Mozilla-ontwikkelaars hebben zonder een nieuwe release via het experimentensysteem onder Firefox-gebruikers 76 en Firefox 77-beta een update die het nieuwe mechanisme voor toegangsoverdracht tot opgeslagen wachtwoorden uitschakelt, toegepast op systemen zonder hoofdwachtwoord. Ter herinnering: in Firefox 76 werd voor Windows- en macOS-gebruikers zonder ingesteld hoofdwachtwoord een besturingssysteem-authenticatiedialoog weergegeven om toegang te krijgen tot opgeslagen wachtwoorden in de browser. Na invoer van het systeemwachtwoord wordt toegang tot opgeslagen wachtwoorden verleend voor 5 minuten, waarna het wachtwoord opnieuw moet worden ingevoerd.
De verzamelde telemetrie toonde een abnormaal hoog niveau van problemen bij authenticatie met systeemreferenties bij pogingen om toegang te krijgen tot opgeslagen wachtwoorden in de browser. In 20% van de gevallen konden gebruikers de bevestiging niet doorstaan en kregen zij geen toegang tot hun opgeslagen wachtwoorden. Er zijn twee belangrijke redenen vastgesteld die waarschijnlijk de oorzaak van de problemen zijn:
- Een gebruiker kan zijn of haar systeempreventiewachtwoord vergeten zijn of niet weten, omdat hij of zij een sessie met automatische aanmelding gebruikt.
- Door onvoldoende duidelijke uitleg in het dialoogvenster begrijpt de gebruiker niet dat hij of zij het systeemwachtwoord moet invoeren en probeert in plaats daarvan het wachtwoord van het Firefox-account in te voeren, dat wordt gebruikt voor het synchroniseren van instellingen tussen apparaten.
De oorspronkelijke aanname was dat systeemauthenticatie de referenties zou beschermen tegen nieuwsgierige blikken wanneer de computer onbeheerd achterblijft, als er geen hoofdwachtwoord in de browser is ingesteld. In de praktijk kon echter een groot aantal gebruikers geen toegang krijgen tot hun opgeslagen wachtwoorden. Ontwikkelaars hebben de nieuwe functie tijdelijk uitgeschakeld en zijn van plan om de implementatie te herzien. Ze zijn van plan om een duidelijkere omschrijving toe te voegen over de noodzaak om systeemreferenties in te voeren en om de dialoog voor configuraties met automatische aanmelding uit te schakelen.
Bron: opennet.ru
