Firefox, firejail und die FF-Profile

[Bit]

Ich hatte irgendwie den Eindruck, Du würdest bedauern, daß es bei Dir nicht funktionierte.
Allein für die Allgemeinheit engagierte ich mich nur so, wenn ich fundiertes Wissen hätte. 

[Astolfo]

Was für ein Aufwand!

Es ist nur die sauberste Variante, damit der Firefox-Starter für den Nutzer an allen Orten die gewünschte Option bietet, und alles übersichtlich bleibt.

Reichen tut es auch, den Starter auf den Desktop zu kopieren, und dort -p in die Befehlszeile einzutragen.
Muss man eben immer diese Kopie oder eine Verknüfung zu dieser verwenden.
Oder gleich den Starter im Systemordner ändern, ähnlich wie bei Windows. Wird dann nur bei Aktualisierungen überschrieben.

vielleicht interessiert dieses Thema auch den einen oder anderen Mitleser.

Ich hoffe es! Dafür ist mein Beitrag da.

[duda]

Ich hatte irgendwie den Eindruck, Du würdest bedauern, daß es bei Dir nicht funktionierte.

Richtiger: Gewundert

[xanthippe]

Bei solchen Seiten nehme ich grundsätzlich den Tor Browser.

Aber es geht mir ja nicht um die Verschleierung meiner IP sondern ich will sehen, was für third-party-Objekte sich so auf dieser Seite tummeln.

Wie kannst du mehrere Profile gleichzeitig offen haben? Lässt sich ein und derselbe Firefox (in meinem Fall Firefox ESR) unter Verwendung unterschiedlicher Profile tatsächlich mehrfach öffnen? Das habe ich noch nie ausprobiert.

gehe im Firefox auf die Seite "about:profiles" (das ist der Profilmanager), da kannst du alle anderen Profile starten und in jedem Profil auch den Profilmanager. Läuft alles gleichzeitig, aber eben in EINER Sandbox.

Für jedes Profil einen eigenen Starter erstellen ist eine Möglichkeit. Ich glaube ich habe eine einfachere gefunden:
ich nutze ja das kleine Tool Firetools. Da sind Icons für den Start von mehreren Anwendungen vorgegeben:


Die Starter kann man dort editieren.    Und nun läuft jedes Profil in einer eigenen Sandbox:

[duda]

..., da kannst du alle anderen Profile starten und in jedem Profil auch den Profilmanager. Läuft alles gleichzeitig, ...

So gehts bei mir (eben) nicht! Ist eine FF-Instanz aktiv (egal mit welchem Profil), lässt sich der Profilmanager mittels Verknüpfung in der Leiste oder auf dem Desktop nicht erneut starten.

Ausnahme (1):
- mittels Kommandozeile (firefox /p) ist der Profilmanager mehrfach startbar

Ausnahme (2):
- es wird parallel ESR sowie Release verwendet

[xanthippe]

So gehts bei mir (eben) nicht! Ist eine FF-Instanz aktiv (egal mit welchem Profil), lässt sich der Profilmanager mittels Verknüpfung in der Leiste oder auf dem Desktop nicht erneut starten.

Das hab ich auch nicht behauptet.

about:profiles ist mMn der Profilmanager (mit html-GUI). Von dort (nicht über den Desktop o.Ä.) kannst du andere Profile gleichzeitig laufen lassen und in diesen anderen Profilen wieder den PM (about:profiles) starten und gleichzeitig laufen lassen.
Geht das bei dir auch nicht? Ich kann mir nicht vorstellen, dass das vom Betriebssystem abhängt.

[Bit]

Geht das bei dir auch nicht? Ich kann mir nicht vorstellen, dass das vom Betriebssystem abhängt.

Was wir meinen, ist das Frontend in Windows, um direkt (ohne bereits laufenden Firefox) aus dem Profilmanager zu starten.

Das würde ich in Windows "Starter" nennen, es ist aber allgemein als "Profilmanager" bekannt und im Grunde nur eine Verknüpfung zum Firefox Basisprogramm (bei duda sind ESR und "Release" ja schon zwei verschiedene Programme), mit dem um das Attribut "/P" erweiterten Programmaufruf "Firefox", sogar ohne "exe".
Man kann damit immer das bevorzugte Profil starten, oder eben jedesmal auswählen, weitere Profile erzeugen oder vorhandene umbenennen.

Das macht natürlich nur Sinn, wenn man zuvor im Profilmanager mindestens ein weiteres Profil außer "default" angelegt hat und habe ich aber auch weiter oben erwähnt. In den Profilmanager unter "about:profiles" muss man dann nur noch schauen, wenn man die Speicherpfade braucht. Ansonsten wäre das (wie Du es offensichtlich machst) umständlicher.

Die Suche ging eben nun um die bequeme Lösung, wie man sie aus Windows kennt, guck:

Profilmanager.PNG

[duda]

Geht das bei dir auch nicht?

Ich möchte natürlich nicht jedes Mal about:profiles aufrufen müssen, nur um ein weiteres Profil starten zu können. Zudem ist dazu eine bereits laufende Instanz notwendig. Das erscheint mir irgendwie sinnfrei.

Ich kann mir nicht vorstellen, dass das vom Betriebssystem abhängt.

Woran sollte es denn sonst liegen?

about:profiles ist mMn der Profilmanager (mit html-GUI).

Ja, klar, about:profiles könnte man auch als "Profilmanager" bezeichnen. Gemeint war und ist aber das vorgeschaltete Menü, wo ich die von mir eingerichteten Profile aufgelistet bekomme und (einzeln) zum Start auswählen kann. @ Bit hat es schon schön aufgedröselt.

Und bei mir siehts so aus:

Screenshot

[Bit]

Geht das bei dir auch nicht? Ich kann mir nicht vorstellen, dass das vom Betriebssystem abhängt.

Woran sollte es denn sonst liegen?

Der Profilmanager, wie ihn xanthippe beschreibt, ist im Firefox festgelegt, eine interne Seite.

Aber die Bedienung von außerhalb, völlig unabhängig ob schon ein Firefox läuft, ist vom System abhängig.
Selbst wenn es grundsätzlich möglich ist, damit Firefox über den Profilmanager aufzurufen, hat doch jedes System seine eigenen Wege, Verknüpfungen zu organisieren, Befehlssyntax usw. ...

Was nun noch spannend wäre, ist, ob sich beide Fragen (von xanthippe und von duda ) miteinander kombinieren lassen.
Also:
• kann man mittels der zu Windows adäquaten Lösung, die Astolfo beschrieben hat, auch in Firejail verschiedene Profile aufrufen und
• kann man dabei festlegen, daß jedes Profil in einer eigenen Sandbox läuft, oder geht das nur mit separaten Feuerfüchsen?

Im letzten Fall bräuchte man natürlich gar keinen Profilmanager, startet dafür immer über das Firejail-Menü, wie es das Bild von xanthippe zeigt.
Aber wie das Bild von duda zeigt, könnte man vielleicht trotzdem einen Gewinn durch die Einstiegsmethode "Starter" haben, um verschiedene selbstständige Feuerfüchse in eigenen Sandkästen starten zu können, statt nur eigene Profile desselben Programms.

Damit hätten wir auch wieder den Bogen zum Thema zurück.

Eigene Programme haben den Nachteil des Installations- und Updateaufwandes, aber den Vorteil, im Falle von Fehlern im Basisprogramm unabhängig Alternativen starten zu können (um zum Beispiel Lösungen zu finden).

Andererseits kann man die Profilmanager-Seite im Firefox auch als Lesezeichen anlegen:
Profilmanager als Lesezeichen.PNG

[xanthippe]

Irgendwie ist das nicht mehr meine Diskussion. 

Ich wollte mit meinem Beitrag lediglich behutsam zum Thema dieses Threads zurückkommen, dem Starten verschiedener FF-Profile unter Firejail.
Falls das noch jemand interessiert, man kann auch neue Firetool-Starter über kleine Desktop-Dateien in "~/.config/firetools" anlegen.
Das sieht dann z.B. so aus:

Code Auswählen Erweitern

[Desktop Entry]
Name=FF-moderat
Comment=FF moderat
Icon=Firefox
Exec=firejail firefox -p moderat-esr
So gestartete Profile laufen in getrennten Sandboxen.

[Bit]

Manuell separieren ist wahrscheinlich der bessere Weg.

In punkto Sicherheit ist bestimmt das Separieren in verschiedene Sandboxen besser.

Ich würde gerne verstehen, warum. 

Weil sich in einer gemeinsamen Sandbox die Einsitzenden gegenseitig befruchten könnten.
Ist wie im Knast: Isolationshaft ist sicherer.

Das hat Astolfo im vierten Beitrag schon relativiert:

Firefox selbst hat eine Sandbox, wenn du diese für ausreichend hältst, kannst du deine Profile in der selben externen Sandbox (z.B. firejail) laufen lassen.

Nur wenn dann eben aus dieser Sandbox von Firefox ausgebrochen wird, kann auch auf die anderen Profile zugegriffen werden, ohne aus deiner externen Sandbox auszubrechen.

Das ist doch eine sehr wesentliche Erkenntnis.

Ich denke, da du firejail verwendest, vertraust du der Sandbox vom Firefox nicht vollständig, oder aber vertraust der Ansicht einer Person, dass du Firejail mit Firefox verwenden solltest.
Das alles zusammen sollte glaube Ich schon hilfreich genug sein, damit du selbst einschätzen kannst was für dich richtig ist, oder?

Eine tiefgreifende Erklärung, warum die Sandbox vom Firefox oder die von Firejail "besser" sein soll, kann Ich dir leider nicht bieten.
Firefox selbst isoliert vorallem seinen eigenen, direkt angreifbaren Code, als auch unvertrauenswürdigen Code aus dem Internet (JavaScript, ...), und ein wenig darüber hinaus.
Firejail bietet jedoch erheblich mehr Optionen, und isoliert Firefox über sich selbst hinaus vom Rest des Systems, und kann das damit auch mit/von anderen isolierten Instanzen von Firefox tun.

Dabei sollte bei deinen Fall, wenn du Firejail zum isolieren der Profile nutzen willst, dann für die anderen Profile ein eigener Ordner mit der Option "private" verwendet werden, da andernfalls ein Zugriff auf die Profile möglich ist.
Z.B. im Ordner FF_Banking im Ordner Jail, innerhalb des Benutzerordners.

Code Auswählen Erweitern

firejail --private=~/Jail/FF_Banking /usr/lib/firefox-esr/firefox-esr --no-remoteKann man auch als Programmstarter einrichten.

Theoretisch ist beim Standardprofil von Firejail, für den Firefox, eine Kommunikation zwischen mehreren, gleichzeitig laufenden Instanzen des Browsers über DBUS möglich.
Wahrscheinlich wird das durch --no-remote als Option aber ausreichend seitens Firefox abgeschaltet. Welche Möglichkeiten sich ansonsten darüber bieten weiß Ich nicht, da es keine Rolle für mich spielt (Ich nutze nicht mehrere Firefox Profile gleichzeitig, ebenso kein dbus).

Also hast Du Deine Profile bereits in der (weniger sicheren) Sandbox und alles zusammen nochmal in der (sicheren) des Firejail.

Später hast Du in den Beiträgen #24 und #25 an duda vorbeigeredet, weil Du nicht wusstest, daß er von Windows sprach. Das habe ich anschließend aufzuklären versucht.
Schließlich habe ich mit meinem letzten Beitrag versucht, alles wieder zusammenzuführen und einen Überblick zu generieren.

Und jetzt hast Du nochmal eine Variante mit zusätzlichen Sandboxes für jedes Profil innerhalb des Firejails dargestellt (wenn ich das jetzt richtig verstanden habe):

So gestartete Profile laufen in getrennten Sandboxen.

Also laufen nun die Profile jeweils in ihrer Firefox-Sandbox, innerhalb einer Firejail-Sandbox, innerhalb der Gesamt-Sandbox des Firejails.

So kann doch dann kein Profil mehr, als sich selbst befruchten. Bist Du damit unzufrieden?
Wie hast Du denn nun zu der Entscheidung gefunden? Konnte Dich Astolfo überzeugen?

Warum ist das nun nicht mehr Deine Diskussion? Das kurze Abschweifen ins Windows-Parallel-Universum wurde doch abgeschlossen. 
Im Übrigen hast Du gar nicht erwähnt, daß es nur um Linux gehen sollte.

[duda]

Irgendwie ist das nicht mehr meine Diskussion.

Sorry!
Wie auch @ Bit wollte ich das Thema lediglich verstehen. Aber verärgern will dich hier sicherlich niemand, denke (hoffe) ich.

[duda]

Nun taucht (bei mir) ein weiteres Problem auf. Der Start eines ESR-Profiles mit dem Release macht das Profil für ESR unbrauchbar. Das war (ist) mir zwar bekannt, aber dass der Start per Kommandozeile (firefox p) automatisch (immer) das Release statt ESR verwendet und damit das ESR-Profil für ESR unbrauchbar macht, wusste ich nicht. Damit habe ich nun eins meiner ESR-Profile abgeschossen.

Screenshot

[Bit]

Das tut mir leid.

Wegen der häufigen Änderungen des Grund-Feuerfuchses in den letzten Jahren und der daraus folgenden Problemmeldungen, wenn die Nutzer unbedingt versuchten, ihre alten AddOns weiter zu benutzen, hat Mozilla vor einiger Zeit eine Versionsüberwachung eingebaut, die einfach auf den Zähler (z.B. 115) schaut und ein Zurückstufen einer bestehenden Installation verhindert, weil sie nur für die Zukunft (also höhere Versionsnummern) beliebige AddOns verhindern können, die dann einfach bei der Installation der neueren Version deaktiviert werden.

Ich denke, es gibt eine Möglichkeit, diese Überwachung abzuschalten, ähnlich wie auch die Wirkung von AddOns auf Mozilla- und vielleicht auch Systemseiten zu erlauben. Aber das weiß ich nicht auswendig, da musst Du recherchieren.

Ansonsten würde nur bleiben, die ältere Version neu zu installieren und ein eventuell vor der Fehlermeldung gesichertes Profil dort einzuspielen. Wenn die Fehlermeldung einmal ausgelöst wurde, hat man in diesem Profil nicht einmal die Möglichkeit, ein aktuelles Update anzuwenden, weil man ja nicht starten kann (außer mit einem komplett neuen Profil).

Oder vielleicht, cane zu fragen ...

[duda]

@ Bit:
Danke für die tollen Tipps! Aber nein, so wichtig ist das betroffene Profil dann auch wieder nicht. Die Menge der dort gespeicherten Lesezeichen ist überschaubar. Außerdem kann ich es jederzeit noch mit dem Release statt dem ESR verwenden. Umbenannt habe ich es schon. Also alles gut - soweit. Seitens Mozilla doof, dass sich hausintern das offizielle "Rolling Release" und das - wohlgemerkt ebenso aktuelle - "Extented Support Release (ESR)" beißen.

[Junge Oma]

@ Bit:
Danke für die tollen Tipps! Aber nein, so wichtig ist das betroffene Profil dann auch wieder nicht. Die Menge der dort gespeicherten Lesezeichen ist überschaubar. ...

Das ist zwar ein altes Thema, aber wird ja sicher noch gelesen.
Die Bookmarks kann man aber auf Dateiebene aus so einem "defekten" Profil rausholen und nur diese in der ESR-Version wieder importieren. Früher hatte ich das schon ein paar mal gemacht, ich denke das sollte immer noch klappen.

[duda]

Die Bookmarks kann man aber auf Dateiebene aus so einem "defekten" Profil rausholen und nur diese in der ESR-Version wieder importieren.

Das funktioniert leider nicht in jedem Fall. Wenn ein bestehendes Profil "überschrieben" oder aber stark "beschädigt" wurde, sind meistens auch die dort gespeicherten Lesezeichen (Bookmarks) nicht mehr rettbar.