же гугля или иных популярных сайтов - трудно переоценить.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору

18. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	–2 +/–
Сообщение от devlink on 09-Дек-10, 23:59
ээээ... верните сокеты редиски. Когда уже нормально подумают над стандартом - недавно ввели новую версию, которая со старой несовместима, теперь opera и firefox отказываются.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	23. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+3 +/–
	Сообщение от ugo on 10-Дек-10, 08:56
	Так они же не отказываются, они просто снимают с себя ответственность за потенциальные проблемы, не активируя по умолчанию данный функционал. Если Вам нужно, вы можете все включить, только потом не кричите, что Вам подсунули дырявое ПО.
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору

21. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
Сообщение от Аноним (??) on 10-Дек-10, 08:22
Консорциум честно предупреждал, что НЕ стоит реализовывать HTML5, поскольку стандарт еще очень сырой и не обкатан, кроме того, еще будет огромное кол-во изменений стандарта. ССЗБ
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	22. "В Firefox 4 и Opera 11 будет заблокирована поддержка протоко..."	+/–
	Сообщение от анони on 10-Дек-10, 08:43
	Маркетинг будь он неладен Почти все уверены, что HTML5 сайт - это видео без флеша
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору