Thema: Microsoft installiert Firefox-Add-On ohne Rückfrage

[SiLæncer]

Ein von Microsoft automatisch an Windows-Nutzer ausgeliefertes Update seines .NET-Frameworks installiert stillschweigend ein Firefox-Add-On. Bei der Erweiterung handelt es sich um den "Microsoft .NET Framework Assistent", der mit der ClickOnce-Technik die Installation von Software durch Webseiten mit dem Anklicken eines einzigen Links ermöglicht. Ein direktes Sicherheitsrisiko stellt ClickOnce jedoch nicht dar.

Die Installation ohne Rückfrage dürfte jedoch das Vertrauen in Microsoft weiter untergraben: Windows-Nutzer dürften sich fragen, inwiefern sie noch die Kontrolle über ihr System besitzen, wenn sie die automatischen Updates zulassen – zumal sich das Add-On nur durch Eingriffe in die Registry wieder entfernen lässt. Immerhin kann man es per Mausklick deaktivieren, sodass Firefox es nicht mehr lädt.

[Update]Das Add-on wird von Microsoft bereits seit mehreren Monaten im Rahmen der Updates für das .NET-Framework verteilt und installiert. Immer mehr Anwender stolpern aber nun über die Funktion.[/Update]

Quelle : www.heise.de

[Jürgen]

Das unerwartete Installieren eines Addons für eine Software, die M§ nicht gehört, sondern ganz klar ein Konkurrenzprodukt ist, und darin nachhaltig eine erhebliche und sicherheitsrelevante Verhaltensänderung bewirkt, kann ich nur als Sabotage bewerten.
Solches Verhalten kann auch nicht im Rahmen der EULA des M§-Produkts legalisiert werden, weil eine solche Klausel überraschend und damit unwirksam wäre.

Schätze, das soll eine Vorbereitung sein, für den Fall, dass die EU-Kommission M§ zwingen sollte, alternative Browser mit anzubieten.
Auf diese hinterhältige Art könnte versucht werden, negativ auf diese enzuwirken, um so letzlich Marktvorteile zurückzuerobern.

Hoffentlich finden sich Mutige, die den Laden verklagen, bis es knackt.
Die Höhe einer Strafe sollte die bisherigen sehr deutlich übersteigen, da es bislang nur um Wettbewerbsverzrrung ging, aber noch nicht um gewerblich organisierte Sabotage...

Jürgen

[SiLæncer]

Microsoft hat einen Patch bereit gestellt, mit dem Anwender des Firefox-Browsers das unter Umständen installierte Add-on "Microsoft .NET Framework Assistent" auf normalem Wege deinstallieren können. Mit dem Add-on soll Firefox die ClickOnce-Technik unterstützen, die die Installation von Software durch Webseiten mit dem Anklicken eines einzigen Links ermöglicht. Das Add-on wird bereits seit längerem von Microsoft im Rahmen des Updates von .NET Framework 3.5 SP1 ohne Nachfrage installiert und war bislang nur durch Manipulationen der Registry zu deinstallieren.

Damit man nach der Installation des nun verfügbaren Patches den Deinstallations-Button des .Net-Add-ons anklicken kann (sonst ist er ausgegraut), muss das Add-on zuvor aktiviert gewesen sein. Anschließend ist ein Neustart des Browsers notwendig.

Interessanterweise diskutieren die Firefox-Entwickler bereits seit längerem darüber, ob man den Anwender über die mehr oder minder heimliche Installation von Add-ons beim Start informieren und ihm die Entscheidung überlassen sollte, ob es aktiv ist oder nicht.

Quelle : www.heise.de

[Jürgen]

Interessanterweise diskutieren die Firefox-Entwickler bereits seit längerem darüber, ob man den Anwender über die mehr oder minder heimliche Installation von Add-ons beim Start informieren und ihm die Entscheidung überlassen sollte, ob es aktiv ist oder nicht.

Das halte ich jetzt für dringend geboten.
Nicht nur M$ wird sonst zu solchen Mitteln greifen.
Andere stehen sicherlich schon in den Startlöchern, mindestens. So, wie der IE längst regelmässig attackiert wird, per BHOs, ActiveX-Missbrauch, Pseudo-Codecs usw. ...
Und damit wäre bald auch für FF-Surfer die Hölle los.

[Theos]

hat schon mal irgendwer in firefox about:plugins besucht?
ich glaube da erübrigt sich jede weitere diskussion.

als firefox benutzer bist du standardmäßig nicht auf der sicheren seite.
erst wenn du denn ganzen javascript/plugin müll abdrehst hast du halbwegs ruhe - aber genau das gleiche gilt für ie & opera.

vorausgesetzt natürlich, die ganzen graphik-bibliotheken sind endlich sicher genug.
in zukunft erwarten uns mit html5 ja auch videos...

[Jürgen]

Ja, habe ich. Nicht zum ersten Mal.
Und von M§ war noch nichts dabei.
Und auch sonst nichts, was ich nicht bewusst eingebaut habe.
Genau darauf kommts mir hier aber an.
Bin eben kein blinder Alles-Klicker.
Aber wenn der Betriebssystem-Hersteller den grössten alternativen Browser gezielt von hinten anbohrt, geht mir echt der Hut hoch.

Als Konsequenz darf M$ endgültig damit rechnen, dass ich nie wieder einen Cent für irgendein M$-Produkt ausgebe.
Nun gut, mit einer frühen Ausnahme habe ich deren Betriebssysteme ohnehin immer mit (gebrauchten) Rechnern erworben. Aber absolut legal.
Und neue Office-Soft will und brauche ich nicht von denen.

Es gibt für fast alles genug Alternativen.
Für den Rest bleibt mir das, was ich schon habe, plus das, was freundliche Dritte auch weiterhin entwickeln.
Auch wenn ich selbst gelegentlich schützend dazwischen hauen muss...

Ansonsten hast Du natürlich absolut recht.
Das ewige Bibliotheken-Thema geht mir ordentlich auf die Nerven.
Aber nicht nur bei denen  

Jürgen

[ritschibie]

Ich bin so ein halbblinder Nichtalles-Wegklicker. Irgendwann
tauchen in der Gerümpelwelt der Software-Meldungen seltsame
Aufforderungen auf, die einem weissmachen, dass irgendein
Add-On nicht mitinstalliert wird. Und flugs (liegt sicher an mir)
hab ich den Mist doch im Browser. Obwohl ich in der Leiste
angegeben habe, der Fux soll mir doch bitte dieses blöde
"Ask.sam" (o.s.ä.) raushauen (und es dann auch nicht mehr
in den installierten add-ons erschienen ist), taucht diese Pseudo-
suchmaschine regelmässig wieder auf. Kopfschüttel!

Möchte lieber nicht wissen, was sonst noch alles weggeklickt
und doch noch aktiv ist. Will mich fern von Paranoia halten
und messe deshalb dem "google-updater" einfach keine
Bedeutung mehr bei!

[Theos]

Aber wenn der Betriebssystem-Hersteller den grössten alternativen Browser gezielt von hinten anbohrt, geht mir echt der Hut hoch.

das .net framework 3.5 SP1 hat unterstützung für das .net ClickOnce bei netscape browsern hinzugefügt. eben ein zugeständnis, dass man den firefox als alternative wahrnimmt.
das ist vergleichbar mit java webstart - sofern du das java plugin "installiert" hast auch an board.

von "geziehlt von hinten anbohren" kann da doch keine rede sein.

• firefox.exe standardmäßig mit einer niedrigen process-priority auszustatten, das wäre gezielt
• live.com als standardsuche installieren, das wäre hinterhältig
• microsoft.com et al. bei den cookies zur whitelist hinzufügen, das wäre ein anbohren

aber für manche reicht es wohl schon, wenn microsoft erwähnt wird...

[berti]

von "geziehlt von hinten anbohren" kann da doch keine rede sein.
[...]
aber für manche reicht es wohl schon, wenn microsoft erwähnt wird...

nee, so direkt ist das diesmal kein MS- Bashing.  Irgend ein Hersteller einer Soft hat ungefragt und versteckt ein plugin zum browser hinzugefügt -> das ist schonmal "pfui"
Dann das plugin sehr tief im Betriebsystem verankert -> nochmals "Pfui"

Das ist kein gutes verhalten und gehört angeprangert.

Mir würde es aber auch gefallen, wenn andere Hersteller solcher Malware auch genannt werden
was ist mit adobe, apple, sun, foxit, real, hp (druckertreiber) usw.. (hab grade mal nachgesehen, was an plugins OHNE mein zutun im browser installiert wurden).

Und den Fuchs downgraden?  das haben hier safari,  opera und chrome versucht, speziell nach ner testinstallation von opera war der feuerfuchs nicht mehr zu gebrauchen und musste neu installiert werden.

Von den vielen versuchen, irgendwelche anderen suchmaschinen, tasbars usw zu installieren, reden wir jetzt lieber nicht, denn das veranstallen immer mehr soft-hersteller.

[ritschibie]

Von den vielen versuchen, irgendwelche anderen suchmaschinen, tasbars usw zu installieren, reden wir jetzt lieber nicht, denn das veranstallen immer mehr soft-hersteller.

Gut, reden wir darüber nicht, laßt uns einfach sauer darüber sein!

[Theos]

Dann das plugin sehr tief im Betriebsystem verankert -> nochmals "Pfui"

ist es ja nicht, einfach mal in den patch zum entfernen reinschaun z.b. http://de.wikipedia.org/wiki/ClickOnce
die registry einstellungen betreffen nur firefox. der sinn ist mir zwar nicht ganz klar, ev. nutzt microsoft da ein von mozilla vorgesehenes "hintertürchen".

übrigens war es diesmal auch nicht versteckt (sondern in den addons sichtbar), darum regen sich ja so viele auf.

ich hab hier opera, firefox & ie7/8 im betrieb, ohne probleme - von iron hab ich nur die portable version ausprobiert.


was ich jetzt aber gerade bemerkt habe und dann doch ankreiden muss ist, dass es in den addon-einstellungen eine "Eingabeaufforderung vor dem Ausführen von ClickOnce Anwendungen" gibt, die unverständlicherweise standardmäßig nicht aktiviert war.

[berti]

@ritschbie: nee, so wars nicht gemeint, eher im sinne von: "mist, das werden immer mehr dinge, die nicht ganz sauber sind, hier wird die liste aber zu lang"  Diese hintervotzige Installation von solcher unerwünschter soft nimmt immer gröbere züge an, und wie du bereits angemerkt hast: da kann man nur sauer werden.  Leider fangen aber auch einige freie Softwareschmide mit diesen quatsch an und  es betrifft auch nicht mehr nur die windows-welt.  sein system "sauber zu halten" wird immer schwieriger.

@ Theos: Hmm, im netz suchen, dann ein script erstellen: du stellst aber ganz schön harte bedingungen an die "normalen" nutzer  Einfach wäre in meiner sichtweise, wenn solche Teile einen "uninstall-Button" hätten. Übrigens ein feature, was von MS und sun immer wieder propagiert und gefordert wird  Und hintertürchen? Das ist einfach nur die funktion "silent install", die bei den firefox-devs sogar ausführlich dokumentiert und mit beispielen erläutert ist. ( finde nur mal wieder den link nicht, das war auf irgend einer dev-betaseite.). Das solch problem überhaupt entsteht, ist eigentlich den entwicklern von firefox anzulasten, denn damit mach ich die ganzen guten sicherheitseinstellungen vom fuchs zunichte.

Ähh, du schreibst : sichtbar.. Übertrieben gesagt: Wenn dieser thread nicht gewesen wäre, hatte ich kaum nachgeschaut, welche erweiterungen vom Firefox geladen wird, das dazu. Wenn ich jetzt davon ausgehe, das ich mich "poweruser" schimpfe, was soll da erst der "einfache" benutzer machen?

Und zu den einstellungen: fast alle standart-einstellungen in der windows-welt sind mist, egal welches program du benutzt.  Leider haben viele programierer noch nicht begriffen, das es auch ab und an auf sicherheit ankommt und nicht nur auf ein "einfaches bedienen" auf der userseite.  ebenso ist natürlich auch ein mitdenken des Users angesagt, was leider nicht gegeben ist.

von daher kann ich mich einfach nicht mehr über solche dinge aufregen, ich nehm bei allen soft-installationen immer das schlimmste an und freu mich, wenn dann doch die eine oder andere soft halbwegs sauber programiert ist.
Und wer sich halbwegs mit den MS updates auskennt, sollte wissen, das man mit den Updates sehr vorsichtig umgehen muss. Automatisches Updaten von MS ist fast schon als wenn man mit einer geladenen pistole rumspielt: Kann gut gehen, muss es aber nicht

[Theos]

Hmm, im netz suchen, dann ein script erstellen: du stellst aber ganz schön harte bedingungen an die "normalen" nutzer

du schriebst von "im betriebssystem verankert", und das ist eben nicht der fall.
"Im browser verankert" würde eher zutreffen, ist zwar auch schlimm, aber eben doch ein wenig besser.

Einfach wäre in meiner sichtweise, wenn solche Teile einen "uninstall-Button" hätten. Übrigens ein feature, was von MS und sun immer wieder propagiert und gefordert wird   Und hintertürchen? Das ist einfach nur die funktion "silent install", die bei den firefox-devs sogar ausführlich dokumentiert und mit beispielen erläutert ist. ( finde nur mal wieder den link nicht, das war auf irgend einer dev-betaseite.).

silent install, also eine hintertüre für hintertürchen
vielleicht ist der uninstall-button, der bei jedem addon vorhanden ist, deshalb disabled, weil es eben über silent-install hinzugefügt wurde.

Ähh, du schreibst : sichtbar.. Übertrieben gesagt: Wenn dieser thread nicht gewesen wäre, hatte ich kaum nachgeschaut, welche erweiterungen vom Firefox geladen wird, das dazu. Wenn ich jetzt davon ausgehe, das ich mich "poweruser" schimpfe, was soll da erst der "einfache" benutzer machen?

das addon erscheint in der addon-liste die über die GUI zu erreichen ist(extras / addons).
wäre es ein plugin, dann würde man es nur sehen wenn man eben about:plugins aufruft - und die url muss man als benutzer erst mal wissen.

nur damit ich nicht missverstanden werde, ich finde es scheise, wenn irgendwer meine installierte software ohne meine erlaubnis angreift. egal ob es der hersteller selbst ist, oder irgendwer anderes.
nur regt es mich auf, wenn die halbe welt(vor allem die presse) auszuckt, nur weil es microsoft war.

ich glaube vor einem monat oder so ähnlich, hat google eine studie veröffentlicht, die belegen sollte, dass heimliche software updates die sicherheit erhöhen.
da hat sich kaum keiner aufgeregt, im gegenteil, die meisten fanden das sogar gut...

[Jürgen]

Stimmt, das ging um ein Chrome-Update.
Rate mal, was mir noch so alles nicht auf die Platte kommt...

Sicher ist auch am Sicherheitkonzept vom Fux manches nicht gerade prickelnd.
Und aus meiner Sicht ist's geradezu absurd, 'nen Google Toolbar gleich dabei zu packen, wie sauer Bier, und ausserdem ausgerechnet Google auch gleich als Standard-Suchmaschine oder gar Startseite einzufriemeln.
Und bei vielen anderen wird's ebensowenig optimal oder wenigstens neutral angegangen.
Aber das gibt NIEMANDEM das Recht, heimlich in fremde Software einzugreifen.
Sabotage wird nicht besser, bloss weil's mehrere tun.
Genauso wenig, wie eine Gruppe von DAUs ein Genie ergibt.
Oder ein grosser Haufen von Blutsaugern einen Sozialstaat...