Безопасность браузера

редактировать

Безопасность браузера - это приложение Интернет-безопасности в веб-браузеры, чтобы защитить сетевые данные и компьютерные системы от нарушений конфиденциальности или вредоносных программ. Эксплойты безопасности браузеров часто используют JavaScript, иногда с межсайтовым скриптингом (XSS) с дополнительной полезной нагрузкой с использованием Adobe Flash. Эксплойты безопасности также могут использовать преимущества уязвимостей (дыр в безопасности), которые обычно используются во всех браузерах (включая Mozilla Firefox, Google Chrome, Opera, Microsoft Internet Explorer и Safari ).

Содержание

  • 1 Безопасность
    • 1.1 Плагины и расширения
    • 1.2 Adobe Flash
  • 2 Модель защиты паролем
  • 3 Аппаратный браузер
  • 4 LiveCD
  • 5 Повышение безопасности браузера
  • 6 Фаззинг
  • 7 Передовой опыт
  • 8 См. Также
  • 9 Ссылки
  • 10 Дополнительная литература

Безопасность

Веб-браузеры могут быть взломаны одним или несколькими из следующих способов:

  • Операционная система взломана, и вредоносная программа считывает / изменяет пространство памяти браузера в привилегированном режиме
  • В операционной системе есть вредоносная программа, работающая в фоновом режиме, которая считывает / изменяет пространство памяти браузера в привилегированном режиме
  • Основной исполняемый файл браузера может быть взломан
  • Компоненты браузера могут быть взломаны
  • Подключаемые модули браузера могут быть взломаны
  • Сетевые соединения браузера могут быть перехвачены за пределами машины

браузер может не знать ни о каком из вышеуказанных нарушений и может показать пользователю, что установлено безопасное соединение.

Всякий раз, когда браузер связывается с веб-сайтом, этот веб-сайт, как часть этого взаимодействия, собирает некоторую информацию о браузере (чтобы обработать форматирование страницы, которая будет доставлена, если ничего другого). Если вредоносный код был вставлен в содержимое веб-сайта или, в худшем случае, если этот веб-сайт был специально разработан для размещения вредоносного кода, то уязвимости, характерные для конкретного браузера, могут позволить этому вредоносному коду запускать процессы в приложении браузера. непреднамеренным образом (и помните, что один из фрагментов информации, который веб-сайт собирает при взаимодействии с браузером, - это идентификатор браузера, позволяющий использовать определенные уязвимости). Как только злоумышленник сможет запускать процессы на машине посетителя, использование известных уязвимостей безопасности может позволить злоумышленнику получить привилегированный доступ (если браузер еще не работает с привилегированным доступом) к «зараженной» системе для выполнения еще большее разнообразие вредоносных процессов и действий на машине или даже во всей сети жертвы.

Нарушения безопасности веб-браузера обычно имеют целью обойти защиту для отображения всплывающей рекламы сбора личная информация (PII) для интернет-маркетинга или кражи личных данных, отслеживания веб-сайтов или веб-аналитики о пользователь против своей воли использует такие инструменты, как веб-баги, Clickjacking, Likejacking (где Facebook кнопка «Нравится» ), HTTP-куки, зомби-куки или Flash-куки (локальные общие объекты или LSO); установка рекламного ПО, вирусов, шпионского ПО, например троянских коней (для получения доступа к персональным компьютерам пользователей через взлом ) или другое вредоносное ПО, в том числе онлайн-банкинг кража с использованием атак человек в браузере.

Глубокое исследование уязвимостей в веб-браузере Chromium показывает, что неправильная проверка ввода (CWE-20) и неправильный контроль доступа (CWE-284) являются наиболее частыми первопричинами уязвимостей системы безопасности. Кроме того, среди уязвимостей, изученных во время этого исследования, 106 уязвимостей возникли в Chromium из-за повторного использования или импорта уязвимых версий сторонних библиотек.

Уязвимости в самом программном обеспечении веб-браузера можно минимизировать, обновляя программное обеспечение браузера, но этого будет недостаточно, если базовая операционная система скомпрометирована, например, руткитом. Некоторые подкомпоненты браузеров, такие как сценарии, надстройки и файлы cookie, особенно уязвимы («проблема запутанного заместителя »), и их также необходимо решить.

Следуя принципу глубокой защиты, полностью пропатченный и правильно настроенный браузер может оказаться недостаточным для предотвращения возникновения проблем безопасности, связанных с браузером. Например, руткит может перехватывать нажатия клавиш, когда кто-то входит на сайт банка, или выполнять атаку посредника, изменяя сетевой трафик. в и из веб-браузера. Перехват DNS или Спуфинг DNS могут использоваться для получения ложных срабатываний при неправильном вводе названий веб-сайтов или для искажения результатов поиска популярных поисковых систем. Вредоносное ПО, такое как RSPlug, просто изменяет конфигурацию системы, указывая на несанкционированные DNS-серверы.

Браузеры могут использовать более безопасные методы сетевой связи для предотвращения некоторых из этих атак:

Защита периметра, как правило, через брандмауэры и использование фильтрации прокси Серверы, которые блокируют вредоносные веб-сайты и выполняют антивирусное сканирование любых загружаемых файлов, обычно используются в крупных организациях в качестве передового метода для блокировки вредоносного сетевого трафика до того, как он достигнет браузера.

Тема безопасности браузеров выросла до порождения создания целых организаций, таких как The Browser Exploitation Framework Project, которые создают платформы для сбора инструментов для взлома безопасности браузера, якобы для тестирования браузеров и сети. системы на уязвимости.

Плагины и расширения

Хотя сами по себе плагины и расширения не являются частью браузера, они расширяют зону атаки , обнаруживая уязвимости в Adobe Flash Player, Adobe (Acrobat) Reader, плагине Java и ActiveX, которые часто используются. Исследователи тщательно изучили архитектуру безопасности различных веб-браузеров, в частности тех, которые основаны на принципах plug-and-play. Это исследование выявило 16 распространенных типов уязвимостей и 19 возможных способов их устранения. Вредоносное ПО также может быть реализовано как расширение браузера, например, вспомогательный объект браузера в случае Internet Explorer. Такие браузеры, как Google Chrome и Mozilla Firefox, могут блокировать или предупреждать пользователей о небезопасных подключаемых модулях.

Adobe Flash

Исследование, проведенное в августе 2009 г. Social Science Research Network, показало, что 50% веб-сайтов, использующих Flash, также используют файлы cookie Flash, однако в политике конфиденциальности они редко раскрываются., а пользовательские элементы управления настройками конфиденциальности отсутствовали. Функции удаления кеша и истории большинства браузеров не влияют на запись локальных общих объектов Flash Player в свой собственный кеш, и сообщество пользователей гораздо меньше осведомлено о существовании и функционировании файлов cookie Flash, чем файлы cookie HTTP. Таким образом, пользователи, удалившие файлы cookie HTTP и очищенные файлы истории браузера и кеши, могут полагать, что они удалили все данные отслеживания со своих компьютеров, хотя на самом деле история просмотра Flash остается. Наряду с ручным удалением надстройка для Firefox может удалять файлы cookie Flash. Adblock Plus можно использовать для фильтрации определенных угроз, а Flashblock можно использовать для предоставления опции перед разрешением содержимого на в противном случае доверенные сайты.

Чарли Миллер рекомендовал «не устанавливать Flash» на конференции по компьютерной безопасности. Несколько других экспертов по безопасности также рекомендуют либо не устанавливать Adobe Flash Player, либо блокировать его.

Модель защиты паролем

Содержимое веб-страницы является произвольным и контролируется лицом, владеющим указанным доменом отображается в адресной строке. Если используется HTTPS, то используется шифрование для защиты от злоумышленников, имеющих доступ к сети, от изменения содержимого страницы в пути. Когда на веб-странице отображается поле пароля, пользователь должен смотреть в адресную строку, чтобы определить, является ли доменное имя в адресной строке правильным местом для отправки пароля. Например, для системы единого входа Google (используемой, например, на youtube.com) пользователь должен всегда проверять, что в адресной строке написано «https://accounts.google.com», прежде чем вводить свой пароль.

Бескомпромиссный браузер гарантирует правильность адресной строки. Эта гарантия является одной из причин, почему браузеры обычно отображают предупреждение при переходе в полноэкранный режим поверх того места, где обычно находится адресная строка, так что полноэкранный веб-сайт не может создать поддельный пользовательский интерфейс браузера с поддельной адресной строкой.

Аппаратный браузер

Были попытки продать аппаратные браузеры, работающие из файловых систем с доступом только для чтения, без возможности записи. Данные не могут быть сохранены на устройстве, и носитель не может быть перезаписан, представляя чистый исполняемый файл при каждой загрузке. Первым таким устройством был ZeusGard Secure Hardware Browser, выпущенный в конце 2013 года. Веб-сайт ZeusGard не работал с середины 2016 года. Другое устройство, iCloak® Stik с веб-сайта iCloak, предоставляет полную Live OS, которая полностью заменяет всю операционную систему компьютера и предлагает два веб-браузера из системы только для чтения. С iCloak они предоставляют браузер Tor для анонимного просмотра, а также обычный браузер Firefox для неанонимного просмотра. Любой незащищенный веб-трафик (например, не использующий https) может по-прежнему подвергаться изменению посредником или другим манипуляциям на основе сетевого трафика.

LiveCD

LiveCD, которые запускают операционную систему из незаписываемого источника, обычно поставляются с веб-браузерами как часть их образа по умолчанию. Если исходный образ LiveCD не содержит вредоносных программ, все используемое программное обеспечение, включая веб-браузер, будет загружаться без вредоносных программ каждый раз при загрузке образа LiveCD.

Повышение безопасности браузера

Просмотр Интернета в качестве учетной записи пользователя с минимальными правами (т. Е. Без прав администратора) ограничивает возможность использования уязвимостей безопасности в веб-браузере для компрометации вся операционная система.

Internet Explorer 4 и более поздние версии позволяют различными способами вносить в черный и белый список элементы управления, надстройки и расширения браузера ActiveX.

В Internet Explorer 7 добавлен «защищенный режим», технология, которая укрепляет безопасность браузера за счет применения функции изолированной программной среды Windows Vista под названием Обязательный контроль целостности. Google Chrome предоставляет песочницу для ограничения доступа к веб-странице для операционной системы.

Сайты с подозрением на вредоносное ПО, о которых сообщает Google и которые подтверждены Google, помечаются как содержащие вредоносное ПО в некоторые браузеры.

Существуют сторонние расширения и плагины, доступные для усиления даже последних браузеров, а некоторые - для старых браузеров и операционных систем. Программное обеспечение на основе белого списка, такое как NoScript, может блокировать JavaScript и Adobe Flash, которые используются для большинства атак на конфиденциальность, позволяя пользователям выбирать только сайты, которые, как они знают, безопасны - AdBlock Plus также использует белый список фильтрацию рекламы правила подписки, хотя как само программное обеспечение, так и составители списков фильтрации вызывают разногласия из-за того, что по умолчанию разрешает некоторым сайтам проходить предварительно установленные фильтры. US-CERT рекомендует блокировать Flash с помощью NoScript.

Fuzzing

Современные веб-браузеры подвергаются обширному фаззингу для обнаружения уязвимостей.. Код Chromium в Google Chrome постоянно обрабатывается командой безопасности Chrome с 15 000 ядрами. Для Microsoft Edge и Internet Explorer, Microsoft провела нечеткое тестирование с 670 машинно-годами во время разработки продукта, создав более 400 миллиардов манипуляций с DOM из 1 миллиарда файлов HTML..

Передовой опыт

  • Загрузка чистого программного обеспечения: загрузка из известной чистой ОС с известным чистым веб-браузером
  • Примите адекватные меры против Cross-Origin Resource Sharing (CORS) уязвимость (примеры исправлений предусмотрены для браузеров на основе WebKit)
  • Предотвращение атак через стороннее программное обеспечение: используйте защищенный веб-браузер или надстройку в режиме свободного просмотра
  • Предотвращение манипуляций с DNS: Используйте надежный и безопасный DNS
  • Избегайте эксплойтов на веб-сайтах: используйте подключаемые модули браузера для проверки ссылок, которые обычно встречаются в программах обеспечения безопасности в Интернете
  • Избегайте вредоносного контента: используйте защиту периметра и -вредоносное ПО

См. также

Ссылки

Дополнительная литература

Последняя правка сделана 2021-05-13 14:19:27
Содержание доступно по лицензии CC BY-SA 3.0 (если не указано иное).
Обратная связь: support@alphapedia.ru
Соглашение
О проекте