Pourquoi Firefox impose-t-il un délai de 3 secondes avant d'installer des add-ons?

Je suppose que le retard de Firefox avant d'installer des add-ons présente un avantage en termes de sécurité, mais pour la vie, je ne peux pas comprendre ce que c'est. (Oui, je sais que vous pouvez désactiver le délai.)

Si vous répondez à cette question, veuillez fournir des références provenant de listes de diffusion Firefox ou de journaux de validation.

firefox

— Natan Yellin
source

La question devrait être "pourquoi Mozilla est-il le seul à le faire?". IMHO, chaque nouvelle boîte de dialogue devrait activer les boutons 1 seconde après les avoir affichés, car vous pourriez cliquer dessus accidentellement (ou quelqu'un voudrait que vous cliquiez dessus sans votre consentement). Je déteste vraiment quand je clique quelque part et qu'un bouton apparaît juste avant que je clique. Cela se produit également avec les téléphones lorsque quelqu'un vous appelle au moment où vous souhaitez appuyer sur le bouton "Lecture".

— Mike

"Si vous répondez à cette question, veuillez fournir des références à partir des listes de diffusion Firefox ou des journaux de validation." Si tel est votre besoin, alors vous ne pouvez pas faire votre propre recherche?

— kmm

Peut-être que ce n'est pas si facile à trouver ou qu'il y a d'autres choses à considérer. Peut-être que quelqu'un ici aurait eu plus d'informations internes - qui sait? Ce n'est pas mal de demander en soi @ Kevin

— slhck

J'ai essayé de regarder moi-même, mais je n'ai pas pu trouver l'information. (Je l'ai dit il y a quelques heures dans une édition, qui a été perdue: superuser.com/users/68351/… )

— Natan Yellin Le

@ aantn Désolé, je l'avais supprimée car cela n'ajoutait pas vraiment les informations nécessaires à la question. Nous nous attendons généralement à ce que les gens

— fassent la

Pourquoi?

Parce qu'ils veulent que tu penses à ce que tu fais
Parce qu'il empêche les installations accidentelles
Parce qu'il empêche les installations déclenchées par malveillance

Comment pouvez-vous déclencher une installation par malveillance?

Voici un article intéressant sur les conditions de course dans les dialogues de sécurité de Jesse Ruderman:

Une autre forme d’attaque consiste à convaincre l’utilisateur de double-cliquer sur un endroit précis de l’écran. Cet endroit se trouve être l'endroit où le bouton "Oui" apparaîtra. Le premier clic déclenche le dialogue; le deuxième clic atterrit sur le bouton 'Oui'. J'ai fait une démonstration de cette attaque pour Firefox et Mozilla.

La solution de Firefox, du bogue 162020 , consiste à retarder l’activation des boutons "Oui" / "Installer" jusqu’à trois secondes après l’affichage de la boîte de dialogue. Je pense que c'est la seule solution possible, à part refuser complètement à un contenu non fiable la possibilité de poser le dialogue. Malheureusement, ce correctif est frustrant pour les utilisateurs qui installent souvent des extensions.

Fondamentalement, tout revient à prédire quand un utilisateur cliquera puis à intercepter ce clic dans une boîte de dialogue d'installation. Ruderman a expliqué une situation de jeu plus concise comme celle-ci dans son rapport de bogue de Firefox, qui a finalement conduit à l'inclusion du délai.

Pour résumer encore, son point principal était:

Si je peux contrôler ou prédire quand et où un utilisateur cliquera, je pourrai le faire installer un logiciel .

Des alternatives à la période de retard?

La période de retard n’était certainement qu’un moyen de régler ce problème. Un autre aurait pu mélanger les boutons pour "Installer", "Annuler" à chaque fois que vous installeriez quelque chose. C'est quelque chose qui est utilisé très souvent, mais cela déroute plus l'utilisateur que cela ne l'aide.

Une autre idée serait de déplacer l’emplacement de la fenêtre au hasard pour chaque dialogue. Cela a le même résultat que de mélanger les boutons, ce qui déroutait l'utilisateur.

En outre, l'introduction du caractère aléatoire n'est pas la solution ultime. S'il existe des raccourcis clavier pour les boutons, vous pouvez également intercepter les touches du clavier. Cela étant dit, cela ressemble plus à une fonctionnalité héritée aujourd'hui, car la plupart des plugins sont installés à partir du site officiel de l'add-on Firefox, de toute façon.

— slhck
source

Les autorisations d'installation de addons.firefox.org ne résolvent-elles pas?

— Natan Yellin

Le plus probable. Il serait utile d’avoir la possibilité d’accepter de façon permanente (comme avec les certificats) - cela ressemble généralement davantage à une "fonctionnalité" héritée. Mais je ne suis pas un utilisateur de Firefox, je ne peux donc pas vraiment en parler.

— Slhck

... démo cool! :)

— sebastian_k

Les autorisations d'installation par site ne permettent pas d'elles-mêmes, car un site malveillant peut vous inciter à cliquer sur un bouton d'un site sur lequel des autorisations ont été accordées . (Oui, même avec des défenses agressives de détournement de clic - ce n'est pas un problème résolu.)

— zwol Le

@Zack, pouvez-vous donner un exemple pour addons.firefox.org?

— Natan Yellin