Microsoft Update Quietly Installs Firefox Extension

Viktory-s

Microsoft Update Quietly Installs Firefox Extension
A routine security update for a Microsoft Windows component installed on tens of millions of computers has quietly installed an extra add-on for an untold number of users surfing the Web with Mozilla's Firefox Web browser.
Earlier this year, Microsoft shipped a bundle of updates known as a "service pack" for a programming platform called the Microsoft .NET Framework, which Microsoft and plenty of third-party developers use to run a variety of interactive programs on Windows.
The service pack for the .NET Framework, like other updates, was pushed out to users through the Windows Update Web site. A number of readers had never heard of this platform before Windows Update started offering the service pack for it, and many of you wanted to know whether it was okay to go ahead and install this thing. Having earlier checked to see whether the service pack had caused any widespread problems or interfered with third-party programs — and not finding any that warranted waving readers away from this update — I told readers not to worry and to go ahead and install it.

I'm here to report a small side effect from installing this service pack that I was not aware of until just a few days ago: Apparently, the .NET update automatically installs its own Firefox add-on that is difficult — if not dangerous — to remove, once installed.
Annoyances.org, which lists various aspects of Windows that are, well, annoying, says "this update adds to Firefox one of the most dangerous vulnerabilities present in all versions of Internet Explorer: the ability for Web sites to easily and quietly install software on your PC." I'm not sure I'd put things in quite such dire terms, but I'm fairly confident that a decent number of Firefox for Windows users are rabidly anti-Internet Explorer, and would take umbrage at the very notion of Redmond monkeying with the browser in any way.
Big deal, you say? I can just uninstall the add-on via Firefox's handy Add-ons interface, right? Not so fast. The trouble is, Microsoft has disabled the "uninstall" button on the extension. What's more, Microsoft tells us that the only way to get rid of this thing is to modify the Windows registry, an exercise that — if done imprecisely — can cause Windows systems to fail to boot up.
When I first learned of this, three thoughts immediately flashed through my mind:
1) How the %#@! did I miss this?
2) The right way would have been to just publish the add-on at Mozilla's Add Ons page.
3) This kind of makes you wonder what else MS is installing without your knowledge.
Then I found that I wasn't the only one who had these ideas. Microsoft has heard these criticisms from others who long ago commented on this unfortunate development (see the comments underneath this post).
Anyway, I'm sure it's not the end of the world, but it's probably infuriating to many readers nonetheless. Firstly — to my readers — I apologize for overlooking this..."feature" of the .NET Framework security update. Secondly — to Microsoft — this is a great example of how not to convince people to trust your security updates.

Viktory-s

Я фигею, даже удалить нельзя. :)
Борьба перешла в кровавую стадию. :D

Viktory-s

Видимо готовятся к решению Европейской Комиссии о насильственном включении в состав винды нескольких браузеров.
EU may mandate multiple browser bundling with new PCs
The Wall Street Journal (subscription required) is reporting today that European Union antitrust regulators aren't done with Microsoft yet. The EU is looking into more sanctions against the software giant for including Internet Explorer with Windows, according to WSJ's sources, and will likely announce a final ruling in the next few weeks. An EU spokesperson said that if the regulator rules against Microsoft, any remedy "would be based on the fundamental principle of unbiased choice" while a Microsoft spokesman says the company is "committed" to "full compliance" with EU law.
Third-party browser makers like Opera, Mozilla and Google are pushing for tough sanctions against Microsoft. That may result in the software giant having to include rival browsers in Windows. Redmond's main argument is that users can always download a third-party browser, but the EU would rather have a "ballot screen" for users to choose which browsers to download and install as well as which one to set as default. The bundling requirement might end up becoming a responsibility for manufacturers.
With the release of the Windows 7 Release Candidate, Microsoft made it possible to remove IE8 (the beta did not allow this along with many other Windows components, but this apparently was not enough for the EU.
http://arstechnica.com/microsoft/news/2009/05/eu-may-force-w...
Плюс статистика говорит, что лиса безжалостно жмёт ослика:
Europe, April
IE 48%
Firefox 39%
http://online.wsj.com/article/SB124362706194767281.html

kruzer25

Фанатизм автора поражает. Лучше бы он мозг включил.

kruzer25

EU may mandate multiple browser bundling with new PCs
Да они там просто жирные пидарасы, пытающиеся выжать из производителей ещё немного бабла.
Интересно, какие браузеры они собираются включить? Браузер, написанный мной на коленке, будет там находиться? Тогда уже я смогу подавать в суд на эту комиссию за нарушение честной конкуренции и предоставление файрфоксу преимущества перед моим браузером.

Andbar

<kzlm? тоже недавно эту гадость заметил. Неужели тупо потереть соответствующую папку из директории фф нельзя?

Ivan8209

> тоже недавно эту гадость заметил.
А не пофиг? Или у тебя пространства не хватает?
---
A44: Ламеры в гамаке пусть в тапках трахаются --- это их проблемы.
Я в своём гамаке хочу полноценно трахаться на лыжах.

Ivan8209

> И вот то что кнопочка "удалить" неактивна
> Разве вообще надо было такую возможность делать?
Иногда --- даже очень, иначе можно влететь в проблему раскрутки.
---
"This user is BSD-compliant."

Marusetta

Если честно - не понимаю, зачем.
Для чего разработчикам FF может понадобиться запрещать отключать какое-то дополнение? Плюс это как бы противоречит их идеологии. Все дополнения - это не их головная боль и не должно быть ей. Чего пользователь хочет - то и ставит, надоело - удаляет. Все что они сочли необходимым, они включили в главный модуль.
О какой раскрутке ты говоришь, поясни

Ivan8209

> Если честно - не понимаю, зачем.
Если оно связано с безопасностью, это очень хорошо, если просто
пользователь не сможет его просто так удалить своими шаловливыми
ручками.
> Плюс это как бы противоречит их идеологии.
Какой?
> Чего пользователь хочет - то и ставит, надоело - удаляет.
Сисадмин тоже пользователь, а ему лучше, если лузеры не могут
удалять какие-то примочки самостоятельно.
---
...Я работаю антинаучным аферистом...

yroslavasako

Сисадмин тоже пользователь, а ему лучше, если лузеры не могут
удалять какие-то примочки самостоятельно.
бред. Защита должна выстраиваться на системном уровне. Чтобы какие бы примочки пользователь не использовал выйти за пределы его полномочий было бы невозможно. Защита на уровне интерфейса - это большая глупость

dgaf

Предолжи способ отключить JS на системном уровне.

yroslavasako

Предолжи способ отключить JS на системном уровне.
прозрачный прокси.
Предложи тоже самое на уровне интерфейса. Учти, что существуют мобильные ff и опера, которые не нужно устанавливать

dgaf

согласен ;)

Ivan8209

> Защита должна выстраиваться на системном уровне.
Защита должна выстраиваться на всех уровнях.
Бред --- как раз то, что подразумеваешь под защитой ты.
По-твоему выходит, что защищать от падения с моста в воду должен
надетый спасжилет, чтобы ты не утонул. Вот это и есть настоящий
бред. Защищать от падения в воду должны перила, несмотря на то,
что через них обычно можно перелететь. И наличие спасжилета
потребности в перилах не отменяет.
---
"Унивеpситет pазвивает все способности, в том числе --- глупость."

kruzer25

Тут же как раз речь идёт о защите вроде спасжилета.
Даже администратор не может удалить это расширение через интерфейс; сделать это можно только через реестр, что совершенно не подходит для каждодневной работы (это всё равно, что для добавления пользователя редактировать самому, ручками, в емаксе файл /etc/passwd).

yroslavasako

1) Недостаточная защита - бессмысленна. Она создаёт неудобства, но не защищает систему от вторжения.
2) Я не понимаю зачем вообще запрещать, например тот же JS. Если пользователь дурак, то он способен запустить произвольную вредоносную программу и без JS, если умный, то и JS не сможет заставить его выполнить те действия, которые ему не угодны. Зачем ограничивать людей, которые знают что делают, из-за немногих идиотов?
3) Безопасность любой системы измеряется безопасностью самого незазищённого элемента, все остальные значения не имеют. Тогда и не нужно возводить дополнительные неудобства и ограничения, которые не могут защитить систему
4) Излишне неудобная система сама провоцирует пользователя на нарушение соглашений безопасности. Быть может введение дополнительного слоя безопасности в Висте и не было ошибкой, но дефолтные его настройки подвигли большинство пользователь на отключение всей системы. Если бы эти настройки были бы более скромными, то глядишь и прижилось бы полезное новшество.

Marusetta

нашел где кнопочка включается

<....>
isCommandEnabled: function (aCommand)
{
<....>
case "cmd_uninstall":
return (selectedItem.type != nsIUpdateItem.TYPE_THEME ||
selectedItem.type == nsIUpdateItem.TYPE_THEME &&
selectedItem.getAttribute("internalName") != gDefaultTheme) &&
selectedItem.opType != OP_NEEDS_UNINSTALL &&
selectedItem.getAttribute("locked") != "true" &&
canWriteToLocation(selectedItem) &&
!gExtensionsView.hasAttribute("update-operation");
<....>
после фикса соответствующей строчки кнопочка действительно включилась. Заодно проверил, может ли удалить - не может, т.е. делает вид что удалило (но оно и понятно - проверку-то обманули просит перезапустить, а потом говорит что установило снова.
В общем, прав, возможность нужна, спор можно заканчивать.
---
А разгадка одна - безблагодатность

yroslavasako

Защищать от падения в воду должны перила, несмотря на то,что через них обычно можно перелететь.
ты, видимо, не замечаешь отличия компьютерной системы от реальной жизни. В настоящем перила для моста могут быть, либо не быть у всех пользователей, потому их ставят согласно мнению большинства. В случае компьютера каждый человек может сам решить, какой уровень безопасности ему больше подходит. Кто-то ставит NoScript плагин, кто-то не ставит, кто-то удаляет поддержку яваскрипта из браузера. Но каждый решает для себя, и я не понимаю, зачем лишать его возможности выбора. Тем более, что интерфейсные решение проблем безопасности никогда не будут достаточными. Просто люди начнут пользоваться сторонними конечными продуктами, мобильными браузерами, чтобы видеть яваскрипт, мобильным фаром, чтобы видеть скрытые файлы и расширения файлов. Список этих глупостей и интерфейсной защиты можно продолжать долго - но лично мне понятно, что защита на уровне интерфейса никогда не работает. И я до сих пор недоумеваю как это может быть кому-то непонятно. Может быть контрпример поможет мне?

Ivan8209

> Недостаточная защита - бессмысленна.
Ты опять говоришь про защиту спасжилета, но никому, кроме
профессионалов, она не нужна, а пользователям необходимы перила,
а не только спасжилет, потому что падение в воду хоть и не
приводит к смерти, требует вмешательства спасателей.
Да и просто неприятно.
Более того, профессионалам защита типа перил тоже очень важна,
мне достаточно надписи "не включать," чтобы просто не включать
какой-либо прибор не спросив того, кто повесил эту табличку.
Ещё я не могу просто так взять и удалить некоторые пакеты, мне
надо предпринять простые, но дополнительные усилия, и это сделано
потому, что восстановление достаточно нетривиально. И лично мне
проще повесить защиту "не включать," чем совершенствоваться в
восстановлении из резервной копии или учить kauth.
> Я не понимаю зачем вообще запрещать, например тот же JS.
Это вообще не вопрос или вопрос не мне, зачем ты его задал?
Есть тысячи мелких причин, почему надо ставить предупреждающие
таблички и легко обходимые ограждения. Ни одна из них не
является принципиальной, но это их не отменяет.
> Зачем ограничивать людей, которые знают что делают, из-за
> немногих идиотов?
Если ты знаешь, что делаешь, то ты знаешь, как обойти защиту.
Если ты не знаешь, как обойти защиту, ты не знаешь, что делаешь.
> Безопасность любой системы измеряется безопасностью самого
> незазищённого элемента, все остальные значения не имеют.
Падение с невысокого моста в мелкую воду к смерти не приводит,
но это нисколько не означает, что оно приятно. Отсутствие
света на лестнице тоже не приводит к смертельному исходу, тебе
никто не мешает щупать дорогу перед собой, чтобы не споткнуться
о ступеньки. Отсутствие таблички "Окрашено" совсем не защищает
скамейку от порчи краски.
> Излишне неудобная система сама провоцирует пользователя на
> нарушение соглашений безопасности. Быть может введение
> дополнительного слоя безопасности в Висте
Причём здесь это? Система безопасности всегда неудобна:
каску, обвязку, спасжилет --- все они стесняют движение.
Я не использую упомянутую "Висту," мне твой пример ни о чём не
говорит. Если она тебе не нравится, не используй её.
---
"This user is BSD-compliant."

yroslavasako

Причём здесь это? Система безопасности всегда неудобна:
каску, обвязку, спасжилет --- все они стесняют движение.
ты только что сам поминал перила, на которые удобно опираться при пеших прогулках. Не помнишь дальше 5 минут?

yroslavasako

Ты опять говоришь про защиту спасжилета, но никому, кроме
профессионалов, она не нужна, а пользователям необходимы перила,
а не только спасжилет, потому что падение в воду хоть и не
приводит к смерти, требует вмешательства спасателей.
достал говорить аллегориями, я так и не понял что ты хотел сказать. Но сразу поясню, что я говорю про защиту системы от пользователей, а не юзверей от самих себя. Системный администратор настраивает систему, а не пользователей, а мы говорим про круг его задач.

yroslavasako

Более того, профессионалам защита ... тоже очень важна,
разумеется. Я вот даже noscript сам себе поставил. Но это был мой выбор, мой осознанный выбор. И я не хотел бы его лишиться. Потому что события могут повернуться так, что мне захочется работать при иных настройках.

yroslavasako

Есть тысячи мелких причин, почему надо ставить предупреждающие таблички
именно. Но их всегда можно игнорировать. Точно так же как и рекомендации по поведению себя в сети. Но не как глупые ограничения интерфейса, из-за которых приходится этот интерфейс менять на менее проработанный, но более честный

yroslavasako

Я не использую упомянутую "Висту," мне твой пример ни о чём не говорит.
я тоже. Но я регулярно читаю этот раздел и успел заметить множество обсуждений указанной проблемы

yroslavasako

Это вообще не вопрос или вопрос не мне, зачем ты его задал?
это был единственный пример того, что необходимо запрещать административными методами и вмешательством в интерфейс. Буду рад если мне подскажут хоть один интересный пример. Потому что по прежнему нахожусь в поисках контраргументов той теории безопасности, которую я успел изложить

yroslavasako

а патчей для отключения этой фичи (невозможность анинсталла) нет?

Ivan8209

> ты, видимо, не замечаешь отличия компьютерной системы от
> реальной жизни.
Да никак она не отличается от реальной жизни.
Точно так же есть область для тех, кто читает документацию
раньше использования, и для тех, кто хочет результат прямо
сейчас и сразу. Удалить или перезаписать файл несложно, но
все, за исключением некоторых радикалов, сходятся во мнении,
что по умолчанию надо запрашивать подтверждение деструктивных
операций. Даже у профессионалов, которые знают, что делают.
> Просто люди начнут пользоваться сторонними конечными
> продуктами, мобильными браузерами, чтобы видеть яваскрипт,
> мобильным фаром, чтобы видеть скрытые файлы и расширения
> файлов. Список этих глупостей и интерфейсной защиты можно
> продолжать долго - но лично мне понятно, что защита на уровне
> интерфейса никогда не работает.
Она работает. Она не работает только для некоторых умников,
которые знают только как сломать, но не как вернуть.
Сам видел таких, кто знал про атрибуты файлов и как их снять
с помощью "Norton Commander", после чего с лёгким сердцем
удаляли IBMBIO.COM и IBMDOS.COM.
> И я до сих пор недоумеваю как это может быть кому-то непонятно.
> Может быть контрпример поможет мне?
Если ты принадлежишь к фанатам принципа "вы просили --- получите,"
никакой пример тебе не поможет.
---
"Narrowness of experience leads to narrowness of imagination."

kruzer25

Сам видел таких, кто знал про атрибуты файлов и как их снять
с помощью "Norton Commander", после чего с лёгким сердцем
удаляли IBMBIO.COM и IBMDOS.COM
Без этих файлов система работать не будет. По идее, было бы неплохо пользователю вообще запретить менять системные файлы; чтобы вместо папки WINDOWS был один большой скрытый раздел, на который штатными средствами зайти нельзя было бы.
А вот без дополнений файрфокс работать будет. Дополнения - они на то и дополнения, дополнительная функциональность. Если винда не даёт мне удалить какую-то user-space программу, которую я сам (или кто-то другой) поставил, которая есть в списке установленных программ, но для которой нет кнопки "удалить" - это относится к кривой "защите" (а я предположу, что это и не защита даже, а баг).

Ivan8209

> Но не как глупые ограничения интерфейса
По-твоему, левая резьба на баллоне просто так делается?
---
"Унивеpситет pазвивает все способности, в том числе --- глупость."

Ivan8209

> Без этих файлов система работать не будет.
Будет.
---
"Narrowness of experience leads to narrowness of imagination."

kruzer25

Будет
Ну и в чём же тогда проблема?

Ivan8209

Это чудо на следующий день придёт с жалобой, что у него система не грузится.
---
"Narrowness of experience leads to narrowness of imagination."

yroslavasako

Да никак она не отличается от реальной жизни.
а как быть с примером? Я же тебе объяснил, почему рассуждение о перилах не подходит к области софта. Ты вообще читал это?

kruzer25

Это чудо на следующий день придёт с жалобой, что у него система не грузится.
Для тебя что, возможность загружаться не входит в понятие "работать"?

yroslavasako

Удалить или перезаписать файл несложно, но
все, за исключением некоторых радикалов, сходятся во мнении,
что по умолчанию надо запрашивать подтверждение деструктивных
операций.
Две ключевые позиции
1) "все сходятся во мнении" - аддоны в фф добавили специально для тех, кто во мнении не сходится
2) "по умолчанию" - а это вовсе не означает всегда

yroslavasako

"вы просили --- получите,"
что за принцип?

Marusetta

читай внимательнее - я об этом уже написал

yroslavasako

так у тебя патч не работает. Я имел в виду работающий патч. Который позволит нормально работать механизму удаления аддонов. Или все косяки происходят от того, что FF юзает реестр и его нужно перенастроить просто на использование файлов конфигурации?

Ivan8209

> а как быть с примером?
С которым? С екмаскриптом? Он прекрасно опровергает твою точку зрения.
> Я же тебе объяснил, почему рассуждение о перилах не подходит
Подходит.
> к области софта. Ты вообще читал это?
Да, и твоё мнение ошибочно.
Все три пункта, которые не сводятся к утверждению "я не понимаю."
---
"Я знаю правду! Все прежние правды --- прочь!"

yroslavasako

ещё раз. Когда настраиваешь софт, ты настраиваешь его под себя, у каждого пользователя свой конфиг. В реальной жизни они друг с другом должны уживаться, и потому в реальности апплается только один конфиг - результат демократического голосования. Что тут тебе не ясно?

Ivan8209

> Когда настраиваешь софт, ты настраиваешь его под себя
Здесь ошибка. Когда что-либо настраиваешь, ты просто настраиваешь.
Ты можешь выдать пользователю права делать всё, нехай любой чих
скидывает его в воду, а можешь запретить делать опасные действия.
> результат демократического голосования.
Результат демократического голосования в Mozilla --- разрешить
запрещать удаление, в Microsoft --- запретить удаление.
> Что тут тебе не ясно?
---
"Я знаю правду! Все прежние правды --- прочь!"

Marusetta

читай еще внимательнее.
фаерфокс считает, что у него не хватает на это прав
а в какой момент он это определяет - не знаю и сказать не могу
особенно абсурдно данное расширение смотрится в 3.5м фф - ни попользовать, ни удалить

Andbar

А не пофиг? Или у тебя пространства не хватает?
Я не помню, чтобы в лицензионном соглашении на винду было сказано, что я соглашаюсь с тем, что они ставят свои примочки под не принадлежащий им софт... Да ещё небось исходников к этому делу они не предоставляют.

yroslavasako

перила не влекут никакого административного запрета. Перила нужны исключительно для удобства, а это понятие относительное.

Ivan8209

Что я могу сказать? Пожалуйся в техподдержку!
---
"This user is BSD-compliant."

Ivan8209

> перила не влекут никакого административного запрета.
Если человек полезет через перила и свалится вниз, то ему окажут помощь,
но выставят счёт.
> Перила нужны исключительно для удобства
Неверно.
---
"Унивеpситет pазвивает все способности, в том числе --- глупость."

Andbar

если бы топикстартер потрудился назвать номер апдейта, можно было бы его тупо снести... Но пока польза от этой темы нулевая.

serega1604

>А не пофиг? Или у тебя пространства не хватает?
а давай тебе на хард поставим windows 7? тебе же пофиг - у тебя пространства хватает.
ЗЫ. я лично ещё вижу проблему совместимости аддонов - никто же не проверял работоспособность всех существующих аддонов при установке этого.

Viktory-s

если бы топикстартер потрудился назвать номер апдейта
Я то откуда знаю? Я не пользуюсь виндой. :o
Я про это беспрецедентно нахальное событие прочитал на одном линуксовском сайте.
А так мы все ждём от вас решения или ссылку на него. :)

serega1604

>А так мы все ждём от вас решения или ссылку на него. :)
двумя постами выше привёл ссылку на решение.

Viktory-s

двумя постами выше привёл ссылку на решение.
Это решение не подходит для большинства. Знаю людей которые панически боятся что-то менять в реестре и другим это сделать не позволят.
Вот если тоже самое будет делать экзешник или плагин, то да. :)

kruzer25

я лично ещё вижу проблему совместимости аддонов
К чему все эти выдумки?
Всё очень просто. Был установлен левый плагин к твоей программе, что он делает и как работает - никто не знает (мало ли, может быть, действительно бэкдор). Теперь весь вопрос в том, в составе какого обновления был установлен этот плагин.
Если у этого обновления был уровень важности "рекомендуемый" или "необязательный" (если надо было руками поставить галочку для его установки) - вопящие пользователи ССЗБ, надо думать, прежде чем ставить; а МС - молодцы, улучшили совместимость с ФФ. Если же оно ставилось по умолчанию, и галку надо было снимать - то, думаю, кому-то в МС за такое уже оторвали яйца.

serega1604

ога, сначала они заставляют всех производителей железа подписывать их драйвера, потом ставят никого не спросив (ты видел хоть одного пользователя, который поставит лишнюю галочку просто так в каком-нибудь окошке, которое ему венда покажет? поскольку я таких не встречал, то подозреваю что галочку нужно было снимать) аддоны к чужим программам. и все это - во благо глупого пенартура, ибо он не в состоянии сам определить, что ему от железяки под столом требуется.

kruzer25

ты видел хоть одного пользователя, который поставит лишнюю галочку просто так в каком-нибудь окошке, которое ему венда покажет?
Винда при проверке обновлений говорит что-нибудь вроде "доступно 20 обязательных и 5 необязательных обновлений". Если у тебя включено автоматическое обновление - поставятся только эти 20; если ты нажмёшь на кнопку "установить обновления" - поставятся только эти 20; а для установки 5 необязательных надо нажать на кнопку "просмотр доступных обновлений" и проставить галочки. Из моих знакомых так делают все, особо в комментарии не заглядывая.
и все это - во благо глупого пенартура, ибо он не в состоянии сам определить, что ему от железяки под столом требуется.
Ещё раз, для тех, кто в танке.
Если это обновление было необязательным - нет никакой проблемы, Опенсорсники давно известны тем, что разводят жуткую вонь что по поводу, что без.
Если это обновление было обязательным - это полный пиздец; могу предположить, что кто-то в МС, ответственный за это, уже потерял своё место.
С чем именно ты не согласен?
Оставить комментарий
Имя или ник:
Комментарий: