☰

Firefox의 권한 분리(일명: 웹 브라우징을 보호하는 방법)

tag-icon • tag-icon security firefox scientific-linux
Firefox의 권한 분리(일명: 웹 브라우징을 보호하는 방법)

저는 Scientific Linux 6.3에서 이 작업을 수행합니다(구현하는 데 필요한 최소한의 Linux 지식).

공유 다운로드 디렉토리

기억하세요. 이 디렉터리에서는 복사만 할 수 있고 여기에서 파일을 "이동"할 수는 없습니다!

adduser ffuser
passwd ffuser # use a very good and very long password
groupadd ffgroup
vi /etc/group # add ffuser and the normal user to the end of the ffgroup line. after editing a users group, you need to re-login with it..
mkdir /home/Downloads; chmod -R 2770 /home/Downloads; ln -s /home/Downloads /home/NORMALUSERHERE/Desktop/Downloads; chown ffuser:ffgroup /home/Downloads/
echo "umask 007" >> /home/ffuser/.bashrc
ssh-copy-id -i /home/NORMALUSERHERE/.ssh/id_rsa.pub '-p PORTNUMBER [email protected]'

뿌리가 있다

vi /etc/ssh/sshd_config
PasswordAuthentication no
PubkeyAuthentication yes
PermitRootLogin without-password
ListenAddress 127.0.0.1
Port SOMEHIGHPORTNUMBERHERE

이 원라이너를 사용하여 Firefox를 다운로드하세요

URL="https://ftp.mozilla.org/pub/mozilla.org/firefox/releases/latest/linux-x86_64/en-US/"; URLEND=`curl -s $URL | sed 's/"/\n/g' | fgrep '.tar' | sort -nr | egrep -v '/a|align|/td' | head -1`; curl "${URL}${URLEND}" > ${URLEND}"

[GNOME2 사용] 로그인 시 ffuser/root가 표시되지 않음

sed -i 's/\[greeter\]/\[greeter\]\nExclude=ffuser,root/g' /etc/gdm/custom.conf
cat /etc/gdm/custom.conf

플래시

플래시는 정말 필요할 때만 사용하세요.

yum install flash-plugin
# run this with ffuser
mkdir -p "/home/`whoami`/.firefox/plugins"; ln -s "/usr/lib64/flash-plugin/libflashplayer.so" "/home/`whoami`/.firefox/plugins"

이것을 기본 Firefox 부가 기능으로 사용하세요

https://addons.mozilla.org/en-US/firefox/addon/wot-safe-browsing-tool/ # WOT settings -> Searching -> Show only negative ratings # FOR REAL SECURITY don't use this plugin, because it send out url's that you are visiting..
https://addons.mozilla.org/en-US/firefox/addon/adblock-plus/
https://www.eff.org/https-everywhere
https://addons.mozilla.org/en-US/firefox/addon/flashblock/ # if you are using flash.. but don't use it.. don't install flash..
https://addons.mozilla.org/en-US/firefox/addon/cookie-whitelist-with-buttons/

추가 보안을 위한 추가 기능

https://addons.mozilla.org/en-US/firefox/addon/noscript/ # tick the "restrict on trusted sites too" in the "embedded objects" tab
# in 2013.03 convergence didn't worked very well: https sites were slow with it, etc...
http://convergence.io/ # Firefox wouldn't start after installing convergence for the first time, just "kill" Firefox, start it again and then it will be ok :)

정보:구성

app.update.silent
true

network.http.pipelining
true

network.http.proxy.pipelining
true

network.dns.disableIPv6
true

# only if using Linux/BSD
browser.download.manager.scanWhenDone
false

browser.cache.disk.capacity
262144

browser.cache.offline.capacity
262144

layout.spellcheckDefault
2

browser.sessionstore.max_tabs_undo
2

browser.sessionstore.max_windows_undo
2

plugins.hide_infobar_for_missing_plugin
true

# THESE 5 ARE IMPORTANT FOR SECURITY REASONS
geo.enabled
false

network.http.sendRefererHeader
0

pdfjs.disabled
true

# only if using noscript!
noscript.showPermanent
false

New -> String
general.useragent.override
Mozilla/5.0 (Windows NT 6.1; WOW64; rv:19.0) Gecko/20100101 Firefox/19.0
# just don't use your real user agent..

플래시 쿠키 비활성화

개인정보 보호를 위해 Flash가 설치된 경우. 가다:

https://www.youtube.com/

Flash 요소를 마우스 오른쪽 버튼으로 클릭하세요.

Right click -> Global Settings... -> Storage TAB -> Block all sites from storing information on this computer
Camera and Mic TAB -> Block all sites from using the camera and microphone
Playback -> Block all sites from using peer-assisted networking

기타 중요한 구성

  • 옵션->고급->네트워크->오프라인 저장소 256MB

  • 옵션->고급->일반->접근성->

    시작 시 Firefox가 기본 브라우저인지 항상 확인을 선택 취소하세요. 부드러운 스크롤 사용을 선택 취소하세요.

  • 사용하지 않는 검색 엔진을 제거하세요!

확인하다 about:plugins. 플러그인이 없어야 합니다.

rm /usr/lib/mozilla/plugins/*

그 후, 다음 명령을 사용하여 Firefox를 시작할 수 있습니다:

ssh -p 52317 [email protected] -X /home/ffuser/.firefox/firefox-bin > /dev/null 2>&1

Firefox에는 자동 업데이트가 내장되어 있습니다.

몇 가지 유용한 웹사이트:

다음 질문은 모두 이 주제와 관련이 있습니다(그래서 몇 가지 질문으로 시작하지 않았습니다).

  1. 보안 관점에서 이 설정을 어떻게 속일 수 있나요? "ffuser"의 권한을 줄이는 팁/요령이 있습니까?
  2. Firefox는 종료 후에도 계속 실행됩니다. Firefox 창이 없으면 어떻게 Firefox 프로세스를 닫나요? (별 문제는 없고 그냥 답답할 뿐입니다)
  3. Firefox에서 "ssh -X"를 입력하면 소리가 나지 않습니다. 이 문제를 어떻게 해결하나요?

답변1

  1. 가상 머신에 액세스할 수 있는 경우 설정하기가 더 쉬울 수 있지만 중단하기가 조금 더 어렵습니다. RH 파생 제품을 사용하고 있으므로 VM 소프트웨어에 적용되는 SELinux 규칙의 이점을 누릴 수 있습니다. SELinux 규칙의 이론적 이점을 활용하여 Fedora를 사용하여 Firefox의 배포 패키지 버전을 얻는 등 다른 게스트 시스템을 실행할 수도 있습니다.

  2. 아마도 dbus일 겁니다. 실행해 보세요 dbus-launch firefox.

  3. 펄스 오디오가 있나요? 로컬 네트워크에서 ssh -X를 사용하여 네트워크 pulseaudio를 활성화하면 sound도 처리한다는 사실을 발견했습니다 paprefs. (얼마나 확장 가능한지는 잘 모르겠습니다). 건전한 개인정보 보호가 문제라면 이 점을 좀 더 신중하게 고려하는 것이 좋습니다.

답변2

X11 전달과 함께 로컬 호스트에 SSH를 사용하는 것은 매우 비효율적입니다. 사용자를 사용 su하거나 sudo변경할 수 있으며 로컬 시스템에서 SSH를 통해 각 UI 업데이트를 암호화하고 해독할 필요가 없습니다.

오디오 권한을 올바르게 설정하면 Firefox에서 오디오를 재생할 수 있습니다. 하지만 이렇게 하면 Firefox가 오디오(마이크 또는 기타 응용 프로그램에서)를 녹음할 수도 있으므로 보안이 중요하다면 다음을 수행하는 것이 좋습니다. 오디오를 완전히 버리세요.

비활성화는 pdfjs보안 강화를 위해 만들어졌기 때문에 이상한 선택입니다. 브라우저 내에서 완전히 실행되므로 다른 웹 페이지보다 더 위험하지는 않지만 PDF를 다운로드하여 외부 프로그램에서 보는 것은 역사적으로 많은 보안 문제가 있었습니다.

@sourcejedi가 말했듯이, 가상 머신 내에서 Firefox를 실행하는 것은 상당히 간단한 옵션이며 여기서보다 더 많은 보안과 더 나은 성능을 제공할 것입니다(SSH를 사용하지 않기 때문에). 또한 가상 머신의 스냅샷을 찍어 손상된 경우 롤백하여 악성 사이트의 영향을 줄일 수도 있습니다.

관련 정보