Firefox, firejail und die FF-Profile

[Bit]

Manuell separieren ist wahrscheinlich der bessere Weg.

In punkto Sicherheit ist bestimmt das Separieren in verschiedene Sandboxen besser.

Ich würde gerne verstehen, warum. 

Weil sich in einer gemeinsamen Sandbox die Einsitzenden gegenseitig befruchten könnten.
Ist wie im Knast: Isolationshaft ist sicherer.

Das hat Astolfo im vierten Beitrag schon relativiert:

Firefox selbst hat eine Sandbox, wenn du diese für ausreichend hältst, kannst du deine Profile in der selben externen Sandbox (z.B. firejail) laufen lassen.

Nur wenn dann eben aus dieser Sandbox von Firefox ausgebrochen wird, kann auch auf die anderen Profile zugegriffen werden, ohne aus deiner externen Sandbox auszubrechen.

Das ist doch eine sehr wesentliche Erkenntnis.

Ich denke, da du firejail verwendest, vertraust du der Sandbox vom Firefox nicht vollständig, oder aber vertraust der Ansicht einer Person, dass du Firejail mit Firefox verwenden solltest.
Das alles zusammen sollte glaube Ich schon hilfreich genug sein, damit du selbst einschätzen kannst was für dich richtig ist, oder?

Eine tiefgreifende Erklärung, warum die Sandbox vom Firefox oder die von Firejail "besser" sein soll, kann Ich dir leider nicht bieten.
Firefox selbst isoliert vorallem seinen eigenen, direkt angreifbaren Code, als auch unvertrauenswürdigen Code aus dem Internet (JavaScript, ...), und ein wenig darüber hinaus.
Firejail bietet jedoch erheblich mehr Optionen, und isoliert Firefox über sich selbst hinaus vom Rest des Systems, und kann das damit auch mit/von anderen isolierten Instanzen von Firefox tun.

Dabei sollte bei deinen Fall, wenn du Firejail zum isolieren der Profile nutzen willst, dann für die anderen Profile ein eigener Ordner mit der Option "private" verwendet werden, da andernfalls ein Zugriff auf die Profile möglich ist.
Z.B. im Ordner FF_Banking im Ordner Jail, innerhalb des Benutzerordners.

Code Auswählen Erweitern

firejail --private=~/Jail/FF_Banking /usr/lib/firefox-esr/firefox-esr --no-remoteKann man auch als Programmstarter einrichten.

Theoretisch ist beim Standardprofil von Firejail, für den Firefox, eine Kommunikation zwischen mehreren, gleichzeitig laufenden Instanzen des Browsers über DBUS möglich.
Wahrscheinlich wird das durch --no-remote als Option aber ausreichend seitens Firefox abgeschaltet. Welche Möglichkeiten sich ansonsten darüber bieten weiß Ich nicht, da es keine Rolle für mich spielt (Ich nutze nicht mehrere Firefox Profile gleichzeitig, ebenso kein dbus).

Also hast Du Deine Profile bereits in der (weniger sicheren) Sandbox und alles zusammen nochmal in der (sicheren) des Firejail.

Später hast Du in den Beiträgen #24 und #25 an duda vorbeigeredet, weil Du nicht wusstest, daß er von Windows sprach. Das habe ich anschließend aufzuklären versucht.
Schließlich habe ich mit meinem letzten Beitrag versucht, alles wieder zusammenzuführen und einen Überblick zu generieren.

Und jetzt hast Du nochmal eine Variante mit zusätzlichen Sandboxes für jedes Profil innerhalb des Firejails dargestellt (wenn ich das jetzt richtig verstanden habe):

So gestartete Profile laufen in getrennten Sandboxen.

Also laufen nun die Profile jeweils in ihrer Firefox-Sandbox, innerhalb einer Firejail-Sandbox, innerhalb der Gesamt-Sandbox des Firejails.

So kann doch dann kein Profil mehr, als sich selbst befruchten. Bist Du damit unzufrieden?
Wie hast Du denn nun zu der Entscheidung gefunden? Konnte Dich Astolfo überzeugen?

Warum ist das nun nicht mehr Deine Diskussion? Das kurze Abschweifen ins Windows-Parallel-Universum wurde doch abgeschlossen. 
Im Übrigen hast Du gar nicht erwähnt, daß es nur um Linux gehen sollte.

[duda]

Irgendwie ist das nicht mehr meine Diskussion.

Sorry!
Wie auch @ Bit wollte ich das Thema lediglich verstehen. Aber verärgern will dich hier sicherlich niemand, denke (hoffe) ich.

[duda]

Nun taucht (bei mir) ein weiteres Problem auf. Der Start eines ESR-Profiles mit dem Release macht das Profil für ESR unbrauchbar. Das war (ist) mir zwar bekannt, aber dass der Start per Kommandozeile (firefox p) automatisch (immer) das Release statt ESR verwendet und damit das ESR-Profil für ESR unbrauchbar macht, wusste ich nicht. Damit habe ich nun eins meiner ESR-Profile abgeschossen.

Screenshot

[Bit]

Das tut mir leid.

Wegen der häufigen Änderungen des Grund-Feuerfuchses in den letzten Jahren und der daraus folgenden Problemmeldungen, wenn die Nutzer unbedingt versuchten, ihre alten AddOns weiter zu benutzen, hat Mozilla vor einiger Zeit eine Versionsüberwachung eingebaut, die einfach auf den Zähler (z.B. 115) schaut und ein Zurückstufen einer bestehenden Installation verhindert, weil sie nur für die Zukunft (also höhere Versionsnummern) beliebige AddOns verhindern können, die dann einfach bei der Installation der neueren Version deaktiviert werden.

Ich denke, es gibt eine Möglichkeit, diese Überwachung abzuschalten, ähnlich wie auch die Wirkung von AddOns auf Mozilla- und vielleicht auch Systemseiten zu erlauben. Aber das weiß ich nicht auswendig, da musst Du recherchieren.

Ansonsten würde nur bleiben, die ältere Version neu zu installieren und ein eventuell vor der Fehlermeldung gesichertes Profil dort einzuspielen. Wenn die Fehlermeldung einmal ausgelöst wurde, hat man in diesem Profil nicht einmal die Möglichkeit, ein aktuelles Update anzuwenden, weil man ja nicht starten kann (außer mit einem komplett neuen Profil).

Oder vielleicht, cane zu fragen ...

[duda]

@ Bit:
Danke für die tollen Tipps! Aber nein, so wichtig ist das betroffene Profil dann auch wieder nicht. Die Menge der dort gespeicherten Lesezeichen ist überschaubar. Außerdem kann ich es jederzeit noch mit dem Release statt dem ESR verwenden. Umbenannt habe ich es schon. Also alles gut - soweit. Seitens Mozilla doof, dass sich hausintern das offizielle "Rolling Release" und das - wohlgemerkt ebenso aktuelle - "Extented Support Release (ESR)" beißen.