Firefox Enterprise, Mozilla sfida Chrome con un browser sotto il controllo dell'azienda

Mozilla ha presentato Firefox Enterprise, una nuova soluzione per le aziende e la Pubblica Amministrazione. L’obiettivo, in questo caso, è consegnare agli amministratori un browser completamente configurabile e personalizzabile nato per proteggere le attività dell’azienda, le informazioni che transitano attraverso le applicazioni Web e l’infrastruttura sottostante.

La novità non consiste semplicemente in una “versione speciale” di Firefox con qualche funzione di sicurezza aggiuntiva: Mozilla propone un browser aziendale con una console di gestione installabile sui server dell’organizzazione, senza dover affidare a un fornitore esterno il controllo delle policy e dei dati.

Firefox dispone da tempo di strumenti destinati agli amministratori IT. Dal 2018, con Firefox 60 e Firefox 60 ESR, Mozilla ha introdotto un sistema di policy aziendali che permette di configurare centralmente il browser tramite le policy di gruppo di Windows o file JSON. L’iniziativa appena promossa è un’evoluzione importante: alla configurazione delle singole installazioni si aggiungono una piattaforma di amministrazione autonoma, controlli sulla circolazione dei dati, integrazione con i sistemi di identità e funzionalità avanzate di protezione.

Firefox Enterprise: perché Mozilla punta sul controllo del browser

Un tempo il browser rappresentava soprattutto lo strumento con cui consultare pagine Internet. Oggi, per molte organizzazioni, costituisce l’interfaccia principale attraverso cui i dipendenti accedono ai servizi aziendali: gestionali, piattaforme CRM, applicazioni SaaS, portali documentali, strumenti di collaborazione e servizi di intelligenza artificiale.

Significa che il browser gestisce continuamente informazioni molto delicate. Al suo interno, ad esempio, transitano cookie di sessione, credenziali di autenticazione, documenti riservati e dati che gli utenti copiano da un’applicazione all’altra. È anche il punto dal quale possono partire caricamenti di file verso servizi non autorizzati.

La caratteristica più interessante di Firefox Enterprise è la possibilità di eseguire la console di amministrazione on-premises, ovvero all’interno dell’infrastruttura controllata dal cliente. Secondo le note ufficiali della versione 158, le aziende possono gestire autonomamente anche servizi come Remote Settings, Sync, raccolta della telemetria, segnalazioni dei crash e distribuzione degli aggiornamenti del browser.

Gli amministratori possono organizzare i dipendenti in unità organizzative, gestire utenti e sessioni, applicare regole alle installazioni del browser e consultare i registri delle attività. La console distingue inoltre i privilegi degli amministratori da quelli dei proprietari dell’istanza e supporta account di servizio per l’accesso programmatico.

Mozilla permette di amministrare oltre 130 criteri di configurazione, compresi quelli relativi a proxy, cookie, estensioni, filtraggio dei siti e modalità HTTPS-Only. Molte modifiche possono entrare in vigore senza riavviare Firefox. Gli amministratori possono anche stabilire che la console centrale costituisca l’unica fonte autorizzata delle policy, ignorando eventuali configurazioni locali.

Come funziona l’autenticazione aziendale e il controllo dei dispositivi

Firefox Enterprise introduce un meccanismo di accesso collegato al sistema di identità aziendale: prima di iniziare a navigare, il dipendente deve autenticarsi tramite il servizio Single Sign-On (SSO) utilizzato dall’impresa.

La compatibilità riguarda i provider di identità che supportano OpenID Connect (OIDC), protocollo di autenticazione costruito sopra OAuth 2.0. In pratica, Firefox può utilizzare il sistema di identità già adottato dall’azienda, mantenendo anche gli eventuali requisiti di autenticazione multifattore.

Un’altra funzione importante riguarda la verifica dello stato di sicurezza del dispositivo, indicata come device posture: Firefox Enterprise raccoglie informazioni sul sistema operativo, sulla cifratura del disco, sulla presenza di software di protezione degli endpoint, sull’appartenenza a un dominio Active Directory, sulle estensioni installate e su alcuni parametri di rete.

Gli amministratori possono utilizzare tali informazioni per impedire l’accesso da postazioni che non rispettano i requisiti stabiliti. Se un dispositivo perde successivamente le condizioni necessarie, Firefox Enterprise può interrompere la sessione dell’utente.

Protezione dei dati direttamente nel browser: come funziona il DLP

Uno degli elementi più significativi della nuova soluzione è il sistema di Data Loss Prevention (DLP) integrato. La funzione permette di applicare restrizioni alle operazioni che potrebbero causare la fuoriuscita di informazioni aziendali.

Gli amministratori possono definire regole specifiche per determinati domini e per azioni come copia e incolla, caricamento e scaricamento di file e stampa delle pagine. Il browser può impedire l’operazione oppure visualizzare un avvertimento personalizzato.

Immaginiamo un dipendente che consulti documenti riservati attraverso un’applicazione interna. Se provasse a trasferirne il contenuto in un servizio Web non approvato, Firefox Enterprise può bloccare l’azione direttamente nell’interfaccia utilizzata.

Il particolare tecnico più interessante è che i controlli DLP integrati operano in locale sul dispositivo: il browser non deve inviare il contenuto a un server remoto per effettuare le verifiche previste dalle proprie regole.

Firefox Enterprise controlla anche l’utilizzo dell’intelligenza artificiale

Il crescente impiego di chatbot e assistenti AI introduce un problema che molte organizzazioni conoscono bene: un dipendente può trasferire informazioni riservate verso un servizio esterno semplicemente incollandole nel campo di un prompt.

Firefox Enterprise affronta il problema combinando policy di accesso, restrizioni sui domini e controlli sulle operazioni effettuate nelle pagine Web. Gli amministratori possono autorizzare determinati servizi AI, limitarne l’utilizzo oppure bloccarli completamente.

La documentazione dedicata al controllo dell’AI chiarisce che le regole possono intervenire nel momento in cui l’utente incolla contenuti, carica documenti oppure scarica informazioni. È inoltre possibile limitare l’accesso delle estensioni ai domini utilizzati dai servizi di intelligenza artificiale.

Un’azienda potrebbe quindi consentire l’utilizzo di un assistente AI approvato dal reparto IT, impedendo al tempo stesso il trasferimento di documenti verso piattaforme non autorizzate.

Lockdown Mode: isolamento dei siti e riduzione della superficie di attacco

Firefox Enterprise 158 introduce una modalità di protezione avanzata, denominata Lockdown Mode, applicabile a siti Web specifici.

Fra le misure disponibili rientra la disattivazione della compilazione JavaScript JIT (Just-In-Time), tecnologia che consente ai motori JavaScript di trasformare il codice in istruzioni macchina ottimizzate durante l’esecuzione.

La compilazione JIT contribuisce alle prestazioni delle applicazioni Web complesse, ma introduce componenti aggiuntivi che possono diventare bersagli di vulnerabilità. Disabilitarla per determinati siti riduce parte della superficie esposta agli attacchi, al prezzo di un possibile peggioramento delle prestazioni.

Lockdown Mode può anche impedire l’utilizzo dei Service Worker, componenti JavaScript che operano separatamente dalla pagina e consentono funzionalità come caching avanzato, richieste di rete intercettate e operazioni offline.

Altre opzioni comprendono il blocco dei downgrade HTTP (misure di protezione meno severe per la protezione dei dati scambiati tra client e server e viceversa) e l’isolamento di un sito in un contenitore dedicato. I contenitori possono essere temporanei: in tal caso, Firefox elimina i relativi dati quando l’utente chiude l’ultima scheda associata.

L’isolamento tramite contenitori contribuisce a separare i dati di navigazione e le sessioni dei siti, ma non deve essere confuso con una macchina virtuale completamente isolata dal sistema operativo.

Firefox Enterprise protegge i dati e semplifica l’accesso alle risorse aziendali

Il nuovo browser per le aziende integra ulteriori strumenti per la protezione dei dati e delle sessioni di lavoro.

Cronologia, credenziali, dati dei moduli e token TLS possono essere cifrati sul disco utilizzando una chiave gestita dalla console aziendale, rendendo più difficile recuperare informazioni riservate copiando il profilo del browser.

Gli amministratori possono inoltre applicare watermark alle pagine riservate, mostrando l’identità dell’utente e l’ora di accesso, bloccare le sessioni tramite Windows Hello o Touch ID e disconnettere da remoto i dispositivi.

Interessante anche Access Connector, che consente di raggiungere applicazioni Web interne attraverso un proxy aziendale, senza installare una VPN tradizionale sul computer.

È una soluzione particolarmente utile negli scenari BYOD (Bring Your Own Device), dove i dipendenti utilizzano dispositivi personali: l’accesso può limitarsi alle risorse Web autorizzate, senza estendere necessariamente la connettività all’intera rete aziendale. Il sistema non sostituisce però una VPN quando occorre accedere ad applicazioni o protocolli non gestibili attraverso il browser.

Che differenza c’è tra Firefox Enterprise, Firefox ESR e il browser tradizionale?

È importante chiarire che Firefox Enterprise non coincide con Firefox ESR (Extended Support Release), il ramo del browser pensato per professionisti e aziende che preferiscono una maggiore stabilità delle funzionalità e un ciclo di aggiornamento differente rispetto alla versione ordinaria.

Firefox ESR permette da tempo agli amministratori di applicare criteri aziendali e distribuire configurazioni mediante Group Policy, Intune e policies.json. Quest’ultimo file può trovarsi nella cartella distribution dell’installazione Firefox oppure, su Linux, nel percorso /etc/firefox/policies.

La documentazione ufficiale Mozilla spiega come utilizzare tale meccanismo; il riferimento aggiornato delle policy elenca le opzioni disponibili.

Firefox Enterprise 158 aggiunge invece una console dedicata, autenticazione obbligatoria tramite identità aziendale, controlli sullo stato dei dispositivi, protezioni DLP, gestione avanzata delle sessioni e servizi amministrativi ospitati dall’organizzazione.

La versione Enterprise elimina inoltre alcune funzionalità tipicamente rivolte ai consumatori, tra cui contenuti sponsorizzati nella pagina Nuova scheda, Firefox VPN, Firefox Relay, avvisi sulle violazioni degli account e suggerimenti di estensioni.

I profili creati con Firefox Enterprise possono essere aperti esclusivamente con Firefox Enterprise, non con Firefox tradizionale. Mozilla disattiva inoltre le connessioni ai servizi propri e di terze parti non necessari in una distribuzione aziendale gestita, senza permetterne la successiva riattivazione.

Disponibilità, costi e requisiti di Firefox Enterprise

Mozilla ha avviato la presentazione commerciale della nuova piattaforma in Europa. Le note di rilascio precisano che Firefox Enterprise 158 è la prima versione del prodotto e che, per utilizzarlo, occorre distribuire la console amministrativa nell’infrastruttura dell’organizzazione.

Le aziende interessate possono consultare la pagina ufficiale di Firefox Enterprise e richiedere informazioni o una dimostrazione.

Mozilla descrive un modello commerciale basato su abbonamento e include nel prodotto il supporto professionale, con canali dedicati e tempi di risposta definiti. Non pubblica però un listino generale utile a stimare il costo di un’eventuale distribuzione aziendale.

Prima di adottare la soluzione, il reparto IT deve valutare i requisiti dell’infrastruttura self-hosted, le procedure di backup delle chiavi utilizzate per la cifratura, la disponibilità dei servizi di gestione, la compatibilità con l’identity provider e l’integrazione con i sistemi di sicurezza esistenti.

Mozilla prepara anche Thunderbird Enterprise

Firefox Enterprise costituisce soltanto il primo passo di un’iniziativa più ampia. Mozilla ha confermato che Thunderbird Enterprise è in fase di sviluppo e che la futura soluzione consentirà di amministrare posta elettronica, calendari e contatti attraverso la stessa console utilizzata per Firefox Enterprise.

L’idea è offrire alle organizzazioni una maggiore continuità amministrativa tra navigazione Web e comunicazioni elettroniche. Il tutto tenendo ferma la possibilità di adottare strumenti indipendenti senza dover rinunciare alle integrazioni con identity provider, MDM, SIEM e tecnologie di protezione già operative.

Firefox Enterprise sposta parte del controllo dal fornitore all’organizzazione. Il successo del progetto di Mozilla, tuttavia, dipenderà dalla maturità della console, dalla facilità di distribuzione, dal costo complessivo di gestione e dalla compatibilità con le applicazioni aziendali.