Tsurany's blog!

EAsy Money

Velen van jullie kennen de Battlefield serie wel, het is een reeks succesvolle games uitgegeven door EA. Nu vragen jullie je vast af, komt die titel dan ook van de combinatie Easy Money en EA? Jazeker. Ik zal jullie het verhaal vertellen van de totstandkoming van EA's meest recente Battlefield game, Play4Free.

Er was eens een man, zijn naam was Electronic Arts. Zijn vrienden mochten hem EA noemen. Lange tijd stond EA garant voor het succesvol fabriceren van allerhande spelletjes. Naar mate de jaren vorderde werd EA wat slordiger, hij begon wat kleine foutjes te maken en kreeg wat meer haast. Mensen vonden dit niet zo leuk en begonnen soms een beetje 'boe' te roepen. Gelukkig vonden de meeste mensen dit geen probleem, zij begrepen dat fouten maken menselijk is en dat haast ook iets is waar je niet al te veel aan kan doen. Zij breven braaf de nieuwe spelletjes kopen. EA vond zelf ook wel dat de kwaliteit wat achteruit ging, echter hij kon zich er moeilijk toe zetten daar wat aan te doen.

EA hield graag van een lekkere douche, hij had een prachtig geldkraantje waaronder hij zichzelf graag verfriste, immers geld stinkt toch helemaal niet? Hoe sneller het geldkraantje begon te stromen hoe opgewekter EA aan zijn nieuwe dag begon en hoe harder EA begon te werken. Er werden steeds meer foutjes gemaakt en er werd steeds meer haast gemaakt.

Op een dag begon het Battlefield kraantje wat minder hard te stromen, dit kraantje was een van de favoriete kraantjes van EA, hij stond hier graag onder en liet het geld lekker op z'n hoofdje kletteren. Als dit kraantje straks niet meer zou lopen zou dat een domper op zijn dag zijn. Hij besloot eens langs te gaan bij zijn Battlefield team voor een gezellig gesprekje.

Eenmaal aangekomen op kantoor hoorde hij al snel dat het team druk bezig was met een nieuw spel, het derde deel van de Battlefield serie. Dit vond EA apart, hij had toch veel meer Battlefield spellen gespeeld? Ja, legde zijn team uit, er zijn wel meer Battlefield spellen maar we bundelen het nu in generaties, die drie is dus de derde generatie. Vonden ze wat makkelijker dan een jaartal, dat legde de druk ook wat lager omdat mensen niet zouden zien dat er een jaartal miste. EA kon zich hier wel in vinden, hij liet zich niet langer afleiden door deze onvolkomenheid en begon zich te richten op het doel van zijn bezoek, hij wilde weer lekker kunnen douchen.

Na een kort gesprek besloot hij eens een gek voorstel te doen. 'Wat als we nu het spel gewoon uitbrengen', opperde EA, dan komt er toch weer veel geld binnen? Mensen hebben al heel veel pre-orders geplaatst, dat is allemaal geld waaronder ik kan douchen. Dit was wat lastig voor het Battlefield team, ze wisten zelf immers wel dat het spel nog niet af was, dat zouden mensen hun toch kwalijk nemen? Ze moesten iets listigs verzinnen, een listige list om tijd te rekken.

'Weet u', opperde een van zijn teamleden, 'waarom maken we niet nog een Play4Free spel?' EA wist dat hij graag de Battlefield Heroes flappen over zich heen liet vallen, dit waren mooie grote flappen, van mensen die geld teveel hadden en kraag mooie virtuele kleertjes droegen. Maar wie ging dit spel dan ontwikkelen? Dat moest toch ook wat kosten? Maar volgens zijn ontwikkelteam was dat geen probleem, ze hadden nog wel wat stukjes code liggen van een van de oude spellen, dat konden ze wel gebruiken. Daar zouden ze wel wat verse code bij stoppen, dan voelde het niet zo gerecycled. Ze zouden gewoon wat dingetjes eruit halen, heel weinig terugstoppen, niemand die dat zou merken.

EA was content, dit zou hem weer een heerlijke ochtenddouche opleveren. Er werden twee mannetjes gekozen en die dingen snel aan de slag om alle oude code samen te proppen en te beperken, immers als er niet veel te doen zou zijn dan moesten mensen toch wel nieuwe dingen kopen?

EA kwam eens langs, hij was wel benieuwd hoe het er voor stond met zijn nieuwe geniale creatie. Het team stond te popelen om het spel te demonstreren. Tijdens deze demonstratie viel EA wel wat dingetjes op, hij vond het maar vreemd dat hij veel geld uit kon geven aan kleding maar dat verder niemand dit zag. Het team wuifde dit bezwaar weg, dat regelden ze over een paar maanden wel, mensen kochten toch wel hoor. EA vond ook de wapenselectie wat karig, dat was toch wat saai? Ook dit was volgens zijn team geen probleem, ze zouden gewoon heel veel wapens van oude spellen omzetten, dat zou maar een paar minuutjes kosten. Als ze dit meteen deden zou iedereen een wapen kiezen en daarmee spelen, ze wilden het juist slim aanpakken. Ze hadden het plan bedacht om elke week een wapen uit te brengen, deze zou net wat beter zijn dan die van de week ervoor of hij zou net een speciale mogelijkheid hebben.

EA vond dit wel prima, zijn douche liep inmiddels weer en hij kon hier erg van genieten. EA vond dit zo fijn, hij wilde toch eens kijken hoe het voor zijn klanten was, zouden die ook zo genieten? EA startte eens het spel op, kocht wat kleding en leuke wapens, dat werkt wel handig zeg, je kocht gewoon wat punten en je kon heel veel dingen kopen. Echter EA zag al snel zijn Battlefunds slinken, dat ging wel erg hard vond hij. Hij had toch pas voor 20 euro aan Battlefunds gekocht?

Hij ging even in de winkel speuren en kwam er al snel achter hoe de vork in de steel zat, om wapens te kopen moest je al ruim 5 euro per stuk uitgeven, dat vond hij toch wel heftig. Ook kleding was erg duur. Hij zag ook dat je kleding en wapens kon huren, dat leek hem wel handig. Tot hij zich plots bedacht dat die kleding nog helemaal niet werkte in het spel, als hij nu elke dag kleding zou huren zou het hem veel geld kosten terwijl niemand hem kon zien.

Hij besloot dit toch eens bij zijn team neer te leggen, kijken wat die er van vonden. De volgende dag stond hij echter zo lekker te douchen dat hij het geheel vergat, zijn team kon lekker hun gang gaan en hij kon elke dag lekker douchen.

In Nederland kennen we het gedoogbeleid als het om cannabis gaat, het is toegestaan cannabis te kopen in een coffeeshop met een maximum van vijf gram per persoon per dag. Het is deze coffeeshops echter niet toegestaan om deze cannabis in te kopen. Dit creëert een vreemde situatie, een coffeeshop houder moet zijn cannabis uit het criminele circuit halen voordat hij het legaal kan verkopen. Waar dit in feite op neerkomt is een situatie waarbij we het gebruik van bepaalde softdrugs toe willen staan en het dus uit de illegaliteit willen halen terwijl we tegelijkertijd verantwoordelijk zijn voor een illegale productie van cannabis en het in stand houden van een crimineel circuit die coffeeshops bevoorraad moet houden.

Laten we eerst even stilstaan bij de totstandkoming van het gedoogbeleid, dit beleid stamt immers al uit 1976 en is sindsdien eigenlijk niet veranderd. Destijds is voor een gedoogbeleid gekozen in plaats van voor legalisatie door de toenmalige minister van justitie, Van Agt. De voorkeur ging destijds wel uit naar legaliseren maar vanwege politieke druk vanuit het buitenland is eerst gekozen voor een gedoogbeleid om later mogelijk legalisering in te voeren.

Er werd echter geen duidelijk beleid opgesteld met betrekking tot de inkoop en verkoop van cannabis. Als gevolg hiervan ontstonden vele honderden coffeeshops die niet volgens een duidelijk beleid hoefden te werken. Pas in 1991 werden landelijke richtlijnen voor coffeeshops ingevoerd. De politiek liep dus al jaren achter de feiten aan en door een gebrek aan beleidsvoering was het al direct na het gedoogbeleid de controle over de coffeeshops volledig kwijt.

In de eerste jaren van de coffeeshops werd cannabis nog geïmporteerd uit landen buiten Europa, criminele organisaties vervulden de rol van importeur omdat er geen enkel beleid was voor coffeeshops om op legale manier aan cannabis te komen. Begin jaren '90 was de opkomst van de Nederwiet, een cannabisplant die op Nederlandse bodem gekweekt werd. De kwaliteit van deze cannabis was vele malen lager dan die van geïmporteerd cannabis, echter doordat de cannabisplant een erg gemakkelijke plant was om te kweken was hij favoriet bij studenten van de Wageningse Landbouwuniversiteit. Deze studenten slaagden er in om het THC gehalte (de werkzame stof in cannabis) vele malen te verhogen waardoor de kwaliteit van Nederwiet ver boven die van geïmporteerd cannabis kwam te liggen.

Als gevolg hiervan richtte criminele organisaties zich niet meer op het importeren van cannabis maar het op eigen bodem verbouwen van Nederwiet. De politiek faalde echter weer doordat ook hier geen enkel beleid werd opgericht met betrekking tot het verbouwen van cannabis, nog steeds was het illegaal om zelf op grote schaal cannabis te verbouwen maar er was voor coffeeshops geen enkel alternatief om aan cannabis te komen dan het criminele circuit.

Kortom, de overheid heeft door gebrek aan beleid criminaliteit in de hand gewerkt, juist wanneer het zelf de controle had moeten nemen over cannabisproductie. Er zijn jaren lang vele miljarden uitgegeven aan het bestrijden van cannabiscriminaliteit terwijl er voor coffeeshops geen alternatief is gekomen om cannabis in te kopen.
De exacte cijfers van de kosten voor bestrijding van cannabiscriminaliteit zijn erg lastig te achterhalen. De brede heroverwegingswerkgroep Veiligheid en Terrorisme [1] heeft het over een jaarlijkse besparing op politiekosten van 160 miljoen euro indien cannabisteelt volledig wordt gelegaliseerd. Echter indien het telen van cannabis gelegaliseerd word betekent het ook dat het door legitieme bedrijven geteeld zal worden en in tegenstelling tot criminele organisaties betalen legitieme bedrijven keurig belasting, wat nog een extra inkomstenbron zal opleveren.

Een interessant punt wat vaak genoemd wordt is dat legalisering ook extra verslaving met zich mee zou brengen. Echter je zou kunnen stellen dat cannabis nu ook al volledig gelegaliseerd is voor zover het de burger betreft, hij kan legaal zijn cannabis kopen en het zowel thuis als in coffeeshops nuttigen. Het enige wat de burger nu tegenhoud is zijn eigen behoefte, als hij graag cannabis wilt gebruiken is er verder niemand die hem tegen houd, het komt volledig aan op eigen wil. Feitelijk zal er voor de burger alleen een positieve veranderen optreden, cannabis wordt goedkoper en de kwaliteit zal veel consistenter zijn omdat door legalisatie uitgebreide kwaliteitscontroles gehouden kunnen worden en de kwaliteit van cannabis gewaarborgd kan worden.

Een ander vaak genoemd punt is dat cannabis schadelijk is voor de gezondheid. Dat valt niet te ontkennen, cannabis heeft inderdaad een negatief effect op de gezondheid van de gebruiker. Een onderzoek uit Nieuw-Zeeland [2] heeft aangetoond dat het roken van joints de kans op kanker aanzienlijk vergroot, meer dan bij het roken van sigaretten in dezelfde aantallen. Aangezien het roken van joints de meest gebruikte vorm van cannabis is kan er dus gesteld worden dat cannabis schadelijk is voor de gezondheid. Er zou dus, net als bij tabak, een heffing moeten plaats vinden op cannabis om de kosten van de gezondheidszorg te dekken. Daarnaast zouden mensen bewust gemaakt moeten worden van de schade die cannabis roken kan veroorzaken.

Nu komen we aan bij een zeer belangrijk punt, vrijheid. Horen mensen niet de vrijheid te hebben om cannabis te gebruiken? Iedereen ambitieert om vrij te zijn, vrij om zelf keuzes te maken en een eigen leven te leiden. Zou zelfdestructie dan niet de ultieme vorm van vrijheid zijn? Iedereen weet inmiddels dat roken ongezond is, dat veel drinken ongezond is en dat een gebrek aan beweging ongezond is, toch worden mensen niet gedwongen om te stoppen met roken en drinken en worden mensen ook niet gedwongen tot een regime van ochtendgymnastiek. Waarom zou dit met cannabis dan anders zijn? Waarom zouden mensen niet mogen genieten van de deugden die cannabis met zich mee brengt wetende dat het uiteindelijk gewoon ongezond is?

Voor mij is het een simpele kwestie, het legaliseren van cannabis bespaart een hoop geld, levert een betere controle op over die kwaliteit van de cannabis en zet veel criminele organisaties buitenspel. Mensen kunnen zelf bepalen of ze wel of geen cannabis gebruiken, daar hebben ze de overheid niet voor nodig.
 
[1] http://www.inosar.com/documenten/102/VeiligheidenTerrorisme/
[2] http://www.ersj.org.uk/content/31/2/280.full

Note: Was een opdracht voor Professioneel Schrijven, kregen helaas geen leuker onderwerp.

Volgens veel Tweakers is het niet mogelijk dat speakerkabels grote invloed op het geluid kunnen hebben. Recentelijk heb ik de mogelijkheid gekregen wat kabels door te meten en te kijken wat de verschillen daartussen zijn en dat was nogal een schokkende uitkomst. Ik heb vier verschillende kabels genomen, hierop dezelfde bron aangesloten en vier verschillende kabels gebruikt waaraan een zeer gevoelige Oscilloscope hangt die de technische universiteit gebruikt om gehoorapparaten te ontwikkelen.

De groene lijn is de standaard Gamma kabel die ik ook gebruik om mijn lampen aan te sluiten. Deze kabel is al enkele maanden gebruikt maar onlangs vervangen.
De paarse lijn is ook een Gamma kabel maar is geen stroomkabel maar een aardedraad, wel nieuw.
De oranje lijn is een König ofc luidsprekerkabel die ik op rol gekocht heb bij de lokale audioboer.
De lichtblauwe lijn is een Monster kabel die ik te leen heb van een vriend.



Er zijn dus vrij schokkende verschillen te zien in de metingen, de kabels waren allemaal van dezelfde lengte maar presteren toch overduidelijk verschillend. Vooral op lage frequenties is het goed te merken, echter aangezien deze frequentie voornamelijk door subwoofers geregeld wordt is dit geen groot probleem, voor subwoofers gebruik je natuurlijk nooit gewone speakerkabel, dat zou onzinnig zijn. Op hogere frequenties presteren de kabels allemaal verschillend maar er zit wel een vergelijkbaar patroon in, echter is het dus enorm onzinnig om te zeggen dat speakerkabels geen invloed hebben op geluid, als het meetbaar is dan moet het ook hoorbaar zijn natuurlijk.

Update: Dit artikel was dus overduidelijk niet serieus bedoelt

Hoofddoekjes en boxershorts, wat hebben die twee met elkaar te maken? Nou dat zal ik u eens uitleggen. Kijk, tegenwoordig mag je gewoon steeds minder. Niet alleen van de overheid, nee, juist van je medemens. Een hot item is tegenwoordig het hoofddoekje. Het hoofddoekje is tegenwoordig het symbool van de Islam, een geloof waar we in Nederland niet zo happig op zijn. Dat vroeger het dragen van hoofddoekjes in Nederland heel normaal was vergeten we maar even, dat zou het enkel ingewikkeld maken. Net als het voorkomen van hoofddoekjes in het christendom, dat vergeten we ook maar even. Even tussendoor, probeer eens een afbeelding te vinden van de helige maagd Maria zonder hoofddoek, dat gaat niet zo heel gemakkelijk.

Goed, we zijn dus bezig met een kruistocht tegen de hoofddoek. Dat zoiets erg is spreekt voor zich, dat het een vrij belachelijke kruistocht is ook. Immers, zo'n hoofddoek doet toch niemand kwaad? Als ik de supermarkt binnenloop vind ik het geen probleem dat het meisje bij de kaas afdeling een hoofddoek draagt. Oke, het moet geen gifgroene hoofddoek zijn die je van de andere kant van de winkel nog kan verblinden, maar een subtiele hoofddoek heb ik niks op tegen. Het is niet mijn smaak, mooi haar is immers niet lelijk, maar als iemand anders dat graag draagt hoor je mij niet klagen.

Maar wat hebben boxershorts hier mee te maken? Nou moet u weten dat ik vaak later op de dag boodschappen doe, zo'n beetje richting etenstijd. Dan zit ik vaak te denken aan het avondeten, loopt het water al een beetje m'n mond in en krijg ik toch lichte trek. Echter soms kom je dan opeens iets tegen wat de gehele eetlust een beetje weg doet zakken richting voeten, een Hollandse jongen met een spijkerbroek die alleen nog maar omhoog gehouden wordt door z'n pretstok waardoor praktisch z'n hele achterwerk eruit hangt. Gelukkig hebben ze nog wel een boxershort aan, maar daar blijft het dan ook wel bij. Het zijn ook nog eens strakke boxershorts dus elk detail wordt vrolijk geaccentueerd.

Een ranzig beeld om te zien, werklijkwaar, het ontneemt je hele eetlust. Dat je zoiets op straat ziet oke, dat is smerig maar daar doe je niks aan. Echter juist in een supermarkt, waar je je mentaal al voorbereid op het heerlijke avondeten, wil je zoiets gewoon niet tegenkomen. Dan vraag ik me wel af, als we al die moeite die we steken in de kruistocht tegen hoofddoekjes eens zouden steken in de kruistocht tegen extreem laaghangende boxershorts, dan bereiken we toch veel meer? Stel je eens voor, supermarkten waar je rond kan lopen zonder bang te zijn tegen achterwerken aan te moeten kijken, is dat niet iedereen z'n ideaal?

Every modern browser has some kind of privacy mode that, when activated, allows the user to browse the web without leaving a single trace on the local computer. At least, that's how private browsing is marketed in most browsers. The focus of this paper will be on the Firefox browser, this is a very popular browser and was one of the first to include a private browsing mode. Mozilla describes the private browsing feature of their browser as following: "The purpose of private browsing is to put Firefox into a temporary state where no information about the user's browsing session is stored locally." [1] According to this statement, after exiting the temporary private browsing state there shouldn't be a single trace on the local computer that could suggest what content the user accessed while in the private browsing state. Mozilla even claims that "In extreme cases where computers are being shared by many people an hour, for example Internet Cafés, users viewing in Private Browsing mode can be confident that nobody (including the owner of the Internet Café!) will be able to view their browsing history or see details that they've entered into web sites." [1]
The purpose of this paper is to find out exactly how secure private browsing in Firefox really is. Does it indeed cover all the tracks left behind by various websites or is it still possible to identify where the user has been and what he has viewed? To answer this question we must identify where browsing information is stored, what kind of information this is and how it can be retrieved.

When is private browsing used?

With the launch of Firefox 4.0 beta Mozilla started gathering information about how users use their browser. They also analyzed when users enter the private browsing state and how long they stay in this state. The results [2] are interesting. Analysis shows that private browsing is mostly initiated during lunch time, between 11am and 2pm, just after work/school, around 5pm, in the evening at around 9pm and late at night at around 2am. It wasn't recorded what users visited during that time because that would undermine the trust in private browsing, but we can imagine people using private browsing at 2am don't use it for some last minute shopping.
What is more interesting is the use of private browsing during lunch time, by far the biggest spike in the graph. We can assume that during lunchtime employees and students like to visit more personal sites such as webmail or social networking sites. However, using private browsing doesn't prevent employers or network administrators from finding out where their users have been thus defeating the whole purpose of using private browsing.

The Local Environment as a Weakness

First a glance at the obvious way in which the private browsing function can be undermined by the operating system itself. When the user types in a web address in his webbrowser (e.g. wikipedia.org) the request is send to the local resolver, the resolver checks if there is a local cached record and if one exists return the correct value (i.e. the IP address of the website) to the browser. If there is no local cache the resolver forwards the request to a DNS nameserver. After the correct value is returned it is then cached on the local machine by the resolver for future use. This is the first weakness in private browsing, after exiting the private browsing mode the cache on the local machine should be cleared. Failing to clear the cache allows others to simply accessing the DNS cache to find out what websites have been visited at what time by using the TTL (time to live) to calculate how long ago the DNS request was made.

This gets even more interesting if the browser is used on a network that is controlled by a third party (e.g. in an internet cafe or on a corporate network). Of course the user can clear his own local DNS cache (if allowed by the system administrator), but when the browser is used on a third party network there is the possibility that the network administrator logs all the DNS requests made by each machine or the local network could have his own DNS server that caches all the requested web addresses, thus making it easy for an administrator to find out what website has been accessed by which user. Mozilla does warn against this by saying "It is very important that the user understands that this feature enables local privacy on their machine, but that their ISP, corporation, or government will still be able to monitor their activities online."[1] This is contradicting to their first statement, that the owner of the Internet Cafe won't be able to view their browsing history, and the local DNS cache proves that there is no local privacy.

How secure is Firefox?

Assuming, arguendo, that there is no such thing as a local DNS cache, what other traces left behind by Firefox can be used to determine where a user has been during the private browsing state? There are two types of traces to be distinguished, the traces that Firefox itself stores on the local machine and traces that are stored by third party software. Although Mozilla has no direct control over what kind of data is stored by third party software, they can be held accountable for these traces since the software (e.g. Flash or Java) is loaded automatically by the browser, even in the private browsing state.

First we'll be looking at the browser itself, is there actually any data stored by the browser while using private browsing? In older versions of Firefox the security certificates created by websites weren't deleted after a private browsing session [3], thus it was possible to use these certificates to track where a user has been, providing that the websites the user visited actually required the user to accept a certificate.

To find out if Firefox actually stores any kind of data when in private browsing state we must identify which files, if any, are changed by Firefox during private browsing because it is in these files that traces can be left behind. Before starting Firefox the local disk is scanned by a program and every file and it's relevant metadata (creation time, file size, last time modified,..) are stored in a database. Then Firefox is started in the private browsing state and a number of popular websites are visited and interacted with, such as logging in or using the websites own search function. After exiting the browser the same scan is repeated and both results are analyzed to find out if files and folders have been created or if there are files that have been altered and to what extent they have been altered during the private browsing session. What we are specifically looking for is changes in temporary internet folders and the Firefox profile folder, where information such as cookies, security certificates and bookmarks are stored.

The results are interesting, there aren't any changes on the disk but a couple of files in the Firefox profile folder appear to have been altered, including the cookies database and the stored passwords database. However, a closer inspection reveals that the content of the files haven't changed during the private browsing session, the files before and after the private browsing session are similar in size and content, only the last modified timestamp has changed on these files.
Now we know that there aren't any files left behind by the browser we must find out if information such as cookies are simply stored in the RAM or if they are temporarily stored on the hard disk but deleted after the private browsing session ends. An analysis of files changed and created while a private browsing session was running revealed that there are some temporary files used by Firefox, however these files did not contain any usable information. Thus we can conclude that all information is kept in the RAM and is not saved to the disk. This means that Firefox in itself can be considered secure since no information is leaked to the local disk and all information is saved in RAM meaning that after shutting down the machine the temporary information is permanently lost.

Can the third party be trusted??

What about third-party software? Do they recognize the private browsing state? The Firefox browser had become very popular for one of its main features, the ability for users to build plug-ins that can be used inside Firefox. There are numerous plug-ins ranging from adblockers to 3D tab management plug-ins. These plug-ins can modify how Firefox work and can save their own data, such is frequently visited sites. But plug-ins like these aren't the only kind of third party software that can be used to enhance the web experience, there is third party software like Adobe Flash and Java which are used in numerous websites to enable graphically rich content or webbased applications in a way that is impossible to do by just using HTML. It is in these tools that another potential security problem lies, if Firefox doesn't disable these plug-ins when entering the private browsing state it is basically giving them the green light to do whatever they please.

The Firefox team realized this single point of failure and as of march 2010 newly submitted and updated plug-ins must adhere to these following guidelines: "If your add-on stores browsing data in any way, it must support PBM. This support cannot be disabled in any way, not even with hidden preferences. If your add-on stores some other type of personal data, support for PBM is optional. What we did with Fire.fm is a good guideline: have a preference “support PBM for the data this add-on handles”, turned on by default." [4] This means that any plug-in that has been submitted after march 2010 or has been updated after march 2010 should not be able to leave traces behind when in private browsing mode.

Popular plug-ins such as Foxtab, a tab manager, and DownThemAll, a download manager, adhere to these guidelines, they do not leave any trace behind of the users whereabouts in the private browsing state. Adobe Flash used to store data during private browsing mode [5] but since version 10.1 they integrated their privacy settings with the browsers own private browsing state: "Additionally, Flash Player separates the local storage used in normal browsing from the local storage used during private browsing. So when you enter private browsing mode, sites that you previously visited will not be able to see information they saved on your computer during normal browsing."[6] As a result, it is no longer possible to find out where a user has been by using the Flash settings to find out stored information on the local computer.
But there is one third party plug-in that still doesn't support the private browsing mode and it's one of the most used plug-ins, Java. Java applets are cached to the local disk even if they are encountered when in the private browsing state, this means that simply browsing through the local Java cache can reveal what websites the user has visited that had Java content on them. Although there are few sites that actually use Java this does demonstrate that plug-ins can still store browser data on the local drive even when the browser is running in the private browsing state.
The only way to be absolutely sure that plug-ins don't store browsing data is to disable them completely during a private browsing session and this should really be the default option in Firefox.

The truth is in the RAM

Thus far we have established that by itself Firefox is secure and that the main weaknesses lie either in the local machine or third party add-ons. But, we established that Firefox can be considered secure since all data is stored inside the RAM and not on the local disk, and we assume the RAM is a secure place to store information. Is it really?

It's possible to analyze the Firefox process with an hex editor to discover what information is stored inside the RAM and to search for specific information we know could be in there. Of course all the currently open pages are stored in the RAM, but what about recently closed pages? Can we still retrieve them? The answer is yes, even pages that are closed can still be recovered from the RAM. Using HxD, a free hex editor, it's possible to find the URLs of closed tabs and the information contained in that tab. To simulate this we must first open some tabs in Firefox and browse to a few example sites, note down a few specific words on that page and then close those tabs. Then we fire up HxD and open firefox.exe from the RAM, we can now search for those words we noted down and locate them inside the process, proving that Firefox keeps closed pages inside its process.

This isn't a surprise of course, why shouldn't that information be kept in the RAM? It can be used to quickly restore closed tabs for example. Things get different, however, if we start using private browsing. This time we enter the private browsing state, browse to some sites and then exit the private browsing state and thereby returning to the 'public' state. We fire up HxD again and search for specific information contained on that site and we can still locate them inside the Firefox process. This means that even after exiting the private browsing state, websites visited during that state remain behind in the process and can be recovered and specific information on those websites can be recovered

So what happens if we just close the entire Firefox process? Can information still be retrieved from the RAM or is it gone after closing the process? An easy way to analyze system RAM is to run Windows in a virtual machine and to create a snapshot from said virtual machine. This way all the contents of the RAM will be saved to disk in a single file, making analysis very easy. We repeat the previous steps, but this time instead of just exiting the private browsing state we quit Firefox and create a snapshot of that virtual machine after Firefox is fully closed. Then we fire up HxD again and analyze the snapshot memory file. We can still find the websites we closed and we can still locate information displayed on those websites, thus proving that even after a private browsing session has been closed and the Firefox process has been closed information regarding that session is still saved in the RAM.

While this could be considered a security flaw, it must at this point be noted that the private browsing function wasn't designed to withstand such attacks and that any technology to prevent this kind of attack should really be considered a bonus feature rather than a necessity. Private browsing was designed to prevent people with basic computing skills to identify your where you have been on the internet, not to keep all browsing behavior obscured from digital forensics experts.

Conclusion

Analysis of the private browsing mode show that Firefox does indeed cover its tracks, Firefox itself doesn't leave behind any information that can be used to easily track a user across the internet. However, there are a few weaknesses that have to be resolved before Firefox private browsing can be considered truly secure. Plug-ins that cannot be trusted should be deactivated when entering the private browsing state by default, only plug-ins that have proven not to leave behind any information should be allowed to remain active during the private browsing state. Secondly, the local DNS cache should be cleared after private browsing, leaving behind information in the DNS cache defeats the whole purpose of private browsing. And last, all information contained in the RAM should be wiped when leaving the private browsing mode.
We can conclude that Firefox private browsing isn't secure, but if you just want to do some late night 'shopping' at 2am there is no reason not to put your trust in the private browsing mode, unless your wife is a forensics expert.


Reacties mogen gewoon in het Nederlands