Ich verwende jetzt Firefox statt Google Chrome für den täglichen Gebrauch, habe jedoch auf einigen Websites gelesen, dass Firefox weniger sicher ist, aber besser in Sachen Datenschutz ist, und Chrome ist es umgekehrt. Ist Firefox wirklich weniger sicher, weil es keine Sandbox für den allgemeinen Gebrauch hat? Ich weiß, dass es eine Sandbox für Flash, DRM usw. verwendet. Liege ich falsch und ist das bei Chrome auch der Fall oder nicht, denn ich konnte nicht so viele Informationen darüber finden. Ich verwende bereits uBlock Origin. Ist „Firejail“ eine gute Sandbox für Firefox für den täglichen Gebrauch?
Antwort1
Mozillas Electrolysis-Projekt hat es seinem Browser ermöglicht, dieselben Sandboxing-Technologien wie Chrome zu nutzen. Dies ist auf die Implementierung einer Multiprozessarchitektur zurückzuführen, die einen privilegierten Prozess zur Verwaltung des Browsers Chrome und nicht privilegierte Inhaltsprozesse (untergeordnete Prozesse) zur Verarbeitung nicht vertrauenswürdiger (Web-)Inhalte verwendet. Die Multiprozessarchitekturen der Browser sind etwas komplexer, aber das ist der Kern der Sache.
Ab Firefox 57 und höher unter Linux1Der Release-Zweig von Firefox verwendet dieselben Kernfunktionen wie Chrome für die Sandboxing-Funktion. Beide Browser verwenden seccomp-BPF, um den Zugriff auf Systemaufrufe von Inhaltsprozessen zu beschränken und so die Angriffsfläche zu verringern. Die (untergeordneten) Inhaltsprozesse beider Browser werden entweder durch einen Setuid-Wrapper (Chrome Legacy Fallback) oder nicht privilegierte Benutzer-Namespaces (Firefox und Chrome auf modernen Kerneln) in einer Sandbox ausgeführt.2,3
Aus einer übergeordneten Perspektive betrachtet sind die Sandboxen von Firefox und Chrome daher gleichwertig in ihrer Leistung.
Antwort2
Wie Ramhound anmerkte, verfügt Firefox zwar über Skript-Runtime-Sandboxen, Firejail ist jedoch etwas völlig anderes. Weder Chrome noch Firefox versuchen, das zu tun, was Firejail tut.
Firejail ist keine Script Runtime Sandbox, wie sie üblicherweise in Browsern eingebaut sind, sondern einObligatorische ZugriffskontrolleSchicht außerhalb des Browsers, wieSelinuxoder NovellAppArmor. Es isoliert den gesamten Browser (oder andere Nicht-Browser-Prozesse), nicht nur bestimmte Bereiche innerhalb der Laufzeitkomponenten des Browsers, sodass Sie die Auswirkungen des Browsers auf Ihr System begrenzen können, falls die Browser-Sandbox durch neue Angriffe beschädigt wird oder der Benutzer etwas absolut Dummes tut. Sie könnten beispielsweise festlegen, dass ein Prozess nur auf bestimmte Ressourcen zugreifen kann und alle anderen Vorgänge blockiert.
Wenn ich eine MAC-Schicht für meinen Browser bräuchte, würde ich persönlich SELinux oder AppArmor verwenden (je nachdem, was von den Betreuern meiner Distribution bevorzugt wird) oder noch besser eine virtuelle Maschine zur vollständigen Isolierung.