Mozilla Firefox individuell anpassen

[duda]

Der Konfigurationsparameter "network.trr.default_provider_uri" legt Cloudflare-DNS (angeblich ganz speziell für Mozilla zur Verfügung gestellt und zugeschnitten) als Standard fest.

Code Auswählen Erweitern

about:config

Code Auswählen Erweitern

network.trr.default_provider_uri

Code Auswählen Erweitern

https://mozilla.cloudflare-dns.com/dns-query

Code Auswählen Erweitern

https://support.mozilla.org/de/kb/firefox-dns-%C3%BCber-https

Code Auswählen Erweitern

https://blog.mozilla.org/en/products/firefox/firefox-continues-push-to-bring-dns-over-https-by-default-for-us-users/
Achtung - Link führt zu Cloudflare!

Code Auswählen Erweitern

https://mozilla.cloudflare-dns.com/

Wird hier von Nutzerseite nicht manuell eingegriffen, läuft die Adressauflösung jeder besuchten Internetseite automatisch über Cloudflare (auch LibreWolf). Das ist doch nicht gesund! Sollte das nicht von vornherein unterbunden werden, insbesondere bei Browser-Forks wie LibreWolf?

Überprüft habe ich (unter GNU/Linux):
- Firefox ESR 102
- Firefox Release 108
- LibreWolf 108

* Nachtrag Screenshots

[xanthippe]

Wird hier von Nutzerseite nicht manuell eingegriffen, läuft die Adressauflösung jeder besuchten Internetseite automatisch über Cloudflare (auch LibreWolf).

Das glaub ich nicht.
Bei mir steht in jedem Profil der genannte Parameter auch auf Cloudflare, und zwar auch in Profilen, in denen ich die user.js aus dem PrHdb oder die ghacks user.js nutze.
Lege ich ein neues Profil an "ohne-alles", dann zeigt die Seite https://www.dnsleaktest.com/ mir den DNS meines Internetproviders an (fest in der FritzBox).
In den anderen Profilen zeigt die Seite den DNS ein, den ich eingestellt hab.
Vielleicht sollten wir mal kären, was für eine Bedeutung der Parameter hat.

[cane]

Im Moment rollt Mozilla das bei einigen US-Nutzern aus, andere Regionen kommen später dran. Also ist es nicht verwunderlich, dass bei einem deutschen Firefox der System-DNS verwendet wird.

Wenn die Nutzer nicht manuell eingreifen, ist es das gleiche wie bei der Suchmaschine. Standard ist Google, wenn der Nutzer nicht manuell eingreift.

Implikationen von Cloudflare DoH für die Privatsphäre:

Cloudflare wird keine Daten verkaufen, die IP-Adressen der Nutzer nicht auf die Festplatte schreiben und Logdaten max. 24h behalten. Cloudflare wird aber auswerten, welche Domains gesucht wurden und darauf aufbauend Analysen durchführen, die viel Geld wert sind, wenn große Mengen an Daten einfließen, die für die weltweite Internetnutzung repräsentativ sind.

Wenn ein Internetdienst in einer Woche von 1.000 Nutzern verwendet wird, in der folgenden Woche von 10.000 und dann von 50.000, dann ist diese Information viel Geld wert, wenn sie vor allen anderen hat. Man erkennt Tendenzen... und für diese Informationen gibt es viele Interessenten... da kann man der Phantasie freien Lauf lassen.

Aber Google als Standard-Suchmaschine macht das auch.

Was wäre ein  passender DNS-over-TLS Server als Default? (Könnte man villeicht in die user.js vom Privacy-Handbuch einbauen?) Aber welcher Server könnte das sein? Schwierige Entscheidung.

By the way: beim Librewolf ist der Default-DoH-Provider rausgepatcht in den Einstellungen. Man muss einen Custom Provider eintragen, wenn man DoH nutzen will.

[duda]

Das glaub ich nicht.

Ist aber so.

By the way: beim Librewolf ist der Default-DoH-Provider rausgepatcht in den Einstellungen.

Davon ging ich auch aus. Im Gegensatz zum normalen FF ist beim LW dort nur "Custom" verfügbar.

Spoiler

Lasse ich das Feld "Custom" leer, bin ich automatisch bei Cloudflare. Habe es heute mit Hilfe verscheidener Abfragetools mehrfach überprüft. Ich kann euch gerne einen/mehrere Screenshot/s posten. Erst nachdem ich die drei mir zur Verfügung stehenden Browser dahingehend überprüft hatte (wie oben beschrieben), habe ich dieses Thema erstellt.

Mit Eintrag (ffmuc):

Spoiler

Ohne Eintrag (Feld leer):

Spoiler

* Nachtrag Screenshots

[cane]

Ich muss mich korrigieren, das Librewolf Team hat nichts geändert, das ist jetzt das normale Verhalten vom Firefox (wie oben beschrieben).

Also: Mozilla beginnt jetzt in US damit, DoH standardmäßig zu aktivieren wenn "network.trr.mode = 0" (default bei Auslieferung) und verwendet dann den Default Resolver (Cloudflare). Irgendwann wird das auch nach DE rüberschwappen. Die Strategie von Mozilla werden wir nicht ändern, es war auch seit längerem angekündigt.

Das könnte man verhindern, indem man "network.trr.mode = 5" setzt (DoH deaktiviert auf Wunsch des Nutzers).

Oder man setzt einen passenden DoH Resolver als Default, der aktiviert werden könnte (das würde ich für die user.js vom PrHdb bevorzugen).

Damit ergibt sich die Frage, was ein passender DoH Resolver wäre, den die Leser vom PrHdb als Kompromiss akzeptieren würden. Es sollte ein Resolver sein, der etwas Last abfedern kann und der keine Werbung usw. blockiert (manche Leute mögen das nicht). Ich würde sagen, FFmuc (das mein Favorit und hat genug Power für die kleine Gruppe der PrHdb Leser) oder Quad9 (hat mehr Power aber wäre besser als Cloudflare - oder?). Andere Meinungen?

Und wie wird sich Thunderbird verhalten?

[duda]

Damit ergibt sich die Frage, was ein passender DoH Resolver wäre, ...

Wie du schon sagst, sollte das ein Resolver sein der einiges an Last aushält. Wenngleich die Nutzergruppe insgesamt auch überschaubar klein sein mag. FFmuc habe ich jetzt schon über einen längeren Zeitraum im Blick, und wenn der eingestellt ist, gibts keine Probleme bzw. ich konnte keine feststellen. Bei den beiden Alternativen (dismail.de, dnsforge.de) kommt es da schon eher mal zu Unregelmäßigkeiten. Zur dritten Alternative (digitalcourage.de) kann ich nichts sagen, weil zu selten im Einsatz. Mit der Alternative, dem Resolver von digitale-gesellschaft.ch, konnte ich auch keinerlei Unregelmäßigkeiten feststellen. cane: Hältst du Quad9 für vertrauenswürdig?

Und wie wird sich Thunderbird verhalten?

Dazu kann ich auch nicht viel sagen. Privat benutze ich einen anderen Mailclient und bei der Arbeit läuft sowieso alles über Cloudflare (vom Sys-Admin so voreingestellt) :facepalm: bzw. über den provider-eigenen DNS (DT).

[Bit]

Endlich ist es mir gelungen, das vermisste, gut 5 Jahre alte, aber so sehr nachgefragte Firefox-AddOn Block Cloudflare MiTM Attack wieder auszugraben und kann es Euch nun zum Download anbieten.
Das gab es leider eben nicht in der AMO,, sondern nur im Torprojekt unter einem Link, der wohl seit Jahren nicht mehr funktioniert. Die Variante in der AMO war eine Fälschung.
Bitte ladet es runter und bietet es selbst irgendwo an! Ich habe es auf einem Freespace und man weiß ja nie, wie lange der steht.
Es wird offensichtlich von vielen gesucht und die Strukturen des Torprojekts haben sich geändert, da ist es nicht mehr zu finden.

Das AddOn ist in der Lage, nicht nur gegen Cloudflare MiTM, sondern auch gegen:
• Incapsula MiTM
• Google Project Shield MiTM
• Sucuri MiTM
zu wirken.

Weitere AddOns, die noch in dem Zusammenhang hilfreich sind:
True Sight by claustromaniac
Detect Cloudflare
Cloud Firewall
Sie sind teils Jahre nicht mehr aktualisiert worden, aber auch nicht sicherheitsrelevant.

Welche Software sonst gegen das Problem?
Möge jeder selber prüfen: cloudflare-bypass

Weitere Informationen dazu gibt es nebenan.

[duda]

Endlich ist es mir gelungen, das vermisste, gut 5 Jahre alte, aber so sehr nachgefragte Firefox-AddOn Block Cloudflare MiTM Attack wieder auszugraben und kann es Euch nun zum Download anbieten.

Und wie steht es um die Vertrauenswürdigkeit der "Fundgrube"? Was macht dich so sicher, dass das wiedergefundene Addon wirklich "sauber" ist?

[Bit]

Was macht dich so sicher

Abgesehen davon, daß ich es jahrelang genutzt habe (genau dieses, nicht eine Kopie) und daß es von Cypherpunk, einer Entwicklergruppe aus dem Torprojekt, im eigenen Interesse, zum eigenen Bedarf (nicht zum Vertrieb) entwickelt wurde?
Es ist kein sicherheitsrelevantes Tool. Es untersucht nur die aufgerufenen Daten und meldet seine Erkenntnisse. Es verändert nichts und es telefoniert meiner Wahrnehmung nach nirgendwo hin und ich hörte bzw. las auch nichts Derartiges.

[duda]

Bit‍
Probeweise habe ich das Addon eingebunden und den Funktionsumfang erweitert auf:

Incapsula MiTM
Google Project Shield MiTM
Sucuri MiTM

[Bit]

So habe ich das auf diesem Rechner auch gemacht und schon ein paar Opfer gefangen ... 

.deepl.com
a.fsdn.com
sourceforge.net
www.alternate.de

[duda]

deepl.com

Von "deepl.com" bin ich dbzgl. sehr enttäucht. :DOWN
Dass "sourceforge.net" dbzgl. nicht der Hit sein würde, war mir eigentlich klar.

[Bit]

Na dann auch mal was Positives: Mozilla.org ist nicht mehr hinter Cloudflare! 

[duda]

Mozilla.org ist nicht mehr hinter Cloudflare!

Aha, und wie schützt sich Mozilla jetzt vor DDoS-Attacken?

[Bit]

Na, das weiß ich natürlich nicht ...
Ich wollte nur das AddOn testen und kam glatt durch ...