Polska Mozilla Planet

Poniższy tekst to tłumaczenie FAQ napisanego przez Asę Dotzlera i opublikowanego na blogu “For the Record”. Pomyślałem, że skoro nawet LinuxNews.pl wypisuje niestworzone rzeczy, to mogę przewidzieć poziom artykułów w innych serwisach - i lepiej zareagować uprzedzająco. :)

Wczoraj (tzn. 7 maja - przyp. tłum) Mozilla poinformowała, że jeden z dodatków napisanych przez członków społeczności, hostowany przez Mozillę (w addons.mozilla.org - przyp. tłum.) zawierał pozostałości wirusa nazywanego W32/Xorer.A, znanego także jako W32/Fujacks!htm.

Po przeczytaniu kilkudziesięciu artykułów i notek na blogach opisujących tamto ogłoszenie, pomyślałem, że w tym miejscu wyjaśnię kilka błędnych informacji, na jakie natknąłem się w tych artykułach i notkach.

• Dodatek z wietnamskim pakietem językowym zawierał robaka albo wirusa

  Nagłówki wiadomości z konieczności muszą być krótkie i do rzeczy, ale w wiadomościach związanych z bezpieczeństwem nadmierne uproszczenie może stać się dezinformacją.

  Inaczej niż jak to sugerowały te nagłówki, dodatek nie zawierał ani robaka, ani wirusa. Wirus znajdował się na komputerze twórcy dodatku. Wirus ten wstrzyknął mały skrypt do dodatku (dokładniej, do plików pomocy - przyp. tłum.). Skrypt ten nie mógł ani replikować się, ani rozprzestrzeniać jak wirus czy robak. Jedyne, co mógł zrobić, to nakazać Firefoksowi ładowanie niepożądanych reklam. Wyłączenie dodatku jest skutecznym sposobem zabezpieczenia przed tym problemem, ponieważ nie jest to ani robak, ani wirus.

• Wszyscy użytkownicy Firefoksa (albo przynajmniej większa ich część) są narażeni, ponieważ Firefox zawiera domyślnie obsługę wszystkich języków

  To nie jest prawda. Niektóre wielojęzyczne programy faktycznie zawierają wszystkie tłumaczenia w jednej paczce. Nie jest tak w przypadku Firefoksa. Mozilla dostarcza osobne wersje Firefoksa dla każdego z 45 obsługiwanych języków. Język wietnamski nie jest jeszcze jednym ze wspieranych języków, więc użytkownicy chcący korzystać z wietnamskiej wersji językowej muszą odnaleźć i zainstalować ten dodatek z wietnamskim tłumaczeniem. Jedynie użytkownicy, którzy zainstalowali uszkodzony wietnamski pakiet językowy, mieli styczność z nieautoryzowanym kodem.

• 16667 użytkowników wietnamskiego pakietu językowego było narażonych

  O ile nie znamy dokładnej liczby użytkowników, których dotyczy ten problem, pewne jest to, że liczba ta jest znacznie mniejsza. W ogłoszeniu wspomnieliśmy, że od listopada 2007 było 16667 pobrań tego dodatku. Jednocześnie, nie wszystkie z nich były pobraniami wersji uszkodzonej. Dodatek ten został zaktualizowany 18 lutego 2008 i tylko użytkownicy, którzy pobrali jego lutową aktualizację, mieli styczność z nieautoryzowanym kodem.

• Użytkownicy Firefoksa powinni go odinstalować i skorzystać z oprogramowania antywirusowego, by naprawić ten problem.

  Ponieważ nie jest to wirus ani trojan, a jednocześnie sprawa dotyczy tylko dodatku z wietnamską paczką językową, użytkownicy nie muszą odinstalowywać Firefoksa ani używać zewnętrznego oprogramowania, by naprawić ten problem. Wystarczy otworzyć menedżer dodatków z menu Narzędzia i wyłączyć w nim dodatek z wietnamską paczką językową.

• Systemy Mozilli zawierały wirusa lub robaka

  Wirus znajdował się na komputerze twórcy dodatku (osoby ze społeczności, nie pracownika Mozilli - przyp. tłum.). Komputery produkujące i rozpowszechniające Firefoksa nie były narażone i nie odpowiadają za uszkodzony dodatek.

• Mozilla podejrzewa autora dodatku o złe zamiary

  W żadnym razie. Mozilla nigdy nie miała takich podejrzeń; nie ma do nich żadnych podstaw.

• Dodatkom nie można ufać

  Wszystkie dodatki są skanowane w momencie przesyłania ich do serwisu Mozilla Add-ons. Ten dodatek zawierał pozostałości po wirusie, który wtedy nie był rozpoznawany przez oprogramowanie antywirusowe. W wyniku tego incydentu, implementujemy dodatkowe skany w regularnych odstępach czasu także po wgraniu dodatku do Mozilla Add-ons, aby zabezpieczyć się przed zbliżonymi problemami w przyszłości.

Dodatki są bardzo ważne i cenne dla wielu użytkowników Firefoksa. Wierzymy w tę elastyczność i siłę, dlatego mocno zainwestowaliśmy w infrastrukturę ich hostingu i wspieramy zarówno dodatki, jak i wspaniałą społeczność, która je tworzy. Bezpieczeństwo jest kluczowym składnikiem tej inwestycji i bardzo poważnie traktujemy wszelkie problemy dotyczące bezpieczeństwa dodatków. Na szczęście, opisywany problem dotyczył tylko względnie niewielkiej liczby użytkowników, skutki tego problemu nie były dla użytkowników katastroficzne, a naprawa problemu ogranicza się do trzech kliknięć myszą.

Idąc dalej, mamy gotowe lepsze skanowanie antywirusowe i szukamy innych sposobów na zapewnienie bezpieczeństwa i integralności wszystkich dodatków - nie tylko tych hostowanych przez Mozillę.

Więcej informacji:
Mozilla Security Blog » Uszkodzony plik w wietnamskiej paczce językowej dla Firefoksa 2 - artykuł Window Snyder

Tyle, jeśli chodzi o FAQ autorstwa Asy.

Sprawa wygląda więc tak… Autor dodatku z wietnamską lokalizacją pracował na zakażonym komputerze. Wirus zmodyfikował pliki pomocy Firefoksa zawarte wewnątrz dodatku w taki sposób, by wyświetlały reklamy. Całe zagrożenie ograniczyło się wiec do tego, że w plikach pomocy pojawiały się reklamy. W dodatku NIE BYŁO wirusa, do kodu HTML dołączone były tylko nieautoryzowane wstawki reklamowe, które wirus działający na komputerze autora do nich dopisał. Użytkownicy nieoficjalnego wietnamskiego pakietu językowego nie mieli więc wirusa u siebie i wirus ten nie mógł się rozpowszechniać przez pakiet językowy. Pakiety językowe nie zawierają kodu wykonywalnego, jedynie pliki z tekstami wykorzystywanymi przez docelowy program plus pliki z treścią “pomocy”).

PS. Właśnie sprawdziłem IDG i widzę, że też wyolbrzymiają sprawę (w dodatku z lokalizacją NIE BYŁO żadnego trojana!)… Po drugie - IDG i inni, nauczcie się wreszcie: “wtyczką” (ang. “plug-in”) jest Flash, Java, Silverlight, MPlayer i inne binarne komponenty dodające obsługę obiektów wstawianych do HTML-a znacznikami <embed> i <object>. Tu mówimy o dodatkach (”add-ons”).

A propos poprzedniej notki, a raczej mojego komentarza o Google’u…

Tak sobie pomyślałem — ciekawe, jak pan redaktor Piotr Wrzosiński z agorowej Managerii pogodzi wspomniany tam przeze mnie fakt, że Mozilla nie ogląda się na problemy Google’a z GMailem i szykuje się do wypuszczenia angielskiego Firefoksa 3 tylko z predefiniowanym Yahoo Mail — ze swoją hipotezą, jakoby Mozilla była od tego Google kompletnie zależna i że to już jest “GBrowser”. GBrowser bez GMaila, za to z jego głównym konkurentem?!

Ciekawi mnie też skrajny relatywizm pana redaktora. Otóż, interesujące jest, jak pan redaktor łączy swoją ogromną niechęć do tego, że Google ustawia cookiesa podczas pobierania listy antyphishingowej dla Firefoksa (co jest uznawane za błąd!) — z faktem, że jego własny pracodawca sprzedał wszystkich swoich użytkowników wraz z ich pocztą temu właśnie wstrętnemu Googlowi! Jeśli Mozilla ma drzazgę w oku z powodu tego cookie, to co ma Agora S.A., panie redaktorze? Co jest gorsze? Jedno cookie, które pozwala Googlowi stwierdzić, ilu unikalnych użytkowników ma zabezpieczenie antyphishingowe, czy cała korespondencja milionów użytkowników? Czy to znaczy też, że nie mamy już “Gazety Wyborczej”, tylko “GJournal”? ;-)

Wygląda na to, że Managerii jest wszystko jedno; publikuje, byle cokolwiek publikować, nawet trollingi niegodne pl.comp.os.advocacy, żeby tylko mieć “pejdżwiusy”… A z nimi ostatnio raczej kiepsko. I tak Agora niegdyś kojarzona z renomowanym dziennikiem, rozmienia się na drobne.

PS. Czytałem poprzedni “artykuł” red. Wrzosińskiego na ten temat i uznałem go za żenadę niewartą odpowiadania (inaczej uznała firma od “pi-aru” reprezentująca Mozilla Corporation w Polsce, i poleciała z tym do Tristana). Ale skoro mnie zacytował (i to chyba też tylko po to, żeby mieć o 3 akapity dłuższy artykuł, bo cytowana przez niego notka na blogu nie ma z tą sprawą nic wspólnego ponad to, że też jest o Firefoksie), no to skomentowałem… :)

Chciałem o tym zablogować już wcześniej, ale kiedy w końcu się do tego zabrałem, okazało się, że w angielskiej MDC jest już o tej funkcji całkiem niezły artykuł, dlatego uznałem, że lepiej go po prostu przetłumaczyć: Obsługa protokołów przez aplikacje WWW.

W tym miejscu tylko krótko i mniej technicznie - w Firefoksie 3 istnieje możliwość zarejestrowania jako mechanizm obsługi protokołu nie tylko aplikacji istniejącej na dysku twardym użytkownika w postaci pliku wykonywalnego (np. Thunderbird dla protokołu “mailto” czy Pidgin albo AdiumX dla protokołu “xmpp”), ale również aplikacji webowej.

Jak to działa? Rejestrujemy protokół, niech to będzie choćby wspomniane mailto. Użytkownik klika klasyczny link: example@example.org i… zamiast Thunderbirda czy Outlooka, Firefox otwiera po prostu jego ulubiony webmail. Dokładnie w ten sam sposób zarejestrować można każdy inny protokół (prawie, z wyjątkiem m. in. http i https).

Co to oznacza dla zwykłego użytkownika? Jeśli na przykład do obsługi wiadomości e-mail zamiast tradycyjnego klienta poczty wolisz używać webowego interfejsu Poczty Interii, OnetPoczty czy też Poczty Wirtualnej Polski, to Firefox 3 da Ci taką możliwość! Klikasz link do e-maila i otwiera Ci się Twój webmail, który automatycznie przechodzi do tworzenia wiadomości i wypełnia pola takie jak “Adresat”, “Temat” czy “Kopia” otrzymanymi z linku wartościami.

Co więcej, polska edycja Firefoksa 3 zawiera na liście proponowanych mechanizmów obsługi protokołu mailto właśnie trzy powyższe systemy webmail (wersja angielska - na razie tylko Yahoo). W jednej z kolejnych wersji po wersji 3.0 Mozilla dołączy do Firefoksa także obsługę GMaila, wymaga to jednak jeszcze nieco pracy ze strony Google.

Dopisane później: dla podkreślenia, że tu wcale nie chodzi tylko o mailto… Firefox 3 (polski i angielski) zawiera jeszcze przykładowy handler dla protokołu kalendarza webcal: - 30boxes (niestety, w wersji angielskiej), w kolejnych wersjach powinien dołączyć też Google Calendar i, jeśli tylko taki znajdziemy, jakiś polski odpowiednik. :)

Półtora roku po premierze Firefox 2 stał się przeglądarką najczęściej używaną przez polskich użytkowników według badań Gemiusa.

• Firefox 2 - 34,7%
• IE 6 - 34,6%
• IE 7 - 21,5%
• Opera 9 - 5,9%
• Firefox 1.0 + 1.5 - 1,5%
• Firefox 3 beta/pre-RC - 0,5%

Wszystkie wersje IE traktowane łącznie (56,4%) wciąż jednak przewyższają pod względem liczby użytkowników wszystkie przeglądarki oparte na Gecko (37,2%) - ale spokojnie, pracujemy nad tym. :)