[...] per TechNotizie sono finito sul blog di Antonio, che segnala la presenza di un nuovo bug, scovato dagli esperti del settore, insito nell’ultima versione [...]

Credo che la funzione di salvataggio delle password sia fonte di insicurezza “by design”. Bisognerebbe fare un controllo anche sull’autenticità del dominio, quindi in teoria solo le pagine autenticate con SSL dovrebbero consentire il giusto grado di affidabilità. Firefox dovrebbe salvare le password soltanto sulle pagine criptate (con chiave trusted).

Ciao TheKaneB, io non sarei così esagerato da implementare SSL su ogni dominio per una falla che probabilmente verrà fixata nella prossima release di FF.
:)
Per adesso le uniche soluzioni che consiglierei sono disabilitare Javascript (cosa difficilmente proponibile visto il largo uso che se ne fa dello stesso nel web odierno), utilizzare un password manager esterno come Roboform o Sticky Password (entrambi a pagamento) oppure provare un software gratuito e open-source KeePass (c’é anche una versione stand-alone per avere le pwd su supporto USB), oppure NON salvare le password nel password manager e/o cancellarle fino al rilascio di un rilascio di Firefox 2.0.0.6.

al0ha: hai perfettamente ragione, non è umanamente possibile implementare SSL su tutti i dominii, infatti non è una soluzione la mia, ma solo una constatazione oggettiva dei fatti. Non so per quanto riguarda windows, ma su linux esistono diversi programmi free (gratuiti e liberi) che funzionano da “portachiavi” e criptano le password di siti internet, connessioni wireless, bancomat, di tutto e di più, con algoritmi a chiave asimmetrica di sicurezza militare. Il problema non è “conservare le password” ma evitare che cadano in mani sbagliate, firefox può controllare che al 90% il sito sia affidabile con i più sofisticati algoritmi, ma la “certezza matematica” si può avere solo con le connessioni cifrate.
Detto questo ribadisco che IMHO non è una falla di sicurezza quella di firefox, ma la funzionalità stessa di “salvataggio password” è intrinsecamente insicura quando è associata a pagine non cifrate! Spero di aver reso meglio il mio pensiero :)

Certo TheKaneB, ma lo era (chiaro) anche prima che ribadissi il concetto. Immaginavo che stessi esagerando volutamente – però – giusto per ridimensionare la portata della vulnerabilità a chi si stava facendo già prendere dalla “paranoia” :P ho voluto puntualizzare.
I software/estensioni che ho citato precedentemente, come Roboform e Keepass esistono sia per *Nix che per MAC/OSX e Windows.

Per il resto, condivido il tuo pensiero.
;)

Firefox ed il suo password manager

Il problema sembrava esser stato superato ma ancora una volta Firefox cade su di un bug già sanato in una vecchia versione del browser….

[...] Dopo la vulnerabilità del password manager. FireFox (2.0.0.5), Netscape Navigator 9,  Mozilla e altri browsers sono affetti da questa vulnerabilità che permette di eseguire un  attacco “Remote Command Execution” ovvero l’esecuzione di comandi in remoto sul computer attaccato (es. eseguire un’applicazione) . [...]