Tại sao Firefox buộc trì hoãn 3 giây trước khi cài đặt tiện ích bổ sung?

Tôi cho rằng có một lợi ích bảo mật cho sự chậm trễ của Firefox trước khi cài đặt các tiện ích bổ sung, nhưng đối với cuộc sống của tôi, tôi không thể tìm ra nó là gì. (Vâng, tôi biết bạn có thể vô hiệu hóa độ trễ.)

Nếu bạn trả lời câu hỏi này, vui lòng cung cấp tài liệu tham khảo từ danh sách gửi thư của Firefox hoặc nhật ký cam kết.

Tại sao?

• Bởi vì họ muốn bạn nghĩ về những gì bạn đang làm
• Bởi vì nó ngăn chặn cài đặt tình cờ
• Bởi vì nó ngăn chặn cài đặt kích hoạt độc hại

Làm thế nào bạn có thể kích hoạt cài đặt độc hại?

Đây là một bài viết thú vị về điều kiện chủng tộc trong các hộp thoại bảo mật của Jesse Ruderman:

Một hình thức tấn công khác liên quan đến việc thuyết phục người dùng nhấp đúp vào một vị trí nhất định trên màn hình. Vị trí này là vị trí mà nút 'Có' sẽ xuất hiện. Lần nhấp đầu tiên kích hoạt hộp thoại; lần nhấp thứ hai rơi vào nút 'Có'. Tôi đã tạo một bản demo của cuộc tấn công này cho Firefox và Mozilla.

Giải pháp của Firefox, từ lỗi 162020 , là trì hoãn kích hoạt các nút "Có" / "Cài đặt" cho đến ba giây sau khi hộp thoại xuất hiện. Tôi tin rằng đây là cách khắc phục duy nhất có thể ngoài việc phủ nhận hoàn toàn nội dung không đáng tin cậy về khả năng đặt hộp thoại. Thật không may, sửa lỗi này gây khó chịu cho người dùng cài đặt tiện ích mở rộng thường xuyên.

Về cơ bản, tất cả chỉ để dự đoán khi nào người dùng sẽ nhấp và sau đó chặn nhấp chuột đó trong hộp thoại cài đặt. Ruderman đã giải thích một tình huống trò chơi ngắn gọn hơn như thế này trong báo cáo lỗi của mình từ Firefox, cuối cùng dẫn đến việc đưa vào giai đoạn trì hoãn.

Tóm lại, điểm chính của anh là:

Nếu tôi có thể kiểm soát hoặc dự đoán thời điểm và nơi người dùng sẽ nhấp, tôi có thể yêu cầu họ cài đặt phần mềm .

Bất kỳ thay thế cho thời gian trì hoãn?

Thời gian trì hoãn chắc chắn chỉ là một cách để đối phó với điều này. Một người khác có thể đã xáo trộn các nút cho "Cài đặt", "Hủy" mỗi khi bạn cài đặt một cái gì đó. Đây là một cái gì đó được sử dụng rất thường xuyên, nhưng nó gây nhầm lẫn cho người dùng nhiều hơn nó giúp.

Một ý tưởng khác sẽ được di chuyển vị trí cửa sổ ngẫu nhiên cho mỗi hộp thoại. Điều này có kết quả tương tự như xáo trộn các nút, cụ thể là gây nhầm lẫn cho người dùng.

Ngoài ra, giới thiệu ngẫu nhiên không phải là giải pháp cuối cùng. Nếu có phím tắt cho các nút, bạn cũng có thể chặn phím nhấn. Điều đó đã được nói, có vẻ giống như một tính năng cũ ngày nay, vì hầu hết các plugin đều được cài đặt từ trang web bổ trợ Firefox chính thức.