Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comm.software.mozilla.browser > #52027 > unrolled thread

ELSTER erzwingt Freigabe von DOM Webspace

Back to article view | Back to de.comm.software.mozilla.browser

Contents

  ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-01 13:30 +0100
    Re: ELSTER erzwingt Freigabe von DOM Webspace Reinhard Zwirner <reinhard.zwirner@t-online.de> - 2018-03-01 13:50 +0100
      Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-01 15:37 +0100
        Re: ELSTER erzwingt Freigabe von DOM Webspace Ruediger Lahl <ruediger.lahl@gmx.de> - 2018-03-01 15:44 +0100
          Re: ELSTER erzwingt Freigabe von DOM Webspace Lars Krause <info.lk@nord-com.net> - 2018-03-03 15:25 +0100
    Re: ELSTER erzwingt Freigabe von DOM Webspace Markus Ammann <spam@howalgonium.ch> - 2018-03-01 18:55 +0100
      Re: ELSTER erzwingt Freigabe von DOM Webspace Alexander Goetzenstein <alexander_goetzenstein@web.de> - 2018-03-02 02:40 +0100
        Re: ELSTER erzwingt Freigabe von DOM Webspace Markus Ammann <spam@howalgonium.ch> - 2018-03-02 06:38 +0100
          Re: ELSTER erzwingt Freigabe von DOM Webspace Markus Ammann <spam@howalgonium.ch> - 2018-03-03 17:47 +0100
          Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-05 11:17 +0100
            Re: ELSTER erzwingt Freigabe von DOM Webspace Markus Ammann <spam@howalgonium.ch> - 2018-03-05 11:57 +0100
              Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-05 17:46 +0100
                Re: ELSTER erzwingt Freigabe von DOM Webspace Markus Ammann <spam@howalgonium.ch> - 2018-03-05 18:48 +0100
                  Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-06 09:41 +0100
                    Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-06 10:08 +0100
                      Re: ELSTER erzwingt Freigabe von DOM Webspace Markus Ammann <spam@howalgonium.ch> - 2018-03-06 14:46 +0100
                        Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-06 17:09 +0100
    Re: ELSTER erzwingt Freigabe von DOM Webspace Arno Welzel <usenet@arnowelzel.de> - 2018-03-02 12:33 +0100
      Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-05 11:02 +0100
        Re: ELSTER erzwingt Freigabe von DOM Webspace Arno Welzel <usenet@arnowelzel.de> - 2018-03-05 19:46 +0100
    Re: ELSTER erzwingt Freigabe von DOM Webspace Lars Krause <info.lk@nord-com.net> - 2018-03-03 15:15 +0100
      Re: ELSTER erzwingt Freigabe von DOM Webspace "Chr. Maercker" <Zweistein@gmx-topmail.de> - 2018-03-05 11:10 +0100

Page 1 of 2  [1] 2  Next page →

#52027 — ELSTER erzwingt Freigabe von DOM Webspace

	Hallo,

der user-login von elster.de läuft nur dann, wenn in Mozilla (SM 2.49.2)
die Einstellung
	dom.storage.enable = true
aktiviert wird. Der Tracking-Report von fraunhofer.de warnt schon 2014,
dass diese Option von Trackern genutzt würde. Wieviele Tracker nisten
sich dort tatsächlich ein und wie ernst ist das Problem zu nehmen? Und
warum braucht ELSTER solchen Unfug, nur um einen Account für ein
Zertifikat anzulegen? Cookies erzwingen sie obendrein, "Sicherheit" pur.
-- 


			CU	Chr. Maercker.

	RADWEGE sind TOD-SICHER!	Schlaue Füchse fahren Fahrbahn.

[toc] | [next] | [standalone]

#52028

Chr. Maercker schrieb:
> 	Hallo,
> 
> der user-login von elster.de läuft nur dann, wenn in Mozilla (SM 2.49.2)
> die Einstellung
> 	dom.storage.enable = true
> aktiviert wird. Der Tracking-Report von fraunhofer.de warnt schon 2014,
> dass diese Option von Trackern genutzt würde. Wieviele Tracker nisten
> sich dort tatsächlich ein und wie ernst ist das Problem zu nehmen? Und
> warum braucht ELSTER solchen Unfug, nur um einen Account für ein
> Zertifikat anzulegen? Cookies erzwingen sie obendrein, "Sicherheit" pur.

Vielleicht solltest Du das besser im ELSTER-Forum fragen.

Ciao

Reinhard

[toc] | [prev] | [next] | [standalone]

#52034

Reinhard Zwirner wrote:
> Vielleicht solltest Du das besser im ELSTER-Forum fragen.

Warum ELSTER so abartig programmiert ist, ACK. Die Frage, ob und wie
stark DOM.storage die Sicherheit beeinträchtigt, bleibt hier.
-- 


			CU	Chr. Maercker.

[toc] | [prev] | [next] | [standalone]

#52035

Am 01.03.2018 15:37, Chr. Maercker schrieb:
> Reinhard Zwirner wrote:
>> Vielleicht solltest Du das besser im ELSTER-Forum fragen.
>
> Warum ELSTER so abartig programmiert ist, ACK. Die Frage, ob und wie
> stark DOM.storage die Sicherheit beeinträchtigt, bleibt hier.

Nun steht es dir frei, es für die eine ELSTER-Stunde im Jahr
einzuschalten und danach gleich wieder abzuschalten.
-- 
bis denne

[toc] | [prev] | [next] | [standalone]

#52067

Guten Abend,

Ruediger Lahl schrieb:

> Am 01.03.2018 15:37, Chr. Maercker schrieb:
>> Reinhard Zwirner wrote:
>>> Vielleicht solltest Du das besser im ELSTER-Forum fragen.
>>
>> Warum ELSTER so abartig programmiert ist, ACK. Die Frage, ob und wie
>> stark DOM.storage die Sicherheit beeinträchtigt, bleibt hier.
> 
> Nun steht es dir frei, es für die eine ELSTER-Stunde im Jahr
> einzuschalten und danach gleich wieder abzuschalten.

Dies kann man natürlich jederzeit und für alle Seiten abschalten.
Aber funktioniert dann speziell bei ELSTER noch alles richtig?

Vermutlich aber nicht, weil es verlangt wird.
Weiß ich aber nicht, weil ich das nicht nutze.

Grüße
Lars

-- 
Alle sagten: "Das geht nicht."
Dann kam einer, der wusste das nicht und hat es einfach gemacht.

[toc] | [prev] | [next] | [standalone]

#52042

Chr. Maercker wrote:
> 	Hallo,
> 
> der user-login von elster.de läuft nur dann, wenn in Mozilla (SM 2.49.2)
> die Einstellung
> 	dom.storage.enable = true
> aktiviert wird. Der Tracking-Report von fraunhofer.de warnt schon 2014,
> dass diese Option von Trackern genutzt würde. Wieviele Tracker nisten
> sich dort tatsächlich ein und wie ernst ist das Problem zu nehmen? Und
> warum braucht ELSTER solchen Unfug, nur um einen Account für ein
> Zertifikat anzulegen? Cookies erzwingen sie obendrein, "Sicherheit" pur.

Bei mir ist es aktiviert. Dateien darin dürfen nur zwei Websites ablegen.
Man kann es in den Voreinstellungen festlegen, wer darin Dateien ablegen
darf. Sinnvollerweise nur die, die man vertraut ;-).

Gruss Markus

-- 
Dieser Beitrag entstand durch hirnloses Herumtippen auf der Tastatur.
Jeglicher Sinn und Zusammenhang darin waere rein zufaellig und nicht
beabsichtigt.
DVD-Sammlung: http://www.howalgonium.ch/dvdsammlung.html

[toc] | [prev] | [next] | [standalone]

#52044

Hallo,

Am 01.03.2018 um 18:55 schrieb Markus Ammann:
> Bei mir ist es aktiviert. Dateien darin dürfen nur zwei Websites ablegen.
> Man kann es in den Voreinstellungen festlegen, wer darin Dateien ablegen
> darf. Sinnvollerweise nur die, die man vertraut ;-).

ach, das geht? Bislang dachte ich, dass man nur entweder an- oder
abschalten kann. Aber wie ich sehe, gibt es noch weitere dom.storage.*
Variablen. Mir ist nur noch nicht geglückt, herauszufinden, was sie
bewirken. Und wie die Festlegung auf einzelne Quellen funktioniert, auch
nicht, auch wenn es sinnvoll erscheint.


-- 
Gruß
Alex

[toc] | [prev] | [next] | [standalone]

#52045

Alexander Goetzenstein wrote:
> Hallo,
> 
> Am 01.03.2018 um 18:55 schrieb Markus Ammann:
>> Bei mir ist es aktiviert. Dateien darin dürfen nur zwei Websites ablegen.
>> Man kann es in den Voreinstellungen festlegen, wer darin Dateien ablegen
>> darf. Sinnvollerweise nur die, die man vertraut ;-).
> 
> ach, das geht? Bislang dachte ich, dass man nur entweder an- oder
> abschalten kann. Aber wie ich sehe, gibt es noch weitere dom.storage.*
> Variablen. Mir ist nur noch nicht geglückt, herauszufinden, was sie
> bewirken. Und wie die Festlegung auf einzelne Quellen funktioniert, auch
> nicht, auch wenn es sinnvoll erscheint.

Bei Seamonkey:

Preferences - Advanced - Offline Apps
"Only allow websites with explicit permissions"

Gruss Markus

-- 
Dieser Beitrag entstand durch hirnloses Herumtippen auf der Tastatur.
Jeglicher Sinn und Zusammenhang darin waere rein zufaellig und nicht
beabsichtigt.
DVD-Sammlung: http://www.howalgonium.ch/dvdsammlung.html

[toc] | [prev] | [next] | [standalone]

#52068

[Ingrid-Modus on]
Markus Ammann wrote:

> Bei Seamonkey:
>
> Preferences - Advanced - Offline Apps
> "Only allow websites with explicit permissions"

Bei Firefox:

Preferences - Advanced - Network
Unter "Offline Web Content and User Data" kann man jene Einstellungen
tätigen.
[Ingrid-Modus off]

Gruss Markus

-- 
Dieser Beitrag entstand durch hirnloses Herumtippen auf der Tastatur.
Jeglicher Sinn und Zusammenhang darin waere rein zufaellig und nicht
beabsichtigt.
DVD-Sammlung: http://www.howalgonium.ch/dvdsammlung.html

[toc] | [prev] | [next] | [standalone]

#52096

Markus Ammann wrote:
[Filterung Websites, für die DOM storage erlaubt ist]
> Bei Seamonkey:

> Preferences - Advanced - Offline Apps
> "Only allow websites with explicit permissions"

Ist bei mir so eingestellt. Elster-Online steht aber weder in der Liste
derer, die offline storage nutzen (Liste ist leer) noch wurden
irgendwelche Permissions dafür vergeben. Sind offline storage und DOM
storage wirklich das gleiche??
-- 


			CU	Chr. Maercker.

[toc] | [prev] | [next] | [standalone]

#52097

Chr. Maercker wrote:
> Markus Ammann wrote:
> [Filterung Websites, für die DOM storage erlaubt ist]
>> Bei Seamonkey:
> 
>> Preferences - Advanced - Offline Apps
>> "Only allow websites with explicit permissions"
> 
> Ist bei mir so eingestellt. Elster-Online steht aber weder in der Liste
> derer, die offline storage nutzen (Liste ist leer) noch wurden
> irgendwelche Permissions dafür vergeben. Sind offline storage und DOM
> storage wirklich das gleiche??

Wenn ich DOM Storage abschalte, dann funktionieren jene zwei Websites
nicht mehr, die ich als Ausnahmefälle eingetragen habe.

Gruss Markus

-- 
Dieser Beitrag entstand durch hirnloses Herumtippen auf der Tastatur.
Jeglicher Sinn und Zusammenhang darin waere rein zufaellig und nicht
beabsichtigt.
DVD-Sammlung: http://www.howalgonium.ch/dvdsammlung.html

[toc] | [prev] | [next] | [standalone]

#52106

Markus Ammann wrote:
> Wenn ich DOM Storage abschalte, dann funktionieren jene zwei Websites
> nicht mehr, die ich als Ausnahmefälle eingetragen habe.

*Wie* schaltest Du DOM Storage? Ich kenne nur den Eintrag in der
prefs.js:	dom.storage.enable = true

Bisher habe ich kein Pendant dafür in den offiziell zugänglichen
Einstellungen entdeckt. Ohne o.g. Eintrag streikt ELSTER.
-- 


			CU	Chr. Maercker.

[toc] | [prev] | [next] | [standalone]

#52108

Chr. Maercker wrote:
> Markus Ammann wrote:
>> Wenn ich DOM Storage abschalte, dann funktionieren jene zwei Websites
>> nicht mehr, die ich als Ausnahmefälle eingetragen habe.
> 
> *Wie* schaltest Du DOM Storage? Ich kenne nur den Eintrag in der
> prefs.js:	dom.storage.enable = true
> 
> Bisher habe ich kein Pendant dafür in den offiziell zugänglichen
> Einstellungen entdeckt. Ohne o.g. Eintrag streikt ELSTER.

Eben so habe ich es abgeschaltet ;-).
Im GUI habe ich lediglich:
Allow all websites to store data for offline use
Only allow websites with explicit permissions
Vollständiges Abschalten geht somit nur via prefs.

Ergebnis, jene zwei Websites, die Dateien ins Storage ablegen dürfen,
funktionieren nicht.

Gruss Markus

-- 
Dieser Beitrag entstand durch hirnloses Herumtippen auf der Tastatur.
Jeglicher Sinn und Zusammenhang darin waere rein zufaellig und nicht
beabsichtigt.
DVD-Sammlung: http://www.howalgonium.ch/dvdsammlung.html

[toc] | [prev] | [next] | [standalone]

#52117

Markus Ammann wrote:
[prefs.js:	dom.storage.enable = true]
> Eben so habe ich es abgeschaltet ;-).
> Im GUI habe ich lediglich:
> Allow all websites to store data for offline use
> Only allow websites with explicit permissions
> Vollständiges Abschalten geht somit nur via prefs.

> Ergebnis, jene zwei Websites, die Dateien ins Storage ablegen dürfen,
> funktionieren nicht.

Seltsam: Bei mir ist
	Only allow websites with explicit permissions
eingestellt, aber die nachfolgende Liste leer.
Trotzdem funktioniert die Elster, sobald dom.storage.enable = true
eingestellt ist. Hätte das eine mit dem anderen zu tun, würde ich
zumindest erwarten, dass nach einem Neustart des Browsers die Option
	Allow all websites to store data for offline use
angezeigt wird und nicht mehr die selektive. Es müsste jedenfalls auch
gehen, wenn
	dom.storage.enable = false
und
	Only allow websites with explicit permissions
nebst Elster in der nachfolgenden Liste eingestellt sind. Teste ich mal.
-- 


			CU	Chr. Maercker.

[toc] | [prev] | [next] | [standalone]

#52118

Chr. Maercker wrote:
> Es müsste gehen, wenn
> 	dom.storage.enable = false
> und
> 	Only allow websites with explicit permissions
> nebst Elster in der nachfolgenden Liste eingestellt sind. Teste ich mal.

Negativ: https://www.elster.de steht jetzt in der Ausnahmeliste,
	Only allow websites with explicit permissions
ist aktiviert und
	dom.storage.enable = false.

https://www.elster.de/eportal/benutzerkonto-service
streikt: "Web Storage nicht aktiviert".
Sogar ohne Browser-Neustart. Dass DOM-storage gemeint ist, gibt die
Fehlermeldung übrigens nur durch den Nebensatz

Web Storage können Sie beispielsweise im Internet-Explorer unter
"Internetoptionen", "Erweitert" wieder aktivieren, indem Sie das Häkchen
neben der Option "DOM-Storage" setzen.

zu erkennen. Ist wohl doch was anderes als offline storage. Hinter dem
Eintrag in der Filterliste steht zudem nach wie vor 0 Bytes.
-- 


			CU	Chr. Maercker.

[toc] | [prev] | [next] | [standalone]

#52121

Chr. Maercker wrote:
> Chr. Maercker wrote:
>> Es müsste gehen, wenn
>> 	dom.storage.enable = false
>> und
>> 	Only allow websites with explicit permissions
>> nebst Elster in der nachfolgenden Liste eingestellt sind. Teste ich mal.
> 
> Negativ: https://www.elster.de steht jetzt in der Ausnahmeliste,
> 	Only allow websites with explicit permissions
> ist aktiviert und
> 	dom.storage.enable = false.
> 
> https://www.elster.de/eportal/benutzerkonto-service
> streikt: "Web Storage nicht aktiviert".
> Sogar ohne Browser-Neustart. Dass DOM-storage gemeint ist, gibt die
> Fehlermeldung übrigens nur durch den Nebensatz
> 
> Web Storage können Sie beispielsweise im Internet-Explorer unter
> "Internetoptionen", "Erweitert" wieder aktivieren, indem Sie das Häkchen
> neben der Option "DOM-Storage" setzen.
> 
> zu erkennen. Ist wohl doch was anderes als offline storage. Hinter dem
> Eintrag in der Filterliste steht zudem nach wie vor 0 Bytes.

Bei "Notify me when websites want to store data for offline use" ist da
noch der Hacken reingeklickt.

Dann unter "The following websites are using offline storage:" jene zwei
Websites eingetragen.
Dort ohne den Protokoll voran. Also www.wichtigehomepage.xy bzw.
wichtigehomepage.xy

Soweit ich sehe, Storage darf je nach Einstellung via prefs allgemein
genutzt werden oder nicht. Zusätzlich Dateien (Stichwort: Supercookies)
darin abzulegen dann nur, sofern man dies via jenes GUI zugelassen hat.

Gruss Markus

-- 
Dieser Beitrag entstand durch hirnloses Herumtippen auf der Tastatur.
Jeglicher Sinn und Zusammenhang darin waere rein zufaellig und nicht
beabsichtigt.
DVD-Sammlung: http://www.howalgonium.ch/dvdsammlung.html

[toc] | [prev] | [next] | [standalone]

#52126

Markus Ammann wrote:
> Bei "Notify me when websites want to store data for offline use" ist da
> noch der Hacken reingeklickt.

Same here. Kamen aber noch nie Anfragen dewegen.

> Dann unter "The following websites are using offline storage:" jene zwei
> Websites eingetragen.
> Dort ohne den Protokoll voran. Also www.wichtigehomepage.xy bzw.
> wichtigehomepage.xy

Zum Eintragen wird das Fenster für die Permissions geöffnet und dort
wurde mir nur ein vollständiger URL abgenommen. Angezeigt wird nachher
aber nur der Hostname.

> Soweit ich sehe, Storage darf je nach Einstellung via prefs allgemein
> genutzt werden oder nicht. Zusätzlich Dateien (Stichwort: Supercookies)
> darin abzulegen dann nur, sofern man dies via jenes GUI zugelassen hat.

OK, dann krümelt Elster den DOM Sspace offenbar nicht mit Keksen voll,
soll mir sehr recht sein.
-- 


			CU + danke	Chr. Maercker.

[toc] | [prev] | [next] | [standalone]

#52056

Chr. Maercker:

[...]
> sich dort tatsächlich ein und wie ernst ist das Problem zu nehmen? Und
> warum braucht ELSTER solchen Unfug, nur um einen Account für ein
> Zertifikat anzulegen? Cookies erzwingen sie obendrein, "Sicherheit" pur.

Das musst Du die Betreiber von ELSTER fragen. Wieso sollte das hier
jemand beantworten können?


-- 
Arno Welzel
https://arnowelzel.de
https://de-rec-fahrrad.de
http://fahrradzukunft.de

[toc] | [prev] | [next] | [standalone]

#52094

Arno Welzel wrote:
> Das musst Du die Betreiber von ELSTER fragen. Wieso sollte das hier
> jemand beantworten können?

Den Betreiber habe ich schon gefragt. Was ich hierzugroups gern wüsste,
ist welche Sicherheitslücke sich auftut, wenn ich DOM Webspace freigebe.
Der Default ist "disabled" btz. false, das könnte ja vielleicht Gründe
haben.
Andererseits schrieb jemand, mit Mozilla lassen sich die URLs filtern,
die auf den Webspace zugreifen dürfen. Zufällig der passende Eintrag in
der prefs.js. bekannt?

-- 


			CU	Chr. Maercker.

[toc] | [prev] | [next] | [standalone]

#52109

Chr. Maercker:

> Arno Welzel wrote:
>> Das musst Du die Betreiber von ELSTER fragen. Wieso sollte das hier
>> jemand beantworten können?
> 
> Den Betreiber habe ich schon gefragt. Was ich hierzugroups gern wüsste,
> ist welche Sicherheitslücke sich auftut, wenn ich DOM Webspace freigebe.

Keine mir bekannte. Sofern XSS möglich ist, wäre theoretisch denkbar,
dass eine böse Anwendung auf Daten zugreift, die ELSTER in seine eigene
DOM-Storage abgelegt hat. Aber das ist nicht prinzipbedingt sondern wäre
schlicht ein Bug im Browser.


-- 
Arno Welzel
https://arnowelzel.de
https://de-rec-fahrrad.de
http://fahrradzukunft.de

[toc] | [prev] | [next] | [standalone]

Page 1 of 2  [1] 2  Next page →

Back to top | Article view | de.comm.software.mozilla.browser

csiph-web