Login
Newsletter
Werbung

Thema: KDE Apps Update 19.12

2 Kommentar(e) || Alle anzeigen ||  RSS
Kommentare von Lesern spiegeln nicht unbedingt die Meinung der Redaktion wider.
0
Von NotMad am So, 15. Dezember 2019 um 08:41 #

Du meinst, dieser QtWebEngine Driss (über den ich mich ja eh gelegentl. aufrege) wird nichtmal gescheit geupdatet?

An dem folgenden Beispiel kann man das gut erkennen.

Vor einigen Tagen wurde Qt 5.14 veröffentlicht. Davor war noch Qt 5.13.2 die aktuellste Version.
QtWebEngine 5.14.0 basiert auf Chromium in der Version 77.0.3865
QtWebEngine 5.13.2 basiert auf Chromium in der Version 73.0.3683

Zwischendurch wurde nie irgendein Update von 73 auf 77 gemacht, es gab nur diesen einen Sprung. Und inzwischen ist Chrome 79 die neuste Version. Alleine schon in Chromium 78, also eine Version nach der in Qt 5.14 verwendeten, wurden 5 Sicherheitslücken behoben, welche über eine präparierte Webseite ausgenutzt werden können. Also wird in Qt 5.14 eine mit Sicherheitslücken behaftete Version verwendet, obwohl Qt 5.14 gerade erst veröffentlicht wurde. Und bis zur Version davor, also die 73.0..., gibt es noch diverse andere Sicherheitslücken, deren man mit der Verwendung eines Browsers auf Qt-Basis bis dato ausgesetzt war.

Hier eine Meldung zu den behobenen Lücken in Chromium 78: (heise.de) Chrome: Google verteilt Stable Channel Update mit Security-Fixes

Einem separaten Hinweis des Center for Internet Security (CIS) ist allerdings zu entnehmen, dass die beiden Sicherheitslücken aus der Ferne ausgenutzt werden könnten, um beliebigen Code im Kontext des Browsers auszuführen, vertrauliche Daten abzufangen oder andere unautorisierte Aktionen auszuführen. Dazu müsste ein Angreifer seine Opfer zunächst auf eine speziell präparierte Website lotsen.

Und Sicherheitslücken werden mit fast jeder neuen Version behoben, egal welchen Browser man verwendet.

Zudem kommt es ja noch darauf an welche Linux-Distribution man verwendet. Bei diversen Distributionen wird weiterhin Qt 5.13 oder sogar 5.12 verwendet, und erst mit dem nächsten halbjährlichen Release auf die 5.14 gewechselt.

Aber wieso sollte es kein Workaround sein, nur auf vertrauenswürdige Seiten zu gehen?
Weil selbst auf vertrauenswürdigen Seiten Schadcode verbreitet werden kann und auch wird. Meist wird es über die eingeblendete Werbung verbreitet, da selbst große seriöse Seiten die Werbung über einen Drittanbieter einbinden: (golem.de) Malware-Angriff aus der Werbung. Selbst golem.de hatte schon mal einen Virus in der auf ihrer Webseite angezeigten Werbung. Und das trifft auch sehr große und populäre Webseiten: BBC, MSN hit by malicious ad attack

Und meiner Meinung nach reicht es nicht aus, wenn man nur einen Ad-Blocker verwendet. Wenn man sich ansieht, wie viele Javascript-Dateien von wie vielen fremden Domains auf einer normalen Webseite eingebunden werden, da gruselt es einen. Viele davon zeigen keine Werbung an, sind aber ausschliesslich zum tracken der Besucher da. Da es - wie du erwähnt hast - für Falkon noch kein umatrix gibt, würde mich das schon sehr stören.

Aber das Web ist eh im Abklingbecken, und FF ist für mich tot. Man muss irgendwie schauen, aus dem Mist, den es gibt, das am wenigsten Schlechte zu machen...

Ich denke dass du mit deiner Entscheidung für einen Browser auf Basis von Chromium/Chrome genau den falschen Weg genommen hast.
Es gibt nämlich nur noch zwei Hersteller/Entwickler von Browser-Engines. Die eine Engine wird von Mozilla entwickelt und im Firefox verwendet. Alle anderen verwenden Chromium von Google. Selbst Microsoft hat den "Edge" eingestampft, und entwickelt einen neuen Browser auf Basis von Chromium.

Das große Problem dabei ist, dass Google hier massiv ihre eigenen Interessen durchsetzen möchte. So will Google das API für AdBlocker-Erweiterungen so stark beschneiden, so dass man für Chrome/Chromium keinen richtigen AdBlocker mehr anbieten kann
(heise.de) API fällt weg: Chrome 80 soll Adblocker einschränken

Mit Chromes Version 80 weist Google Adblocker in die Schranken, das kann man in der Entwicklerversion Chrome Canary bereits sehen. Noch befindet sich der Webbrowser mit der Schnittstellenänderung in einem Alpha-Stadium, im kommenden Jahr dürfte die stabile Version erscheinen.

Chrome sowie die Open-Source-Variante Chromium sollen ohne webRequest API auskommen. Die Plug-in-Schnittstelle wird von Werbe- und Trackingblockern genutzt. Stattdessen gibt es das declarativeNetRequest API – der Browser selbst filtert dann die Elemente, was jedoch auf 150.000 beschränkt ist. Beliebte Blocker wie Ublock Origin oder Adblock Plus nutzen Listen zum Filtern, die den künftig erlaubten Umfang deutlich übersteigen.

Liegt ja auch klar auf der Hand. Google verdient mit Werbung ihr Geld, und zwar zu 99%. Da ist es ja schädlich, wenn man einen Browser anbietet, bei dem dritte eine Erweiterung anbieten können, welche dem eigenen Geschäft schadet. Und da man der Hersteller des Browsers mit der größten Verbreitung ist, kann man ja dagegen etwas machen. So einfach ist das für Google, und ebenso ärgerlich für Sicherheitsbewusste Menschen.

Deshalb finde ich, dass die Verwendung von Firefox das wesentlich kleinere Übel ist, und man Chrome/Chromium nicht unterstützen sollte. Und nicht zu vergessen, wegen den Sicherheitslücken aufgrund der veralteten Version in Qt, sollte man es sowieso nicht verwenden. Sollte Google die Aktion mit der Beschneidung des API wirklich durchführen, wovon auszugehen ist, dann sind Chrome/Chromium für mich gestorben, auch wenn ich eh den Firefox verwende.

Sollte es so weitergehen, und Firefox irgendwann aufgrund mangelnder Verbreitung nicht mehr weiterentwickelt werden, so bekommen wir möglicherweise wieder eine IE6 - Ära, nur mit dem Unterschied, dass Chrome/Chromium zwar stetig weiterentwickelt werden wird, jedoch aber ausschließlich zu den Interessen von Google.

Klar, es gibt auch andere Lösungen für zu Hause, wie z.B. Pi-hole. Aber das ist für normale 08/15-Nutzer wesentlich aufwendiger, und kostet durch die Hardware ja auch etwas, und kann auch nicht überall verwendet werden. So kannst du das nicht mal eben in der Firma einsetzen, und auch nicht in einem Hotel oder sonstigen WLAN.

[
| Versenden | Drucken ]
  • 0
    Von Josef Hahn am So, 15. Dezember 2019 um 13:06 #

    Eins haben wir gemeinsam: Wenn man nicht aufpasst, wird es schnell viel Text... :)

    Das Thema mit den Sicherheitslücken hatte ich vorher so nicht durchgedacht, das ist schon ein Aspekt, das stimmt... Ich hatte so diese Hoffnung, dass relevante Sicherheitslücken dort heute seltener sind, und dass Qt und Ubuntu dann auch schnell nachziehen. Geprüft und mitverfolgt habe ich das allerdings bisher nicht (sage ich als jemand, der auch ein bisschen Webentwicklung macht *schäm). :)

    > Ich denke dass du mit deiner Entscheidung für einen Browser auf Basis von Chromium/Chrome genau den falschen Weg genommen hast.

    Ich bin damit auch nicht völlig zufrieden. Was du sagst über die Gefahr des Google-Monopols, fehlende Extensions, usw, ist mir bekannt (war trotzdem interessant es zu lesen). Das (und mehr) geht mir alles durch den Kopf, wenn ich "Auch Falkon ist derzeit hier nicht die Ideallösung." schreibe. Aber FF ist verbrannt. Ein Browserhersteller, der es auch nur öffentlich in Erwägung zieht, per Default an meinem OS vorbei Namensauflösung zu machen, ist einfach vollkommen unbrauchbar. Ich will nicht dauernd in der Presse hinterherforschen, welche Configs ich beim nächsten Release wieder umbiegen muss, um den neuen Übergriffigkeiten zu entgehen. Das ist ein No-Go der allerhöchsten Kategorie; und das war ja auch nur das letzte Ärgernis. Ich muss das dann auch immer auf vielen Maschinen tun (teilweise Bastel-VMs mit geringer Lebensdauer; aber viele).

    Dass Google die Engine verkrüppeln will um AdBlocker zu verhindern, macht mir auch Gedanken. Sobald es wirklich soweit ist, wird man sehen, was die ganzen kleinen Projekte machen, die darauf aufsetzen. Ich frage mich auch, warum es keine Falkon-artigen Browser gibt, die die Mozilla-Engine verbauen (nicht PaleMoon o.ä. - das ist ja was anderes). Und eigentlich gibt's ja auch noch drei Engines. Was ist mit Webkit?!

    Wenn ich mal böse Mutmaßen darf (ist ja Sonntag): Mozilla wird mit dieser Verkrüppelung früher oder später nachziehen. Auch dort kommt das Geld doch hauptsächlich aus Quellen, deren Interessen eigentlich gegen deine und meine stehen. Es ist die Salamitaktik, die ich überall (in erfolgreicher Anwendung) sehe, seit ich lebe... Nichtmal auf IT oder Technik beschränkt... Den Gedankengang will nur heute niemand hören, und wenns soweit ist gucken alle erstmal wie ein Auto und arrangieren sich dann irgendwie wieder.

    Und auch ich werde damit schon irgendwie klarkommen (müssen). Eine Gegenbewegung, die sowas wirkungsvoll entgegenwirkt, gibt es ja heute nicht mehr. Da wird man dann mit Firewall und DNS tricksen, wenn's soweit ist. Jeden Tag ein bisschen ärgerlicher als am Tag zuvor... Und auch danach wird es weitergehen und weitergehen und weitergehen... Oder? Wenn die Verwanzung in Zukunft nicht mehr von extern kommt, sondern direkt vom Server der Webseite mit ausgeliefert wird, sind sowieso alle bisherigen Ansätze dahin.

    > Sollte es so weitergehen, und Firefox irgendwann aufgrund mangelnder Verbreitung nicht mehr weiterentwickelt werden, so bekommen wir möglicherweise wieder eine IE6 - Ära, nur mit dem Unterschied, dass Chrome/Chromium zwar stetig weiterentwickelt werden wird, jedoch aber ausschließlich zu den Interessen von Google.

    Naja, weiterentwickelt hat MS früher auch ausschließlich zu seinen Interesse. :) Mir fällt da "Destroy the web by extending it" ein, wie es ja wohl mal in einem internen MS-Papier gestanden haben soll. Ja, wird wieder passieren. Mit einem Unterschied: Früher stand man eher am Beginn des www (für die große Masse zumindest), und heute am Ende. Was heute noch kommt, sind doch sowieso Apps für Android/Apple?! Schlimmer geht ja hier immer. :) Und wenn das einmal soweit ist, werden dort die API-Zugänge teilweise abgesperrt und verhökert... Wetten?

    > Ich habe kein Facebook, kein Twitter, kein WhatsApp und bezahle auch immer in Bar.

    Auch das haben wir alles gemeinsam. Ich habe Signal. Auch in großen Teilen ärgerlich. Der Client ist schön Open Source, aber forken kannst du es trotzdem nicht; zumindest nicht, wenn du deren Server mitnutzen willst. Eigenen Server aufzusetzen verhindern sie, indem sie die Federation verweigern. Was für ein Dreck eigentlich... Und dieses Gehampel bei etwas so grundsätzlichem wie Text-Chat; keine großen Zauber-Services.

    > Denn viele Webseiten funktionieren ja leider nicht mehr ohne eine dieser Frameworks, die dann zudem meist auch noch irgendwo bei Google gehostet sind. Und daher muss man diese JS-Datei über NoScript dann erlauben, wird dann aber über Decentraleyes freundlicherweise dann aber abgefangen.

    Stößt es dir denn nicht übel auf, dass die Verrenkungen von Tag zu Tag verrückter werden? Wohin soll das konvergieren? Die Gegenseite (hier hauptsächl. Google) baut das ja teilweise bewusst so auf, und wird das auch weiter ausbauen, und kennt auch deine Tricks. Und die sind stärker...

    > Andere hingegen, so wie z.B. etliche meiner IT-Kollegen, verwenden dann noch den Internet Explorer und geben bei der Frage nach der Verwendung eines AdBlockers dann nur "Ad-WAS?" als Frage zurück.

    Hehe... Das ist so die Kategorie an Usern, die auch heute noch Doppelklick auf jeden Link macht, oder? Naja, manche Leute wollen es auch nicht anders. Die sollte man dann auch lassen. Sie werden umsteigen (lassen), sobald Instagram oder Youtube nicht mehr im IE tun. Weitere Kriterien gibt es nicht.

    > Leider ist genau diese Egal-Mentalität von solchen gläsernen Bürgern dafür verantwortlich, dass die Politik und diverse Firmen ihre Möglichkeiten ausreizen.

    Ganz meine Rede. Aber ich habe mich inzwischen damit abgefunden. Wenn schon die Hälfte der Kommentarschreiber bei pro-linux diese Egal-Mentalität haben; welchen Kampf willst du da führen, und mit wem? Man muss schauen, damit klarzukommen.

    > Dann haben wir bald Zustände wie in China, von Zensur im Internet über ein Punktesystem für die Bevölkerung, wir sind auf dem besten Wege dahin.

    Das wird auf jeden Fall kommen. Ich sehe derzeit garkeinen Weg daran vorbei, mit der Gesellschaft, in der ich lebe.

    > Ich für meinen Teil tue aber z.B. auch etwas für die Umwelt. Ich versuche möglichst ohne Verpackung zu leben. Ja, ich engagiere mich sogar Ehrenamtlich dabei, [...]

    Ich finde das super! Ich mache sowas nicht... Ich wäre auch schnell deprimiert, wenn ich sehe, wie die Gesellschaft aber überhaupt nicht mitgeht. Gestern habe ich einen Golf GTI gesehen, übliche Darreichungsform, aufgekratztes Männchen mit großem Selbstdarstellungswunsch, (wahrscheinlich schlecht selbsteingeklebte) Tönungsfolie, und dicke Auspuffblende. Da drüber der Aufkleber "Fuck you Greta". Solange die Gesellschaft es nicht in der Breite hinbekommt, solche Leute zu sanktionieren (und wenn's nur durch Mißachtung und Ausgrenzung ist), wird da niemals was draus mit Umweltrettungsambitionen. Man fragt sich ja auch, was mit den Menschen nicht stimmt, oder? Und das sind keine einzelnen verrückten Ausnahmen. Davon gibt es seeeehr viele. Es haben nur nicht alle diesen Aufkleber.

    [
    | Versenden | Drucken ]
Pro-Linux
Pro-Linux @Facebook
Neue Nachrichten
Werbung