News Mozilla VPN: Firefox Private Network startet in Deutschland

[mgutt]

Mozilla hat kein Geld und jetzt wollen sie Petabytes an Traffic bewegen. Das bringt bestimmt Geld ein?!

 

[foo_1337]

Der Absatz ist absichtlich allgemein beschrieben. Dies sei aber gar nicht mehr von Belang, da bereits gelöscht. Das ist dort die eigentliche Hauptaussage. Wie deren Sicherungen nun genau aussehen darüber werden keine weiteren genauen Angaben gemacht.

Ja was heißt denn nun bereits? Nach 1h, 1d, 7d oder 30d? Wenn dir so eine, wie du selbst sagtest, absichtlich schwammige Formulierung ausreicht, ist das ja ok. Mir nicht.

Am besten erstmal die Basics und dann die genaue Funktionsweise eines VPNs.

Tatsächlich meint ein VPN erstmal etwas anderes. Nämlich ein virtuelles Netzwerk, gespannt über (öffentliche) Punkte. Klassisches Protokoll hierfür: IPSEC mit all seinen Vor- und Nachteilen. Mittlerweile werden aber auch gerne SSL-VPNs, openvpn oder wireguard benutzt. Da findest du hier einen ganz guten Einstieg: https://de.wikipedia.org/wiki/Virtual_Private_Network

Hier geht es aber nicht um solche VPN, sondern tatsächlich um "bessere Proxies". Die Links, die ich in #9 gepostet habe, sind da schon sehr aufschlussreich, auch wenn manche hier das anders sehen. Wenn du bisher wenig Berührungspunte mit dem Thema hattest, empfehle ich dir diesen Link: https://schub.wtf/blog/2019/04/08/very-precarious-narrative.html
Der Kollege, der das schrieb arbeitet übrigens für Mozilla

 

[DeusoftheWired]

@mgutt Mozilla muß zusehen, sich unabhängig von den Einnahmen durch Google zu machen, die leider immer noch die Hauptfinanzierung stellen. Immerhin 450 Millionen US-DOllar. Ein VPN-Dienst wird das natürlich nicht vollständig erreichen, ist aber ein erster Schritt und paßt auch ganz gut zum öffentlichen Bild von Mozilla.
Hinter der Sache steht natürlich ein Einkommensmodell mit Geschäftsplan. Rechnen kann Mozilla auch. Und wenn das Ding nach zwei, drei Jahren unprofitabel ist, wird’s eingestampft.

 

[Dummsday]

Ich lese hier seitenlang Argumente verstehe aber fast nur Bahnhof. Das Thema Netzwerk und Internetverbindung ist für mich noch immer ein Buch mit sieben Siegeln. Kann hier jemand eine Quelle empfehlen, welche einem das Thema näher bringt? Am besten erstmal die Basics und dann die genaue Funktionsweise eines VPNs. Das wäre auch mal ein interessanter Bericht seitens ComputerBase wie ich finde.

Benutz einfach den Torbrowser wenn du anonym surfen willst, VPN ist einfach ein verschlüsselter Übertragungskanal von dir zu einem anderen über ein unverschlüsseltes Netz , sonst nichts. Mit Anonymität hat das nicht viel zu tun...

 

[Creeed]

Richtig, du kannst ganz jedoch fest davon ausgehen, dass genau dies von Leuten schon geprüft wurde, die den Code lesen können.

Du meinst so genau geprüft wie bei den letzten Desastern mit quelloffener Software? Wie zum Beispiel bei Heartbleed? Nur weil die Software quelloffen ist heißt das nicht dass per se schon mal jemand auf den Code geschaut hat. Das ist ein gern genommenes Märchen um diese Software zu pushen. Nachschauen tut da keiner genauer, solange man nicht Geld in die Hand nimmt und ein Audit beauftragt. Welches dann allzu oft Fehler offenbart, die es eigentlich gar nicht geben sollte.

 

[foo_1337]

@Creeed Ich rede hier nicht von Buffer Overflows & Co. durch schlechten Code, sondern davon, ob der Browser irgendetwas wie z.B. die URI dem VPN Kooperationspartner mitgibt, sprich etwas, was absichtlich eingebaut wurde. Und im Gegensatz zu den Problemen bei OpenSSL & Co. ist so etwas deutlich einfacher zu finden und das Interesse gewisser Personen, so etwas zu finden, ist groß.

 

[DeusoftheWired]

Nachschauen tut da keiner genauer, solange man nicht Geld in die Hand nimmt und ein Audit beauftragt.

Wodurch entstehen dann Einträge in den Bugtrackern von FOSS?

 

[lorpel]

Warum will jeder nur 5 Euro von mir? Ich verzichte. Da nehme ich lieber Tor.

 

[Creeed]

Wodurch entstehen dann Einträge in den Bugtrackern von FOSS?

Warum gibt es so viele Fehler wenn so viele Leute mit Ahnung rein schauen? Warum gab es Hearthbleed? Warum werden Fehler über x Generationen der Software mit geschleppt?

Auch gerne noch einmal für die Anhänger von Open Source. Nur weil die Quellen offen liegen heißt das nicht dass die Software sicher ist. Das ist genauso ein Märchen wie Security by Obscurity. Es funktioniert schlicht nicht.

 

[foo_1337]

Es funktioniert schlicht nicht.

Whataboutism at its best: Negativbeispiele herauspicken und sämtliche Positivbeispiele, die es täglich gibt, ignorieren.

 

[DeusoftheWired]

Warum gibt es so viele Fehler wenn so viele Leute mit Ahnung rein schauen? Warum gab es Hearthbleed? Warum werden Fehler über x Generationen der Software mit geschleppt?

Niemand behauptet, Coder von FOSS hätten automatisch einen weit niedrigeren Quotienten von Fehlern pro 1000 LoC. Dadurch, daß die ganze Welt in den Code schauen kann, ist aber das Erkennen eines Fehlers wahrscheinlicher als bei closed source.

 

[Creeed]

Aha, ich weise dich auf die Mängel in deiner Argumentation hin und bin dann der Böse. Danke fürs Gespräch. Du selbst sagst dass absolut sicher sein kann weil Leute mit Ahnung drauf geschaut haben. Ich bringe ein Gegenbeispiel, bei einem Projekt bei dem genauso argumentiert wurde. Du kannst NIEMALS sicher sein in der IT, das ist eine Illusion an die man sich gerne klammert.

Du kannst jetzt gerne ein Dutzend Positivbeispiele bringen. Ich kann danach gerne für jedes Positiv ein Negativ liefern. Aber wahrscheinlich bin ich dann nicht nur der Böse sondern der Herrscher im Tempel des elementar Bösen.

Falls du es nicht verstehst. Wiege dich nie in absoluter Sicherheit, schon gar nicht wenn diese Sicherheit aus deiner eigenen Überzeugung kommt. Es gibt Menschen die sind felsenfest der Überzeugung ihr Rechner wäre sicher weil sie Norton Antivirus installiert haben. Bin ich böse wenn ich sage dass das nicht stimmt? Oder bin ich erst böse wenn ich deiner Argumentation und Überzeugung widerspreche. Und schon sind wir bei philosophischer Wahrheitsfindung und damit weit vom Thema weg.

 

[andy_m4]

Auch gerne noch einmal für die Anhänger von Open Source. Nur weil die Quellen offen liegen heißt das nicht dass die Software sicher ist.

Das ist korrekt. Man kann sogar umgekehrt argumentieren: Wenn die Quellen offen liegen, dann ist es für die bösen Buben auch viel leichter nach Sicherheitslücken zu suchen und die dann natürlich nicht zu melden, sondern für sich zu behalten.

Auch das Open Source nicht zwingend etwas über die Qualität aussagt, ist korrekt. Es gibt durchaus einiges an Open-Source-Software, welche in einem furchtbaren Zustand ist.

Aber (ja; es gibt auch ein Aber ):
In der Tendenz hast Du bei Open-Source trotzdem bessere Qualität (wie gesagt; nicht überall; aber in der Tendenz!). Warum? Weil Programmierer die ihren Code veröffentlichen auch einen gewissen Anspruch haben. Die wissen halt, das andere da reingucken können und sind dann eher motiviert auch ordentliche Arbeit abzuliefern, weil schlechte Arbeit auf sie zurückfällt.

Bei Closed-Source-Software ist der Pfusch-Level oftmals viel höher allein aufgrund der Tatsache, das da ja eh keiner reingucken kann. Auch hier gibts natürlich wieder Ausreißer nach oben. Zum Beispiel liefert Microsoft mit Windows (entgegen landläufiger Meinung) durchaus akzeptable Qualität ab. Also zumindest verglichen mit dem, was sonst so in der Softwareindustrie "branchenüblich" ist. :-)

Ergänzung (3. Februar 2021)

Wie zum Beispiel bei Heartbleed?

OpenSSL kann man auch als positives Beispiel werten. Als Reaktion auf die massiven Sicherheitsprobleme haben sich einige OpenSSL angenommen. Teilweise durch Investitionen/Beiträge. Andererseits durch Forks.

Wäre OpenSSL Closed-Source gewesen, wäre man darauf angewiesen das der Hersteller von OpenSSL da entsprechend nachbessert. Dank Open-Source kam da aber eine Dynamik in die Sache, die sonst gar nicht oder nur kaum möglich gewesen wäre.

 

[DeusoftheWired]

Wiege dich nie in absoluter Sicherheit

Auch das behauptet niemand. Absolute Sicherheit bzw. Fehlerfreiheit ist ein Idealzustand, der in der Realität nicht einmal bei Milliardenunternehmungen wie z. B. NASA-Raumfahrtprojekten erreicht wird. Es liegt hier wirklich am Wortlaut, denn FOSS ist dem Prinzip nach sicherer. Viertausend Augen sehen mehr als zwei.

 

[Creeed]

Hast du den von mir zitierten Beitrag von foo_1337 gelesen? Auch den Post auf den er antwortet?
Er sagt dass man davon ausgehen kann dass sich Leute mit Ahnung den Code angesehen haben. Dies war eine Antwort auf die Frage ob die VPN Integration sicher sei, weil der Code ja nur von einem kleinen Teil der Bevölkerung verstanden wird.

 

[foo_1337]

Ja, das habe ich gesagt. Und nicht, Zitat:

Du selbst sagst dass absolut sicher sein kann weil Leute mit Ahnung drauf geschaut haben.

Und es war nicht die Antwort, ob die VPN Intergration sicher ist, sondern ob Metadaten wie z.B. die URI weitergegeben werden. Denn das war mein eigener Satz. Und mit Heartbleed und anderen Lücken durch miesen Code hat das alles nichts zu tun.

 

[Lextor]

Ich werde das nicht nutzen.Bei einem so grossen Unternehmen bin ich eher misstrauisch.

Vielliecht gibts ja dort im Keller einen kleinen Raum ohne Namensschild ,wo 2 Typen sitzen und alles rausfiltern, was Kohle bringt.
Die Idee ist ja recht gut.
Aber ich lese schon : 3 Mio Nutzerdaten aus Mozilla VPN im darknet .

 

[Dummsday]

Ich werde das nicht nutzen.Bei einem so grossen Unternehmen bin ich eher misstrauisch.

Vielliecht gibts ja dort im Keller einen kleinen Raum ohne Namensschild ,wo 2 Typen sitzen und alles rausfiltern, was Kohle bringt.
Die Idee ist ja recht gut.
Aber ich lese schon : 3 Mio Nutzerdaten aus Mozilla VPN im darknet .

Wohl eher 30 Mio. :-)

 

[EmmaL]

"Kein Mitschneiden der Aktivitäten" und "Bis zu fünf verbundene Endgeräte gleichzeitig" passt doch gar nicht zusammen, oder? Ich habe mal bei einer VPN Vergleichsseite gelesen, dass sobald eine Gerätelimitierung vorhanden ist, geloggt wird.

 

[DeusoftheWired]

@EmmaL Im RAM die aktuell eingeloggte Geräteanzahl vorzuhalten, ist kein Logging.