Aktuelles Firefox manuell installieren in /home/user

[Rawbit]

Hallo,

ich möchte den aktuellen FF installieren, also das Paket von der Mozilla-Seite.
Zuerst habe ich die /opt als Verzeichnis gewählt.
Leider funktioniert da das Update vom FF nicht, wenn ich FF als user laufen lasse.

Dann habe ich FF unter /home/user/bin installiert.

Ist das eine gute Idee oder kann sich das ungünstig auf die Sicherheit auswirken?

Vielen Dank

Rawbit

[geier22]

Zuerst habe ich die /opt als Verzeichnis gewählt.

Sicherlich Geschmackssache, aber grundsätzlich ist es richtig, Programme, die an der Paketverwaltung vorbei installiert werden nach /opt/ zu verfrachten. Siehe https://de.wikipedia.org/wiki/Filesyst ... warepakete
Da dort root der Besitzer ist, musst du aber den Benutzer ändern, da sonst, wie du ja auch festgestellt hast, das automatische Update nicht funktioniert.
Funktioniert so, wenn du Firefox in /opt/firefox installiert hast:

Code: Alles auswählen

chown -R Benutzer:Gruppe /opt/firefox

Erklärungen zu chown: https://wiki.ubuntuusers.de/chown/

st das eine gute Idee oder kann sich das ungünstig auf die Sicherheit auswirken?

Weder in deinem /home noch unter /opt/ bestehen Bedenken, solange du Firefox unter deinem Benutzernamen ausführst.

[thoerb]

Diese Frage habe ich mir auch schon gestellt. Ich lade den FF als Root immer wieder komplett neu nach /opt/ herunter. Aber vielleicht gibt es ja auch noch eine bessere Lösung?

Code: Alles auswählen

#!/bin/bash

rm -rf  /opt/firefox/;
wget -O /tmp/firefox.tar  "https://download.mozilla.org/?product=firefox-latest&os=linux64&lang=de"; 
tar -vxf /tmp/firefox.tar -C /opt/; 

Eine Alternative wäre den FF im Home-Verzeichnis zu installieren. Ich möchte ihn aber systemweit installiert haben.

https://wiki.debian.org/Firefox#Installing_Firefox

[thoerb]

Da dort root der Besitzer ist, musst du aber den Benutzer ändern, da sonst, wie du ja auch festgestellt hast, das automatische Update nicht funktioniert.

Ist das denn kein Sicherheitsrisiko?

[geier22]

Ist das denn kein Sicherheitsrisiko?

Warum ? Das Programm wird mit deinen Rechten ausgeführt. Von wo das startet (von /home/ oder von /opt/ ) ist, denke ich, egal, solange du dich nicht als Mitglied in Gruppen mit weitreichenden Benutzerrechten zugefügt hast.

Edit:
Wie das mit den Updates ist, wenn du Firefox in /opt/ installiert hast und unter anderem Benutzernamen startest, weiß ich nicht genau, da für mich nicht relevant. Müsste wahrscheinlich via Gruppenzugehörigkeit (z.B. users)geregelt werden. Ich kann mir aber vorstellen, dass es wahrscheinlich an der Gruppe Root scheitert, wenn die Updates nicht funktionieren. Was ja auch gut ist.

[odelsys]

Hallo,

ich würde einen neuen Benutzer mit eigenem /home Verzeichnis anlegen, der wiederum nicht auf das Standart /home Verzeichnis zugreifen kann.

Gruss

[thoerb]

Warum ? Das Programm wird mit deinen Rechten ausgeführt.

BENUTZERNAME und PROGRAMMNAME müssen an das eigene System angepasst werden. Nun kann beim nächsten Start des Programms (durch den angegebenen Benutzer!) eine Aktualisierung durchgeführt werden. Da dies eine potentielle Sicherheitslücke darstellt, sollte man später die Besitzrechte wieder zurücksetzen

https://wiki.ubuntuusers.de/opt/#Problembehebung

Dann installiere ich es doch lieber gleich als Root, als für ein Update solche Verrenkungen machen zu müssen.

[rendegast]

Ein als normaler Benutzer gepflegter ff ist per default ausführbar/lesbar für alle.
(hängt noch von der umask des pflegenden Benutzers ab)

Ein anderer Benutzer mit einer offenen ff-Session käme (erst) nach einem Neustart des Programms zur neuen Version,

Gegebenenfalls gibt es für die offene Session Probleme,
falls eine bislang nicht benutzte Funktion (zBsp. mitgebrachtes Plugin) aufgerufen wird,
bei der die neue Version nicht mit dem alten Programm korrespondiert.
Das löst sich nach Neustart des Programms.
Tools zBsp. checkrestart (debian-goodies) / needrestart / lsof.

Das ist aber unter linux eigentlich Standard, zBsp. gilt das auch für das dem root gehörenden Paket firefox / firefox-esr.

Ein "Benutzer-ff" sollte also dem Benutzer gehören, der das Programm am häufigsten nutzt.
Geringeres Maß an eventuellen Komplikationen und höchste Chance für ein zeitnah eingespieltes (inkrementelles) Upgrade.

[geier22]

BENUTZERNAME und PROGRAMMNAME müssen an das eigene System angepasst werden. Nun kann beim nächsten Start des Programms (durch den angegebenen Benutzer!) eine Aktualisierung durchgeführt werden. Da dies eine potentielle Sicherheitslücke darstellt, sollte man später die Besitzrechte wieder zurücksetzen

Dann installiere ich es doch lieber gleich als Root, als für ein Update solche Verrenkungen machen zu müssen.

Ich halte diese Empfehlung ausgemachten Blödsinn. Wir unterhalten uns hier nicht über irgendwelche Netzwerke sondern Systeme, an denen ein einzelner Benutzer oder vielleicht ein zweiter Zugriff auf den Rechner haben. Diese Benutzer haben in der Regel gleiche Rechte (chown ändert an den Zugriffsrechten nichts sondern lediglich den Besitzer) . Ob ich als normaler Nutzer ein Programm aus meinem /home/ oder von sonst wo starte, ist, was Sicherheit betrifft, aus meiner Sicht völlig egal. Egal ist auch (von der Systematik mal abgesehen) ob ich den Symlink auf die ausführbare Datei nach /usr/bin/ oder /usr/local/bin/ oder sonst wo hinsetze , solange das System
in der Lage ist, das zu finden.

Aber vielleicht liege ich ja falsch, und es erklärt mir mal jemand, wo die Sicherheitsrisiken sind ? Benutzer X hat überall
oder nirgends Zugriff auf alles oder wenig.

ich würde einen neuen Benutzer mit eigenem /home Verzeichnis anlegen, der wiederum nicht auf das Standart(d ) /home Verzeichnis zugreifen kann.

Und dann ? Wesentlich effektiver ist es dann Firefox mit

Code: Alles auswählen

firejail firefox

zu starten.

Ansonsten gebe ich den Ausführungen von rendegast vollkommen recht. Dort ist alles gesagt.

[KP97]

Genauso wie @geier22 handhabe ich das auch.
Ich lade den FF von der Mozilla-HP und kopiere ihn in mein Home. Das funktioniert schon seit Jahren problemlos.
Sollte es ein Mehrbenutzersystem sein, dann nach /opt und den Link setzen, wie geier schon gesagt hat. Sicherheitsbedenken braucht man da keine haben.
Hier ist immer die Rede von automatischen Updates. Welche Updates eigentlich?
FF erscheint alle 6 Wochen neu mit einer neuen Version. Da würde ich mir das schon vorher genau ansehen, welche Neuerungen da mitkommen, als das einfach blind zu installieren.
Gerade jetzt ist der FF in allen Punkten auf dem Prüfstand und es kommen jedesmal gravierende Änderungen.
Da ist es doch wohl besser, den neu herunterzuladen und vorher zu testen.
Die Ausnahme ist der esr, aber auch da schaue ich regelmäßg selbst nach updates und teste die erst.

@odelsys
Standard bitte mit d, es tut sonst weh...

[geier22]

Hier ist immer die Rede von automatischen Updates. Welche Updates eigentlich?

Ok - ich hatte vergessen zu erwähnen dass ich beim FF auf dem Beta- Kanal bin. Und da sind es pro Woche bestimmt ein Update.
Und da wird es dann langsam lästig, immer nachzuschauen. So wird es im Hintergrund heruntergeladen-> Neustart und gut.
Aber mein Standard- Browser ist eh z.Z. Waterfox (einfach wegen div. Add-ons), aber auch da kommen die -selteneren Updates automatisch, dto. in Thunderbird.
Mein /opt/ ist auch inzwischen 2,4. GB groß

Code: Alles auswählen

ls -al /opt
insgesamt 72
drwxr-xr-x 18 root root 4096 Jun 18 18:00 .
drwxr-xr-x 23 root root 4096 Jun  8 12:00 ..
drwxr-xr-x  2 root root 4096 Mai 12 00:29 artwork
drwxr-xr-x  3 root root 4096 Mär 26 17:22 cinelerra
drwxr-xr-x  6 root root 4096 Okt 17  2017 Enpass
drwxr-xr-x  9 hans hans 4096 Jul  7 12:36 firefox
drwxr-xr-x  4 hans hans 4096 Apr 20 08:20 FreeFileSync
drwxr-xr-x  3 root root 4096 Apr 10 18:21 google
drwxr-xr-x  7 root root 4096 Jul  7 10:20 libreoffice6.0
drwxrwxr-x  6 root root 4096 Apr  1 10:26 master-pdf-editor-4
drwxr-xr-x  2 root root 4096 Mai 12 00:29 panel
drwxr-xr-x  2 root root 4096 Apr 14 19:33 sparky
drwxr-xr-x 11 hans hans 4096 Jul  7 09:51 thunderbird
drwx------  3 hans hans 4096 Mai 16 13:49 tor-browser
drwxr-xr-x 10 hans hans 4096 Apr  2 21:50 tvbrowser-transportable
drwxr-xr-x  8 root root 4096 Jul  2 15:00 vivaldi
drwxr-xr-x 10 hans hans 4096 Jul  7 07:55 waterfox
drwxr-xr-x  7 root root 4096 Apr  1 10:26 XnView

[TomL]

Ist das denn kein Sicherheitsrisiko?

Die Frage ist immer im Zusammenhang mit anderen Aspekten zu sehen.... und zwar, ob du unter deiner UID root-rechte erlangen kannst oder nicht. Ich würde es aber ganz unabhängig davon trotzdem generell nicht tun.

Ein Sicherheitsrisiko besteht m.M.n. immer dann , wenn jemand anderes (ausser root) ändernrechte auf ein Programm hat. Das ist imho im home-dir des Users der Fall, und ebenso wenn der user rw-Rechte auf ein Dir in /opt hat. Für mich ist beides ein absolutes No-Go. Und das Mozilla -also eine dritt-firma mit allen möglichen von mir nicht begrüßten Geschäftsverbindungen- meinen Rechner im Rahmen des durchgeführten 'apt full-upgrade' verändern darf.... das geht ja absolut gar nicht.

Ich machs genau, wie du.....ich installiere FF als root nach /opt und nur root hat W-Rechte drauf. Starten können es dann alle User.... ausgeführt wird es also nur mit beschränkten userrechten. Die Sicherheit ist mir den Aufwand wert, solange bis es den neuen ESR im Debian-Repo gibt

Manuell installieren heisst für mich, ich installiere die veröffentlichte Mainstream-Variante, die für alle gilt. Die Quelle für die full-upgrade-variante betrachte ich als unbekannten Kanal ausserhalb meiner direkten Beobachtung.... wenn das irgendwohin redirected ist, krieg ich das gar nicht mit. Ich machs jedenfalls nicht.

[cronoik]

Mozilla bietet auch ein snap-Paket an. Dann gibt man die Ordner und Sandbox Fragen an snap ab.

[geier22]

Irgendwie verstehe ich das nicht.
Wenn ein User ein Programm, das in /opt/ installiert ist und Root oder dem User gehört, ausführen darf -
wo ist bezüglich der Sicherheit der Unterschied?

Code: Alles auswählen

$ ls -al /opt/firefox/firefox
-rwxr-xr-x 1 hans hans 204024 Jul  7 12:36 /opt/firefox/firefox

Die Schreib und Ausführungsrechte ändern sich nicht.
vor dem chown steht da

Code: Alles auswählen

$ ls -al /opt/firefox/firefox
-rwxr-xr-x 1 root root 204024 Jul  7 12:36 /opt/firefox/firefox

Das Beharren, das nur Root in /opt/ schreiben darf, finde ich - da man ja Mozilla misstraut - dann sogar noch gefährlicher,
da Root ja genau dann auch wo anders hinkrizeln und lesen darf, während der User das nicht kann.

Die Updates für ein in /opt/ installierten Firefox oder Thunderbird werden eben nicht im Rahmen eines apt - Prozesses gemacht, sondern begrenzt auf das Installationsverzeichnis mit den Rechten des ausführenden Users.

Infos zu dem Update-Prozess:
https://wiki.mozilla.org/Software_Updat ... a_MAR_file
https://wiki.mozilla.org/Software_Update:MAR

Ob das Installationsverzeichnis nun in /opt/ oder in einem beliebigen anderen Verzeichnis liegt ist an sich - was die Sicherheit betrifft-
aus meiner Sicht völlig egal.

/opt/ ist extrem Praktisch da man so das komplette Verzeichnis von einer Installation in die neue Installation kopieren kann, und alles
sofort wieder zur Verfügung steht.

[thoerb]

Irgendwie verstehe ich das nicht.
Wenn ein User ein Programm, das in /opt/ installiert ist und Root oder dem User gehört, ausführen darf -
wo ist bezüglich der Sicherheit der Unterschied?

Ich sehe das wie @TomL, meiner Meinung nach gehört einem Benutzer nichts, der darf nur benutzen, aber nichts ändern. Der Unterschied besteht zwischen ändern und ausführen.

[DeletedUserReAsG]

Das Beharren, das nur Root in /opt/ schreiben darf, finde ich - da man ja Mozilla misstraut - dann sogar noch gefährlicher,
da Root ja genau dann auch wo anders hinkrizeln und lesen darf, während der User das nicht kann.

Allerdings wird’s nie als Root ausgeführt, so dass alleine von den Berechtigungen keine Gefahr ausgeht. Dafür kann Schadsoftware, als User ausgeführt, nicht am Browser manipulieren. Auf der anderen Seite funktioniert’s Auto-Update nicht und man muss sich selbst drum kümmern. Wer’s umständlich haben möchte, setzt als Eigentümer den User, und gleichzeitig das „immutable“-Flag für alle Files des Browsers. Dann gehört’s zwar dem User, ändern darf er aber nichts und um die Updates muss man sich trotzdem selbst kümmern. Wem das noch nicht reicht, der kann ja auch noch mit MAC à la SELinux hantieren ….

Ich denke, hier ist’s, wie bei den meisten Sachen: den richtigen Weg gibt es nicht. Muss jeder anhand seiner eigenen Prioritäten entscheiden, wie er das handhabt.

[geier22]

Ich denke, hier ist’s, wie bei den meisten Sachen: den richtigen Weg gibt es nicht. Muss jeder anhand seiner eigenen Prioritäten entscheiden, wie er das handhabt.

Dem stimme ich zu.
Es sei dann aber noch erwähnt, dass die Ausrede "ich installiere ein ausführbares Programm in meinem /home/" oder im /home/ eines anderen "unprivilegierten" Benutzers dann genauso falsch oder richtig ist. Denn egal, in welchem Verzeichnis das Programm "residiert" solange sämtliche Dateien nicht Root gehören, ist die Gefahr der Manipulation des Programmcodes immer
gegeben. Der Eigentümer darf in jedem Fall jede Datei schreiben.

Selbst die Anleitung der Debian - Wiki wäre dann zu bemängeln:

Uncompress the archives in the */opt* folder if you want to install it system-wide (you will need to have root privilege) or in your home folder if you only want to install it for your current user.

[TomL]

....dann genauso falsch oder richtig ist.
:::
Selbst die Anleitung der Debian - Wiki wäre dann zu bemängeln

Meiner Meinung nach gibt es da kein falsch oder richtig und auch am Wiki-Text ist imho nichts zu bemängeln. Falsch wäre es dann, wenn aus technischen Gründen einer der Wege nicht funktionieren würde....aber das ist ja nicht gegeben....technisch funktioniert gleichermaßen eine Installation in /opt und /home. Also kann da imho auch nichts falsch sein.

Ein Unterschied besteht meiner Meinung nach nur durch mögliche kollaterale Effekte - eben der unautorisierten Manipulation des ausführbaren Programms..... "mögliche" bedeutet aber nicht "unweigerlich" ... also kann sein, muss aber nicht. Aber wenn das Programm in /opt mit Userrechten versehen ist und zusätzlich das Programm auch noch von anderen Usern (beim gemeinsam genutzten PC) verwendet wird, würde sich eine solche Manipulation vielleicht auch auf die anderen User auswirken. Wenn man das weiss und sich der Risiken bewusst ist, kann man sich ja einfach entscheiden, das entweder zu beachten oder es zu ignorieren.

[Rawbit]

Hallo,

vielen Dank für Eure Beiträge!

Aber wenn das Programm in /opt mit Userrechten versehen ist und zusätzlich das Programm auch noch von anderen Usern (beim gemeinsam genutzten PC) verwendet wird, würde sich eine solche Manipulation vielleicht auch auf die anderen User auswirken.

Das trifft für mich den Nagel auf den Kopf. Ich wollte - nur um automatisch updaten zu können - nicht die Rechte in /opt umbiegen.

Ich beschäftige mich derzeit mit dem "Firejail" Ansatzt von Geier22.
Wusste gar nicht, das es sowas gibt....

Gruß


Rawbit

[TomL]

Ich beschäftige mich derzeit mit dem "Firejail" Ansatzt von Geier22.
Wusste gar nicht, das es sowas gibt....

Firejail ist interessant, aber man muss die Programmfunktionalität auch mit einem gewissen Augenmaß einschätzen.... Firejail bietet nicht den Schutz, den man vordergründig erwartet. Beispielsweise schränkt es die Grund-Funktionen des eingesperrten Programms nicht wirklich ein.... kann ja auch gar nicht, sonst würde das eingesperrte Programm ja gar nicht mehr richtig funktionieren. FJ verhindert auch nicht, dass FF Surface-Daten des Rechners sammelt, der Browser-Fingerprint wird nicht nachhaltig verschleiert, etliche Kern-Werte sind identisch.

Ein Vorteil von FF in FJ ist, dass man Zugriff auf lokale Speicher einschränken kann. Das heisst, AddOns oder erlaubte Scripte können nur sehr eingeschränkt die lokalen Massenspeicher lesen oder schreiben. Aber wenn man keine dubiosen AddOns installiert hat ... und wenn man dem FF nicht grundsätzlich misstraut... wo ist dann da der Sinn für FJ? Ganz nebenbei bemerkt, wenn man dem FF so gravierend misstraut, wieso nutzt man ihn dann überhaupt?

Die eigentliche Stärke von FJ ist es, einen isolierten Userspace zu schaffen, aus dem es der Anwendung nicht möglich ist, auf Systemressourcen zuzugreifen. Aber genau davon würde ich bei einem "sauberen" und aktuellen Firefox sowieso nicht ausgehen... also das er das mit schädlichen Absichten tut. Die Sandbox greift jedoch voll, wenn ein Programm tatsächlich echte und wirkich missbrauchbare Sicherheitslücken hätte, denn da würde das Ausnutzen dieser Lücken durch Malware auf den Jail-Bereich begrenzt sein. Aber auch davon kann man beim FF nicht als Regel ausgehen.

Ums auf den Punkt zu bringen... wenn Du den FF im Private-Mode startest und dazu einen scharf eingestellten Scriptblocker wie Ublock Origin installierst, sehe ich darin absolut keine großartige Verschlechterung der Sicherheit im Vergleich zum FF in FJ... oder andersrum, ich sehe mit FJ keine echte Verbesserung der Sicherheit.

Obwohl ich FJ jetzt so kritisch einschätze, ich nutze das Programm trotzdem mit FF. Und zwar für Ausnahme-Situationen beim freien Suchen/Recherchieren im Web. Das heisst, mein Standard-Browser-Profil ist mit dem Script-Blocker Ublock Origin so stark reguliert, dass gewisse Seiten schlichtweg nicht angezeigt werden können. Und wenn ich einzelne Seiten nicht regulär öffnen kann, bzw. diese Seiten nicht mal mit dem Lese-Button vom FF angezeigt werden, dann starte ich FF in FJ im Create-New-Mode (also immer jungfäulich), um diese Seite eben temporär zu erlauben/anzuzeigen. Für solche Seiten würde ich meinen Scriptblocker niemals "aufweichen", der bleibt in sehr überschaubaren Umfang unverändert scharf eingestellt - nach der Prämisse "Es ist alles verboten, was nicht ausdrücklich erlaubt ist." Und mit Beendigung des FF in FJ und Schließen der betroffenen Seite ist dort wieder alles unwiderruflich weg. Und nebenher nutze ich noch eine dedizierte VM für -ich nenn es mal- unseriöses Surfen, die beim anklicken bis direkt zum Browser durchgestartet.

Meine Meinung nach ist FJ für eine gewisse Zielsetzung interessant ... FJ ist aber kein Allheilmittel und auch kein Rundum-Sorglos-Security-Paket.