Mozilla-Entwickler haben ohne die Erstellung eines neuen Releases über das Experimentiersystem unter Firefox 76 und Firefox 77-beta-Nutzern ein Update, das den neuen Mechanismus zur Bestätigung des Zugriffs auf gespeicherte Passwörter deaktiviert, der auf Systemen ohne Master-Passwort verwendet wird. In Firefox 76 wurde für Windows- und macOS-Nutzer ohne installiertes Master-Passwort ein OS-Authentifizierungsdialog angezeigt, der die Eingabe von Systemanmeldedaten erforderte. Nach Eingabe des Systempassworts wird der Zugriff auf die gespeicherten Passwörter für 5 Minuten gewährt, danach muss das Passwort erneut eingegeben werden.
Die gesammelte Telemetrie zeigte ein auffällig hohes Maß an Problemen mit der Authentifizierung unter Verwendung von Systemanmeldedaten beim Versuch, auf gespeicherte Passwörter im Browser zuzugreifen. In 20 % der Fälle konnten die Nutzer die Bestätigung nicht durchlaufen und erhielten keinen Zugang zu ihren gespeicherten Passwörtern. Es wurden zwei Hauptursachen identifiziert, die wahrscheinlich die Quelle der aufgetretenen Probleme sind:
- Der Benutzer kann sich nicht an sein Systempasswort erinnern oder weiß es nicht, da er eine Sitzung mit automatischer Anmeldung verwendet.
- Wegen einer unzureichend klaren Erläuterung im Dialog versteht der Benutzer nicht, dass er das Systempasswort eingeben muss, und versucht, das Passwort für das Firefox-Konto einzugeben, das zur Synchronisierung der Einstellungen zwischen Geräten verwendet wird.
Es wurde angenommen, dass die systembasierte Authentifizierung dazu dient, Anmeldedaten vor fremden Blicken zu schützen, wenn der Computer unbeaufsichtigt bleibt, wenn im Browser kein Master-Passwort eingerichtet ist. In der Realität konnten jedoch viele Benutzer nicht auf ihre gespeicherten Passwörter zugreifen. Die Entwickler haben die neue Funktion vorübergehend deaktiviert und beabsichtigen, die Implementierung zu überarbeiten. Insbesondere planen sie, eine klarere Beschreibung der Notwendigkeit zur Eingabe von Systemanmeldedaten hinzuzufügen und den Dialog für Konfigurationen mit automatischer Anmeldung zu deaktivieren.
Quelle: opennet.ru
