Firefox 76 schützt gespeicherte Passwörter
Ab Firefox 76 schützt Mozilla die gespeicherten Passwörter der Nutzer auch für all jene, welche kein Master-Passwort gesetzt haben. In dem Fall greift in Zukunft die Authentifizierung des Betriebssystems in Form des System-Passworts oder Biometrie.
Nutzer von Firefox können bereits seit vielen Jahren ihre Passwörter mit einem Master-Passwort sichern. Dann werden die Passwörter verschlüsselt und für die erstmalige Interaktion mit Passwörtern in einer Firefox-Sitzung ist die Eingabe des eingestellten Master-Passworts erforderlich.
Viele Nutzer haben jedoch kein Master-Passwort gesetzt. Neugierige Menschen mit Zugang zum Computer könnten in dem Fall unter about:logins ganz einfach alle gespeicherten Passwörter einsehen.
Ab Firefox 76 ist das nicht mehr möglich, zumindest unter Windows und Apple macOS ab Version 10.12. Dann nämlich fordert Firefox für Nutzer ohne Master-Passwort zur Authentifizierung über das Betriebssystem auf. Dies kann in Form eines Passworts oder Biometrie sein, zum Beispiel per Fingerabdruck, falls ein solcher hinterlegt ist. Nach der Authentifizierung merkt sich Firefox dies für fünf Minuten. Anschließend wäre eine erneute Authentifizierung notwendig, um Passwörter zu betrachten.
Firefox 76 erscheint nach aktueller Planung am 5. Mai 2020. Die Neuerung ist bereits Teil der aktuellen Nightly-Version von Firefox.
Sören Hentzschel ist Webentwickler aus Salzburg. Auf soeren-hentzschel.at informiert er umfassend über Neuigkeiten zu Mozilla. Außerdem ist er Betreiber von camp-firefox.de, der ersten Anlaufstelle im deutschsprachigen Raum für Firefox-Probleme aller Art. Weitere Projekte sind firefox.agenedia.com, firefoxosdevices.org sowie sozone.de.
Aah, wech sinnvolle Neuerung! 🙂
Frage am Rande: Wie sieht es dann zukünftig mit der Portabilität des Profil-Ordners aus? Läuft der rein über Berechtigungen des Dateisystems, kommen hier systemspezifische Verschlüsselungtechniken zum Einsatz, oder..?
Bisher wurden die Passwörter beim Übertragen des Ordners ja mit schlicht mitkopiert.
Und wenn man kein Passwort oder ähnliches hinterlegt hat? 😀
Daran ändert sich nichts.
Dann gibt es natürlich keine Abfrage. 😉
Tatsächlich:
Das ist gefährlich. Der User bekommt den Eindruck seine Passwörter seien durch ein Passwort geschützt, sind es in Wirklichkeit aber gar nicht!
Mit den OS-Credentials sollte das Passwort aber auch nicht verschlüsselt sein, sonst gibt es oben schon genannte Problem der Portabilität wenn ich das Profil auf einen anderen Rechenr umziehen will oder mit mehreren OS benutzen will.
Diese Behauptung ist ganz großer Quatsch. Vorher hat überhaupt kein Schutz existiert. Selbst wenn es mit diesem nun implementierten Schutz noch andere Wege gibt (die mit diesem Schutz überhaupt nichts zu tun haben!), kann die Tatsache an sich, dass ein Schutz implementiert worden ist, nicht gefährlich sein. Ganz im Gegenteil wird damit ein Angriffsvektor genommen, womit die Sicherheit ganz klar verbessert wird.
Wird es auch nicht.