Mozilla möchte mit Echtheitsprüfung für Firefox Vertrauen stärken
Mozilla möchte ein System zur Echtheitsüberprüfung einführen, damit Nutzer feststellen können, ob der auf ihrem Computer installierte Firefox dem Firefox aus dem Mozilla-Quellcode entspricht. Damit möchte Mozilla in Zeiten von Schlagzeilen wie der NSA-Ausspähung das Vertrauen der Nutzer stärken.
Mozillas Chief Technical Officer und Senior Vice President of Engineering, Brendan Eich, sowie der Vice President of Mobile Engineering und Research & Development, Andreas Gal, haben gemeinsam einen Artikel veröffentlicht, in welchem sie über Pläne schreiben, eine Echtheitsüberprüfung für Firefox einzuführen.
Sie führen dabei aus, dass es für Nutzer schwierig geworden ist, der Software und den Dienstleistungen, die wir im Internet nutzen, hinsichtlich der Privatsphäre zu vertrauen, da Regierungen und Unternehmen einen ausspähen können ohne dass man davon mitbekommt. Auch Browseranbieter fallen laut Eich und Gal unter die Abhörgesetze der USA, womit die Gefahr besteht, dass Browseranbieter zum Einbau von Überwachungscode in den Browser gezwungen werden. Beweise für solche Anfragen würde es zwar bislang nicht geben, die Möglichkeit bestünde aber. Dabei verweisen sie auf die Ereignisse um Lavabit. Und die Nutzer würden davon aller Wahrscheinlichkeit nach nicht einmal etwas mitbekommen. Die unglückliche Konsequenz daraus sei, dass man Software-Herstellern einschließlich Browserherstellern nicht blind vertrauen dürfe – nicht weil diese die Privatsphäre der Nutzer nicht respektieren wollten, sondern weil sie jederzeit durch Gesetze zu Dingen gezwungen werden könnten, welche die eigenen Prinzipien verletzen, auch wenn sie das nicht wollen.
Eich und Gal heben hervor, dass Mozilla gegenüber allen anderen Browserherstellern einen wesentlichen Vorteil hat: Mozillas Produkte sind wirklich Open Source. Der Internet Explorer ist komplett Closed Source und während die Engines Webkit und Blink zwar Open Source sind, sind bedeutende Teile von Chrome und Safari ebenfalls Closed Source. Firefox hingegen ist zu 100 Prozent Open Source.
Um sicherzustellen, dass niemand unbemerkt Überwachungscode in Firefox einschleusen kann, ruft Mozilla Sicherheits-Forscher und Organisationen aus der ganzen Welt zum Aufbau eines internationalen Überprüfungssystems auf. Diese sollen regelmäßig den Source-Code und die Builds überprüfen, automatische Systeme sollen sicherstellen, dass es sich bei den Mozilla-Builds um Builds aus dem Mozilla-Quellcode handelt, und einen Alarm ausgeben, wenn Unterschiede festgestellt werden. Im besten Fall, so Mozilla, kann ein Überprüfungssystem mit Teilnehmern aus vielen verschiedenen geographischen Regionen mit unterschiedlichen politischen und strategischen Interessen aufgebaut werden.
Durch diese internationale Zusammenarbeit voneinander unabhängiger Instanzen möchte Mozilla das Vertrauen seiner Nutzer stärken, welche dann sichergehen können, dass Firefox nicht verändert wird, ohne dass irgendjemand davon mitbekommt.
Sören Hentzschel ist Webentwickler aus Salzburg. Auf soeren-hentzschel.at informiert er umfassend über Neuigkeiten zu Mozilla. Außerdem ist er Betreiber von camp-firefox.de, der ersten Anlaufstelle im deutschsprachigen Raum für Firefox-Probleme aller Art. Weitere Projekte sind firefox.agenedia.com, firefoxosdevices.org sowie sozone.de.
Find ich persönlich ziemlich gut. Könnte es da Nachteile geben?
Mir würde so spontan jetzt zumindest kein Nachteil einfallen, mal abgesehen davon, dass es natürlich ein paar Ressourcen kostet, das überhaupt einmal aufzubauen. 😉
Hmm ich persönlich halte das für nicht besonders hilfreich.
Rate mal wer dort mit von der Partie sein wird … Die Erkenntnisse der letzten Monate haben gezeigt das nahezu alles manipuliert und unterwandert wird: Backdors in diverser Netz-Hardware, bereits seit 1998(!) Hintertüren in Windows u. Lotus Notes (wird nach wie vor in vielen Unternehmen genutzt), Manipulation von Verschlüsselungsprotokollen bereits auf unterer Ebene, bei quasi allen wichtigen OS darf man inzwischen von Backdors ausgehen, zu vielen großen Web-Diensten haben NSA & Co. Zugang usw … Wenn dieses Vorhaben wirklich gelingen sollte, dann ist das leider nur noch ein ziemlich kleiner Tropfen auf den heißen Stein. Zumal ja das Problem ist das man nur Dinge finden kann nach denen man auch sucht – da es aber immer genug unbekannte Sicherheitslücken gibt dürfte das insgesammt ein Kampf gegen Windmühlen sein.
Sehr gut, das geht in die richtige Richtung und sollte Schule mache für andere wichtige OpenSource Projekte. 🙂
und wer garantiert, dass der Quellcode OK ist?
@Matze.B:
Siehe Artikel:
Je breiter man dieses System mit umso mehr unterschiedlichen Interessensgruppen man so ein System aufbaut, desto weniger wird es möglich, dieses System zu unterwandern. Es geht darum, im Fall der Fälle den Nutzer zu alarmieren. Es soll hier ja eben nicht die Verantwortung in die Hände einer Instanz gegeben werden, sondern in ganz, ganz viele Hände auf der ganzen Welt.
Würde ich so nicht unterschreiben wollen. Man findet nicht nur Dinge, nach denen man sucht. Mozilla hat kürzlich auch durch reinen Zufall eine Lösung für ein Firefox-Problem auf Windows mit manchen AMD-Grafikkarten gefunden, für welches Mozilla über ein Jahr lang nach intensivem Suchen keine Lösung parat hatte. Nach dem zufälligen Finden der Lösung war das dann innerhalb weniger Tage umgesetzt. Ein weiterer Punkt ist, dass Überprüfung der Quellen nur ein Punkt ist. Ein weiterer Punkt sind automatisierte Abgleiche zwischen dem Quellcode und den Builds, ob diese aus eben jenem Quellcode stammen. Das ist technisch möglich, daran arbeitet Mozilla momentan.
@irgendwer:
Eine Garantie gibt es für gar nichts auf der Welt. Aber Überprüfungen des Quellcodes gehören wie im Artikel angedeutet aber natürlich auch dazu. Firefox ist der einzige Browser auf dem Markt, bei dem das auch möglich ist, da Firefox der einzige vollständige Open Source Browser ist.
so ne prüfung kann ja nur so ablaufen, dass sich der browser z.b. beim start an irgendeinen mozilla-server verbindet? holt man sich damit nicht ein weiteres tracking-feature rein, weil der browsr immer mal wieder nach hause telephoniert?
Es wird dann sicher bei den Einstellungen etwas hinzukommen wo es heißt: „Möchten sie die Quellcode Überprüfung für jeden Firefox-Start aktivieren?“ [ ] oder/und ein Button bei dem man den Quellcode jederzeit überprüfen lassen kann. Vielleicht auch was automatisiertes das einem sofort Alarm schlägt. Aber das ist nur meine persönliche Vermutung.
Bestehe denn die Gefahr das der Quellcode als „echt“ dargestellt wird, obwohl er falsch ist, oder ist das undenkbar? Verzeihung wenn dies schon beantwortet wurde.
Eine schwierig zu beantwortende Frage, denn grundsätzlich sollte so ein System, wenn es denn funktioniert, auch wirklich funktionieren, das heißt, wenn es in der Lage ist, eine Diskrepanz zwischen Quellcode und Build festzustellen, dann kann man sich darauf auch verlassen. Auf der anderen Seite natürlich nur insoweit, wie man sich überhaupt auf irgendetwas verlassen kann, denn Fehler im System lassen sich sicherlich nie zu hundert Prozent ausschließen, darum bin ich da vorsichtig und möchte kein Wort wie undenkbar in den Mund nehmen.