Еще раз о безопасности веб-браузера (часть 2)

• Еще раз о безопасности веб-браузера (часть 3)
• Еще раз о безопасности веб-браузера (часть 4)
• Еще раз о безопасности веб-браузера (часть 5)
• Еще раз о безопасности веб-браузера (часть 7)

Введение

В части 1 этой серии мы обсудили важность безопасности веб-браузера и некоторые проблемы, связанные с безопасностью, которые являются общими для всех или многих популярных сегодня браузеров. В последующих частях мы рассмотрим каждый из этих браузеров по отдельности и обсудим конкретные механизмы безопасности, встроенные в каждый из них, и то, как они реализованы, а также поговорим о некоторых передовых методах настройки, чтобы сделать каждый из них максимально безопасным.

Поскольку основное внимание на этом сайте мы уделяем продуктам Windows и Microsoft, мы начнем с собственного браузера Microsoft, Internet Explorer.

Безопасность Internet Explorer

Internet Explorer был включен в операционную систему Windows, начиная с Windows 95 (сначала как часть пакета Plus!), и вплоть до Windows 7/IE 8 был неотъемлемой частью операционной системы, которую нельзя было удалить. К сожалению, IE заработал репутацию уязвимости системы безопасности из-за некоторых широко известных эксплойтов. Как браузер с наиболее распространенным использованием, он, естественно, является целью большего количества хакеров и злоумышленников, которые хотят получить максимальную отдачу от затраченных средств.

Плохая репутация Internet Explorer во многом связана с его прошлым, до того как Microsoft стала уделять большое внимание безопасности. В частности, хорошо известно, что IE 6 имеет серьезные недостатки в системе безопасности, и пару лет назад Microsoft запустила кампанию, призывающую пользователей перейти с браузера, который, тем не менее, все еще работает на Windows XP. Хорошая новость заключается в том, что доля рынка тех, кто использует IE 6, сейчас (по состоянию на октябрь 2013 года) составляет менее 5 процентов, согласно статистике Net Applications.

Однако было несколько громких инцидентов, в которых были замешаны и более поздние версии браузеров. В начале 2010 года правительства Германии, Австралии и Франции дошли до того, что рекомендовали своим гражданам перейти на другой браузер после крупной атаки на Google и другие компании, которые использовали уязвимость в безопасности IE 6, 7 и 8. такое же предупреждение появилось еще раз в сентябре 2012 года, после вспышки троянца Poison Ivy, который также использует уязвимость в IE.

Почти каждый месяц во время вторника исправлений Microsoft исправляет еще одну уязвимость в IE. Только в сентябре 2013 года уязвимость нулевого дня во всех поддерживаемых версиях IE, которая, по данным Microsoft, затронула до 70 процентов бизнес-пользователей, активно эксплуатировалась «в дикой природе», и ежемесячный список обновлений безопасности за октябрь включал накопительное обновление для IE. в нем устранены 10 отдельных уязвимостей, в том числе две из разновидностей нулевого дня.

Несмотря на эти и другие инциденты, поскольку он поставляется с Windows и не требует загрузки и установки другого программного обеспечения, IE всегда занимал большую часть рынка и, вероятно, всегда будет. Статистика Netmarketshare.com за сентябрь 2013 года показала, что доля IE (с учетом всех версий) на рынке составляет 55,15 процента.

Примечание:
Вы можете увидеть сильно различающиеся статистические данные из разных источников из-за различий в методологии сбора и представления данных. Одни сайты ходят по уникальным пользователям, другие по количеству просмотров страниц. Некоторые ограничивают географический район сбора. Некоторые собирают данные с большего количества веб-сайтов, чем другие. Некоторые используют опросы или информацию от региональных интернет-провайдеров. Net Market Share использует более 40 000 веб-сайтов по всему миру и подсчитывает уникальных посетителей, а также имеет систему контроля качества для предотвращения мошенничества.

С другой стороны, как упоминалось в части 1, некоторые недавние исследования показали, что IE лучше блокирует вредоносное ПО, чем любой из других основных браузеров. Более поздние тесты показывают, что и IE, и Chrome намного превосходят своих конкурентов Firefox и Safari, когда дело доходит до защиты от вредоносных программ — немного иронично в свете ранее упомянутого опроса Sophos, который показал, что Firefox был самым надежным браузером.

В любом случае статистика использования доказывает, что большинство веб-пользователей считают IE «достаточно безопасным». И Microsoft вложила массу времени, усилий и денег в улучшение безопасности IE на протяжении многих лет. Самой последней версией является IE 11, которая входит в состав обновления Windows 8.1, выпущенного в окончательном виде всего за несколько дней до написания этой статьи. Перед этим выпуском Microsoft организовала программу вознаграждений, приглашая хакеров и исследователей найти уязвимости в системе безопасности в предварительной версии, за которую компания предлагала заплатить до 11 000 долларов за уязвимость.

Начиная с IE 7 в 2006 году, Microsoft встроила механизм безопасности, называемый защищенным режимом, который по умолчанию включен для работы в Интернете. Он был разработан для запуска IE со значительно ограниченными привилегиями и предупреждения пользователей, когда веб-сайт, который они посещали, пытался запустить программы, которые могли бы получить доступ к вашему компьютеру за пределами IE. Это было большим улучшением безопасности, но проблема заключалась в том, что защищенный режим работал только тогда, когда браузер работал в Vista или выше; это не работало в XP, даже если вы установили браузер IE 7, потому что это зависело от контроля учетных записей (UAC). Поскольку Vista не была популярна, большинство пользователей и компаний остались с XP и не смогли воспользоваться преимуществами защищенного режима.

В IE 8 также появилась подсветка домена, чтобы показать реальный посещаемый домен, чтобы пользователям было труднее быть обманутыми фишинговыми сайтами. Он представил фильтр SmartScreen, еще один антифишинговый механизм, который анализирует веб-страницы на наличие подозрительных характеристик и проверяет их по списку известных фишинговых сайтов, а также проверяет загруженные файлы. Существует также фильтр межсайтовых сценариев для предотвращения сбора данных от пользователя веб-приложениями.

Диспетчер дополнений позволяет пользователям легко включать и отключать надстройки браузера (плагины) и избавляться от ненужных элементов управления ActiveX. Функции InPrivate Browsing и InPrivate Filtering также появились в IE 8, чтобы предотвратить сохранение конфиденциальных данных браузером и запретить веб-сайтам собирать информацию о других сайтах, которые вы посещаете.

В IE 9 улучшены эти функции, в том числе репутация приложений как часть фильтра SmartScreen и поддержка DEP/NX, ASLR и SEHOP, которые являются механизмами защиты памяти. Предотвращение выполнения данных (DEP) может предотвратить эксплойты, которые хранят исполняемые инструкции в областях памяти, которые должны быть для данных, с помощью переполнения буфера (NX относится к биту «Никогда не выполнять», который разделяет области памяти). Рандомизация адресного пространства (ASLR) также защищает от атак переполнения буфера, предотвращая доступ злоумышленников к определенным функциям в памяти. Он делает это, располагая области программы случайным и непредсказуемым образом. SEHOP (защита структурированного обработчика исключений от перезаписи) проверяет целостность цепочки обработки исключений, чтобы предотвратить использование структурированной обработки исключений.

Важно отметить, что IE 9 недоступен для Windows XP.

В IE 10 и 11 включены некоторые новые функции безопасности, в том числе:

• Расширенный защищенный режим
• ForceASLR
• Атрибут песочницы HTML5

Расширенный защищенный режим продвигает функцию защищенного режима на шаг вперед, чтобы ограничить браузер, чтобы он имел доступ для чтения/записи только тогда, когда это абсолютно необходимо. Процессы диспетчера теперь всегда выполняются как 64-разрядные процессы, если вы используете 64-разрядную версию Windows, что повышает безопасность. Процессы содержимого также выполняются в 64-битных процессах в современной версии IE с пользовательским интерфейсом, но на рабочем столе по умолчанию выполняются как 32-битные процессы для обеспечения совместимости с надстройками. Вы можете включить расширенный защищенный режим в настольной версии в меню «Параметры | Вкладка «Дополнительно », что делает его более безопасным. При работе в Windows 8 расширенный защищенный режим также запускает процесс содержимого в AppContainer, что является новой функцией для изоляции процессов. Вы можете прочитать более подробные сведения о расширенном защищенном режиме здесь.

ForceASLR — это усовершенствование ASLR, представленное в IE 7, которое теперь рандомизирует расположение модулей, которые браузер загружает в память. Он интегрирован в ядро Windows 8, и когда вы устанавливаете IE 10 в Windows 7, он также обновляет эту операционную систему, чтобы поддерживать его.

Атрибут песочницы является новым в HTML5 и поддерживается IE 10 и выше. Когда этот атрибут применяется, изолированное содержимое ограничивается несколькими способами. Плагины отключены, поэтому содержимое ActiveX, Flash или Silverlight не будет работать. Формы и JavaScript также отключены. Теги привязки, которые ссылаются на разные контексты просмотра, не работают, а контенту не разрешено считывать информацию из файлов cookie.

Кроме того, версия IE 10 с «современным пользовательским интерфейсом» имеет ограниченные возможности Flash, позволяя запускать Flash-контент только веб-сайтам из «белого списка», которые были предварительно одобрены Microsoft, поскольку Flash часто становится мишенью для злоумышленников. IE 11 не содержит серьезных обновлений безопасности. Он добавляет поддержку WebCryptoAPI (для IE 11 в Windows 8.1).

Также интересно отметить, что IE 11 также будет поддерживать WebGL. Это интересно из-за предыдущей позиции Microsoft; в 2011 году компания опубликовала документ, в котором утверждалось, что WebGL (который представляет собой API 3D-графики) представляет собой угрозу безопасности. Однако в этой статье было осторожно отмечено, что они не поддерживают WebGL «в его нынешнем виде», поэтому те, кто говорит, что они ранее поклялись никогда не поддерживать его, неверны. На самом деле, представитель Microsoft Дин Хачамович отметил, что сегодняшняя технология WebGL отличается; теперь он включает технологию под названием CORS, которая предотвращает атаки, о которых ранее беспокоилась Microsoft. Команда разработчиков IE 11 также встроила механизмы для проверки содержимого WebGL на наличие подозрительных шаблонов активности.

Резюме

Все механизмы безопасности, которые мы обсуждали, работают вместе, чтобы помочь последним версиям IE обеспечить лучшую безопасность, чем когда-либо. Но то, как вы настраиваете браузер, имеет большое значение. В части 3 мы обсудим лучшие методы настройки и использования, чтобы сделать работу в Internet Explorer более безопасной.

• Еще раз о безопасности веб-браузера (часть 3)
• Еще раз о безопасности веб-браузера (часть 4)
• Еще раз о безопасности веб-браузера (часть 5)
• Еще раз о безопасности веб-браузера (часть 7)