Non posso rispondere alla domanda posta, ma spero che questo possa far luce sul tuo problema.

• Le regole di sicurezza aziendale dovrebbero vietare l'uso di alcune estensioni del browser?

  IMHO la risposta è SI qui. Le estensioni del browser possono fare praticamente qualsiasi cosa per conto del browser normale. Ciò significa che un firewall locale non li rileverà.

• Esistono ragioni oggettive per fidarsi di più XXX (inserire qui qualsiasi browser di estensione del browser) di YYY (un altro browser o estensione del browser).

  La fiducia nella sicurezza IT si basa su 2 elementi principali: verifica del codice e reputazione. Il primo è oggettivo, mentre il secondo no, ma devo ammettere che utilizzo principalmente il secondo perché non ho né tempo né conoscenze sufficienti per rivedere tutto, quindi mi affido solo a consigli esterni di fonti di cui mi fido. Quando mi affido a HTTPS per proteggere un canale, devo fidarmi del proprietario del certificato per non fare cose cattive con i dati una volta ricevuti e mi fido del firmatario del certificato. Per farla breve, è possibile dire se un'estensione ha una reputazione migliore di un'altra, ma può essere solo per estensione e non a livello globale per browser.

• L'utilizzo di un Firefox portatile nel tuo caso d'uso una soluzione accettabile?

  Ancora la mia opinione, ma a meno che tu non sia in una posizione gerarchica che ti consenta di ignorare una regola del team di sicurezza, voglio dire un grande NO qui. Il mio consiglio è che dovresti prima fare un elenco delle estensioni che usi comunemente e di quelle possibili sostitutive. Quindi dovresti cercare di raccogliere quanti più elementi sulla loro sicurezza oggettiva e sulla loro reputazione (sempre dal punto di vista della sicurezza). Quindi dovresti dire al tuo manager che la recente proibizione dell'estensione di Chrome porta a una netta diminuzione della produttività e chiedergli di proporre al team di sicurezza un elenco di estensioni di cui hai bisogno con possibili sostituzioni (Firefox per Chrome per esempio). Quindi o sono d'accordo con un elenco accettabile, o la domanda dovrebbe salire più in alto nella gerarchia dell'organizzazione, fino a quando qualcuno che è responsabile sia della sicurezza globale che della produttività globale non prende una decisione. Ignorare silenziosamente le regole aziendali è sempre una cattiva decisione perché il ragazzo che ha autorità globale non ha modo di sapere che alcune regole non vengono seguite.

E se il tuo capo sceglie quella sicurezza è più importante della produttività o il contrario, lui ha autorità per quella scelta mentre tu potresti non avere.

Sospetto che Anders abbia ragione e chiunque abbia impostato il divieto dell'estensione di Chrome non ha pensato a Firefox. Se si rendessero conto che stavi usando Firefox per aggirare il divieto, probabilmente lo proibirebbero (o ci proverebbero comunque).

FWIW, sì, le estensioni del browser possono essere problematiche dal punto di vista della sicurezza, e posso vedere i motivi per vietarli o limitarli pesantemente in alcune situazioni. Detto questo, essere in grado di installare il proprio software, incluso un browser diverso, è altrettanto problematico per le stesse ragioni, o più, quindi consentire che mentre si vietano le estensioni sembra incoerente.

In ogni caso, il vero problema qui sembra essere la mancanza di comunicazione. Se il divieto di estensione era basato su una politica ufficiale esistente, tutti i dipendenti avrebbero dovuto essere informati della politica; in caso contrario, una tale politica avrebbe dovuto essere creata e adeguatamente annunciata.

Detto questo, in quanto autore di un'estensione per Chrome / Firefox ( SOUP), lasciatemi tieni presente che c'è, o almeno c'era , una reale differenza nel processo di verifica della sicurezza tra Chrome Web Store e i componenti aggiuntivi di Firefox. Fondamentalmente, la differenza è che i componenti aggiuntivi di Firefox avevano un processo di verifica della sicurezza manuale obbligatorio che tutte le estensioni dovevano superare prima di essere approvate, mentre Chrome Web Store solo contrassegna le estensioni per la revisione manuale se non superano un controllo euristico automatizzato.

Fondamentalmente, la mia esperienza personale con l'invio della mia estensione ai componenti aggiuntivi di Firefox e al Chrome Web Store è stata più o meno la seguente:

• Componenti aggiuntivi per Firefox: mi sono registrato per un account sviluppatore e ho inviato l'estensione. Due settimane dopo ho ricevuto un'e-mail in cui si diceva che la mia estensione (che, a dire il vero, era già diventata abbastanza grande a quel punto) era stata completamente rivista e approvata. Il revisore aveva chiaramente esaminato il codice con un occhio dettagliato, poiché aveva individuato un bug di sanificazione HTML non banale (tra poco meno di 2.000 righe di JavaScript piuttosto denso) che avrebbe potuto portare a una vulnerabilità XSS se, come hanno anche notato nella loro recensione, l'input non proveniva da una fonte attendibile. Gli aggiornamenti successivi dell'estensione sono stati generalmente approvati al massimo entro pochi giorni.

• Chrome Web Store: per poter inviare un'estensione, ho dovuto pagare un Quota di registrazione di $ 5. In realtà mi ci è voluto del tempo, dal momento che la mia banca apparentemente stava segnalando l'addebito come potenzialmente fraudolento e si rifiutava di lasciarlo passare. Alla fine sono riuscito a risolverlo chiamando la mia banca e facendole consentire manualmente l'addebito. Dopo aver completato il processo di registrazione, ho inviato l'estensione ed è stata pubblicata (IIRC) quasi immediatamente, apparentemente avendo superato i controlli automatici.

Ovviamente, senza sapere esattamente cosa fa Google i controlli automatici stanno verificando, non posso dire con certezza quanto siano bravi a catturare bug e malware. Ma so che non sono riusciti a individuare il bug quasi XSS nella mia estensione rilevato dal revisore di Mozilla.

Più in generale, la mia impressione è che Google sia più concentrato sul tentativo di rendere gli autori delle estensioni tracciabili e responsabili (tramite la quota di registrazione, che almeno significa che conoscono i dettagli della mia carta di credito; anche se sono sicuro che un malintenzionato potrebbe trovare modi per aggirare ciò) e sul rilevamento di malware intenzionale. E non sempre sembrano nemmeno coglierlo. Il precedente processo di revisione dei componenti aggiuntivi di Firefox, d'altra parte, non solo ha tenuto fuori il malware, ma ha anche cercato di individuare potenziali falle di sicurezza anche in estensioni ben intenzionate. Inoltre, esaminando manualmente gli aggiornamenti alle estensioni esistenti, il sistema dei componenti aggiuntivi di Firefox ostacolerebbe anche gli attacchi di dirottamento dell'account sviluppatore come quelli che hanno recentemente compromesso diverse estensioni di Chrome legittime.

Sfortunatamente, come ha sottolineato Makyen nei commenti seguenti, questa differenza non esiste più: da pochi mesi, i componenti aggiuntivi di Firefox sono passati a un processo di revisione delle estensioni semi-automatizzato, proprio come quello Chrome Web Store sta utilizzando.

Nel post del blog collegato, la modifica è stata motivata dalla "nuova API WebExtensions [essendo] meno probabile che causi problemi di sicurezza o stabilità per gli utenti". Sfortunatamente, questo ragionamento non mi convince molto: WebExtensions - anche estensioni di script di contenuti puri come SOUP - può fare molti danni nelle mani di un attore malintenzionato.

Solo l'API dello script di contenuto offre fondamentalmente un'estensione gratuita accesso a ogni pagina web che visiti ea ogni password o numero di carta di credito che digiti. Certo, quando installi l'estensione, ti verrà comunicato sui siti su cui potrebbe eseguire script di contenuto, ma tante estensioni (compresi i blocchi degli annunci , estensioni per la privacy, ecc.) richiedono già la possibilità di inserire script su ogni sito a cui pochi utenti presteranno attenzione a tale avviso, anche se capiscono cosa significa.

Solo una settimana dopo l'annuncio collegato sopra, due estensioni con minatori bitcoin incorporati erano già state individuate sui componenti aggiuntivi di Firefox. Quindi sembra che, quando si tratta di estensioni, il precedente vantaggio di sicurezza di Firefox rispetto a Chrome sia ora solo nostalgia. :(

Sì.

Può esserci un motivo legittimo:

• Le estensioni di Chrome vengono sempre aggiornate automaticamente.
• Le estensioni di Firefox non devono essere aggiornate automaticamente.

Ciò significa che se l'account dello sviluppatore di un'estensione di Chrome con "legge le tue informazioni su tutti i siti web "l'autorizzazione viene compromessa, il ladro può diffondere codice dannoso in tutto il mondo molto rapidamente ¹ e tutti i tipi di account, dalle email ai conti bancari, sarebbero a rischio. Consentire all'utente di eseguire l'aggiornamento a un ritmo più lento e meno prevedibile rende (1) più probabile che al termine dell'aggiornamento, il codice dannoso sia stato individuato e rimosso e anche (2) che l'attacco stesso sarebbe stato meno probabilità di essere tentato a causa dell'avvertenza in (1).

Ora, non ho idea se questo è il motivo della tua azienda. Nella mia esperienza, le persone (e anche Google) sembrano dimenticare questa minaccia e / o spazzare via questa minaccia di compromesso degli sviluppatori sotto il tappeto (e secondo me, pericolosamente in modo errato). Tuttavia, è una preoccupazione legittima e credo che sia solo questione di tempo prima che il malware pericoloso si diffonda a livello globale tramite l'aggiornamento automatico forzato.

_{¹ Non sii troppo ingenuo nel modo in cui pensi a questo. Se stai pensando "ma eseguono test automatici" o "ma scaglionano gli aggiornamenti" o [qualunque cosa], renditi conto che il codice dannoso non deve mostrare immediatamente segni di attività dannosa, soprattutto non l'attività di rete. Può semplicemente rimanere inattivo mentre l'aggiornamento viene rilasciato, quindi impostato per l'attivazione in un secondo momento e, dopo l'attivazione globale simultanea, può inviare le credenziali da una tonnellata di utenti e siti Web alla sua nave madre prima che venga rilevato e disabilitato.}

Forse nella tua azienda c'erano utenti che avevano malware o avevano rubato problemi di dati a causa delle estensioni di Google Chrome.

Mi è successo, quindi non lo sconto.

Non conosco le estensioni di Firefox, ma ho trovato malware in un'estensione di Chrome che stava manipolando l'output del mio browser. Ho indagato per conto mio e l'ho segnalato a Google ma non è successo nulla. In superficie era un plugin molto utile che mi ha permesso di avere una sessione separata in ogni scheda per lo stesso dominio.

Quindi, nella mia esperienza personale, Google è pessimo nel monitorare / moderare app / estensioni. Ogni singolo plug-in che hai nel tuo Chrome è capace di molte cose pericolose.

È possibile che si riferisca agli strumenti a disposizione del team di sicurezza. Un team può avere accesso a strumenti per gestire e controllare o anche solo segnalare le estensioni per uno dei browser ma non per l'altro in questo momento.

Non credo che questa sia la tua situazione, ma è una ragione legittima per una politica che sembra discriminare un determinato browser per nessun altro motivo apparente. So che Chrome, in particolare, ha un pacchetto di amministrazione disponibile per gli amministratori di dominio Windows che consente agli amministratori di vedere e impostare una serie di opzioni di sicurezza, ma ciò non significa che il team di sicurezza sia stato in grado di impostare questi strumenti. Sospetto che Firefox abbia qualcosa di simile, ma al momento non sono all'altezza degli strumenti di Mozilla per questo.

Esistono motivi oggettivi per non consentire le estensioni di Google Chrome, ma per consentire le estensioni di Firefox?

Oggettivamente, Mozilla ha un processo più robusto per la distribuzione di un componente aggiuntivo rispetto a chrome.

Oggettivamente, le estensioni di Chrome sono state violate di recente (l'ingegneria sociale è indipendente dalla piattaforma, però).

Oggettivamente, Chrome ha un modo di condividere un utilizzo maggiore. Vuoi scegliere come target un sistema operativo popolare? Target di Windows. Vuoi scegliere come target un browser popolare? Target di Chrome

Probabilmente non dovresti continuare a utilizzare questi componenti aggiuntivi senza autorizzazione esplicita, ma credo che le estensioni di Chrome siano, in un certo senso, meno sicure dei componenti aggiuntivi di Mozilla.