A Browser Security egy internetes biztonsági alkalmazás a webböngészők számára, amely megvédi a hálózati adatokat és a számítógépes rendszereket az adatvédelem megsértésével vagy rosszindulatú programokkal szemben . A böngésző biztonsági kizsákmányolásai gyakran JavaScriptet használnak , esetenként XSS- t (XSS) [1] , és az Adobe Flash használatával egy további hasznos adatot . [2] A biztonsági kizsákmányolások olyan sebezhetőségeket (biztonsági lyukakat) is kihasználhatnak, amelyeket általában minden böngészőben (beleértve a Mozilla Firefoxot , [3] Google Chrome -ot , [4] Opera -t , [5] Microsoft Internet Explorert , [6] és Safarit [7 ] használnak ki. ] ).
A webböngészőket a következő módok közül egy vagy több módon lehet feltörni:
Előfordulhat, hogy a böngésző nem ismeri a fenti jogsértéseket, és jelezheti a felhasználónak, hogy biztonságos kapcsolat jött létre.
Amikor egy böngésző kommunikál egy webhellyel, a webhely az interakció részeként bizonyos információkat gyűjt a böngészőről (legalábbis a megjelenítendő oldal formázásának feldolgozásához). [10] Ha rosszindulatú kódot illesztenek be egy webhely tartalmába, vagy a legrosszabb esetben, ha a webhelyet kifejezetten rosszindulatú kód tárolására tervezték, akkor a böngésző-specifikus biztonsági rések lehetővé tehetik, hogy a rosszindulatú kód folyamatokat indítson el a böngészőben. alkalmazás . nem szándékos módon (és ne feledje, hogy az egyik információ, amelyet a webhely gyűjt a böngészővel való kommunikáció során, a böngésző azonosítása, amely lehetővé teszi bizonyos sérülékenységek kihasználását). [11] Amint a támadó képes folyamatokat futtatni az áldozat számítógépén, az ismert biztonsági rések kihasználása lehetővé teheti a támadó számára, hogy privilegizált hozzáférést kapjon (ha a böngésző még nem fut kiváltságos hozzáféréssel) a „fertőzött” rendszerhez, hogy végrehajthassa. a rosszindulatú folyamatok és műveletek még szélesebb választéka a gépen vagy akár az áldozat teljes hálózatán. [12]
A webböngésző biztonsági megsértésének célja általában a védelem megkerülése a pop-up hirdetések [13] megjelenítése, a személyes adatok (PII) online marketing vagy személyazonosság-lopás céljából történő gyűjtése , a webhelyek nyomon követése vagy a felhasználó akarata ellenére végzett webelemzés céljából olyan eszközök használatával, mint a web beacon, Clickjacking , Likejacking (amely a Facebook Like gombját használja ), [14] [15] [16] [17] HTTP cookie , zombie cookie vagy Flash cookie Flash cookie (Local Shared Objects vagy LSO); [2] Reklámprogramok , vírusok , kémprogramok , például trójai programok (a felhasználók személyi számítógépeihez való hackeléssel való hozzáférés érdekében ) vagy más rosszindulatú programok telepítése , beleértve az internetes banki szolgáltatások ellopását Man -in-the-Browser támadásokkal".
A Chromium webböngésző sebezhetőségeinek mélyreható vizsgálata azt mutatja, hogy a hibás bevitel-ellenőrzés (CWE-20) és a helytelen hozzáférés-vezérlés (CWE-284) a biztonsági rések leggyakoribb kiváltó oka. [18] Ezenkívül a tanulmány során vizsgált sebezhetőségek közül 106 sebezhetőség származott a Chromiumból, harmadik féltől származó könyvtárak sebezhető verzióinak újrafelhasználása vagy importálása miatt.
Magának a webböngésző szoftvernek a sebezhetősége minimálisra csökkenthető a böngészőszoftver naprakészen tartásával [19] , de ez nem lesz elegendő, ha az alapul szolgáló operációs rendszert például egy rootkit veszélyezteti. [20] A böngészők egyes részösszetevői, mint például a szkriptek, kiegészítők és cookie-k [21] [22] [23] különösen sérülékenyek (az „elhomályosodott segítő probléma”), és ezeket is kezelni kell.
A mélyreható védelem elvét követve egy teljesen javított és megfelelően konfigurált böngésző nem biztos, hogy elegendő a böngészővel kapcsolatos biztonsági problémák megelőzésére. Például egy rootkit képes elkapni a billentyűleütéseket , amikor valaki belép egy banki webhelyre, vagy "man-in-the-midd " támadást hajthat végre azáltal, hogy megváltoztatja a hálózati forgalmat a webböngészőben és onnan kifelé. A DNS-eltérítés vagy a DNS- hamisítás felhasználható arra, hogy hamis pozitív eredményeket adjon vissza rosszul beírt webhelynevekre, vagy torzítsa el a keresési eredményeket a népszerű keresőmotorok számára. A rosszindulatú programok, mint például az RSPlug, egyszerűen megváltoztatják a rendszer konfigurációját, hogy csaló DNS-kiszolgálókra mutassanak.
A böngészők biztonságosabb hálózati technikákat használhatnak az alábbi támadások megelőzésére:
A körzetvédelmet, jellemzően tűzfalak és szűrőproxy - k használatával, amelyek blokkolják a rosszindulatú webhelyeket, és víruskeresőt végeznek a letöltött fájlok esetében, általában bevált gyakorlatként alkalmazzák a nagy szervezetekben a rosszindulatú hálózati forgalom blokkolására, mielőtt az elérné a böngészőt.
A böngészőbiztonság témája olyan mértékben megnőtt, hogy egész szervezeteket szült, mint például a The Browser Exploitation Framework Project [24] , amely platformokat hozott létre a böngészők biztonságának feltörésére szolgáló eszközök összegyűjtésére, látszólag a böngészők és hálózati rendszerek sebezhetőségeinek ellenőrzésére.
Bár nem része a böngészőnek, a böngésző beépülő moduljai és bővítményei növelik a támadási felületet az Adobe Flash Player , az Adobe (Acrobat) Reader , a Java beépülő modul és az ActiveX sebezhetőségeinek feltárásával , amelyeket a támadók gyakran kihasználnak. [25] A kutatók alaposan tanulmányozták a különféle webböngészők biztonsági architektúráját, különösen a plug-and-play elven alapulókat. Ez a tanulmány a sérülékenységek 16 gyakori típusát és 19 lehetséges javítást azonosított. A rosszindulatú program böngészőbővítményként is megvalósítható, például az Internet Explorer esetében böngésző segítő objektumként. [26] Az olyan böngészők, mint a Google Chrome és a Mozilla Firefox blokkolhatják a felhasználókat, vagy figyelmeztethetik a nem biztonságos beépülő modulokat.
A Social Science Research Network 2009. augusztusi tanulmánya megállapította, hogy a Flash-t használó webhelyek 50%-a Flash-cookie-kat is használ, azonban az adatvédelmi irányelvek ritkán teszik közzé ezeket, és nem voltak felhasználói beállítások az adatvédelmi beállításokhoz. [27] A legtöbb böngésző gyorsítótár- és előzménytörlési funkciói nem befolyásolják a Flash Player helyi megosztott objektumokat a saját gyorsítótárába írását, és a felhasználói közösség sokkal kevésbé van tisztában a Flash-cookie-k létezésével és funkciójával, mint a HTTP-sütikével. [28] Így azok a felhasználók, akik törölték a HTTP-cookie-kat és törölték a böngészőelőzmények fájljait és gyorsítótárait, azt hihetik, hogy minden nyomkövetési adatot töröltek számítógépükről, miközben a Flash böngészési előzményei megmaradnak. A manuális törlés mellett a Firefoxhoz készült BetterPrivacy bővítmény törölheti a Flash cookie-kat. [2] Az Adblock Plus segítségével kiszűrhetők bizonyos fenyegetések, [13] a Flashblock pedig lehetőséget ad arra, hogy a tartalmat más megbízható webhelyeken engedélyezze. [29]
Charlie Miller a CanSecWest számítógép-biztonsági konferencián a "ne telepítse a Flash -t" javasolta [30] . Számos más biztonsági szakértő is azt javasolja, hogy ne telepítse az Adobe Flash Playert, vagy blokkolja azt. [31]
A weboldal tartalma tetszőleges, és azt a domain tulajdonosa irányítja, akinek a neve megjelenik a címsorban. Ha HTTPS -t használ , akkor a titkosítás megakadályozza, hogy a hálózathoz hozzáféréssel rendelkező behatolók módosítsák az oldal tartalmát az átvitel során. Amikor jelszómezőt jelenít meg egy weboldalon, a felhasználónak meg kell néznie a címsort, hogy eldöntse, a címsorban lévő domain név a megfelelő hely-e a jelszó elküldéséhez. [32] Például a Google egyszeri bejelentkezési rendszere esetén (például a youtube.com webhelyen) a felhasználónak mindig ellenőriznie kell, hogy a címsoron a „ https://accounts.google.com” felirat szerepel-e, mielőtt beírná a címét. Jelszó.
Egy kompromisszummentes böngésző biztosítja, hogy a címsor helyes legyen. Ez a garancia az egyik oka annak, hogy a böngészők általában figyelmeztetést jelenítenek meg, amikor a teljes képernyőre lépnek azon a helyen, ahol általában a címsor lenne, így a teljes képernyős webhely nem hozhat létre hamis böngészőfelületet hamis címsorral. [33]
Voltak kísérletek olyan hardverböngészők értékesítésére, amelyek csak olvasható, nem írható fájlrendszerekből futnak. Az adatok nem menthetők az eszközre, és az adathordozó nem írható felül, minden betöltésekor egy üres futtatható fájl jelenik meg. Az első ilyen eszköz a ZeusGard Secure Hardware Browser volt, amelyet 2013 végén adtak ki. A ZeusGard webhely 2016 közepe óta nem működik. Egy másik eszköz, az iCloak® Stik az iCloak webhelyről , egy komplett Live CD -t biztosít, amely teljesen felváltja a számítógép teljes operációs rendszerét, és két webböngészőt kínál egy csak olvasható rendszerből. Az iCloak segítségével a Tor böngészőt biztosítják az anonim böngészéshez, valamint a szokásos Firefox böngészőt a nem névtelen böngészéshez. Bármilyen nem biztonságos webes forgalom (például a https használata nélkül) továbbra is a köztes módosításnak vagy a hálózati forgalom alapján történő egyéb manipulációnak van kitéve.
Az operációs rendszert írhatatlan forrásból futtató élő CD -k általában a webböngészőkkel együtt az alapértelmezett képfájl részeként kerülnek szállításra. Mindaddig, amíg az eredeti Live CD lemezkép mentes a rosszindulatú programoktól, minden használt szoftver, beleértve a webböngészőt is, kártevő nélkül töltődik be minden alkalommal, amikor elindítja a Live CD lemezképet.
Az interneten a legkevesebb jogosultsággal rendelkező felhasználói fiókként történő böngészés (rendszergazdai jogok nélkül) korlátozza a webböngésző biztonsági kizsákmányolásának lehetőségét, hogy a teljes operációs rendszert feltörje. [34]
Az Internet Explorer 4 és újabb verziói lehetővé teszik az ActiveX -vezérlők, kiegészítők és böngészőbővítmények tiltólistára [35] [36] [37] és engedélyezőlistára [38] [39] történő felvételét különféle módokon.
Az Internet Explorer 7 hozzáadta a "védett módot", egy olyan technológiát, amely a Windows Vista kötelező integritás-ellenőrzésnek nevezett biztonsági sandbox funkciójával javítja a böngésző biztonságát . [40] A Google Chrome egy homokozót biztosít, amely korlátozza az operációs rendszer hozzáférését a weboldalakhoz. [41]
A Google által [42] jelentett és a Google által megerősített feltételezett rosszindulatú webhelyek bizonyos böngészőkben rosszindulatú programokat tárolnak. [43]
Vannak harmadik féltől származó bővítmények és beépülő modulok, amelyek még a legújabb böngészőket is megvédik [44] , valamint néhányat a régebbi böngészőkhöz és operációs rendszerekhez. Az olyan szoftverek, mint a NoScript , blokkolhatják a JavaScriptet , amelyet a legtöbb adatvédelmi támadáshoz használnak, így a felhasználók csak azokat a webhelyeket választhatják ki, amelyekről tudják, hogy biztonságosak. A szűrőlista-készítők ellentmondásosak voltak amiatt, hogy egyes webhelyek alapértelmezés szerint átengedik az előre telepített szűrőket. [45] Az US-CERT a Flash blokkolását javasolja a NoScript használatával. [46]
A modern webböngészőket a sebezhetőségek azonosítása érdekében kiterjedt fuzzingnak vetik alá. A Google Chrome Chromium kódját a Chrome biztonsági csapata folyamatosan felülvizsgálja 15 000 maggal. [47] A Microsoft Edge és Internet Explorer esetében a Microsoft 670 gépév felhasználásával fuzzy tesztelést végzett a termékfejlesztés során, több mint 400 milliárd DOM-manipulációt generálva 1 milliárd HTML-fájlból. [48] [47]
| Rosszindulatú szoftver | |
|---|---|
| Fertőző rosszindulatú programok | |
| Rejtős módszerek | |
| Malware haszonszerzés céljából |
|
| Operációs rendszerek szerint |
|
| Védelem |
|
| Ellenintézkedések |
|