Еще раз о безопасности веб-браузера (часть 6)

• Еще раз о безопасности веб-браузера (часть 2)
• Еще раз о безопасности веб-браузера (часть 3)
• Еще раз о безопасности веб-браузера (часть 4)
• Еще раз о безопасности веб-браузера (часть 5)
• Еще раз о безопасности веб-браузера (часть 7)

Введение

В части 1 этой серии мы обсудили важность безопасности веб-браузера и некоторые проблемы, связанные с безопасностью, которые являются общими для всех или многих популярных сегодня браузеров. Во второй части мы говорили о некоторых конкретных механизмах безопасности, встроенных в Internet Explorer, и о том, как они реализованы. В части 3 мы рассмотрели, как настроить IE для обеспечения максимальной безопасности. В частях 4 и 5 мы рассмотрели, как сделать то же самое с Google Chrome. И особенно в специальных функциях, которые Google предоставляет администраторам предприятий в своем Chrome для бизнеса. В этой, части 6, мы продолжим с некоторыми советами о том, как лучше защитить Mozilla Firefox, а затем в следующий раз завершим ее некоторыми предложениями, касающимися Apple Safari и Opera.

Сравнение альтернатив

В преклонном возрасте 15 лет (по состоянию на апрель 2013 года) Firefox существует уже давно. Несколько лет назад Firefox был любимцем пользователей компьютеров, которые беспокоились о безопасности. Internet Explorer 6 имел плохую репутацию, а альтернатива Mozilla быстро завоевывала долю рынка. Затем появился Chrome, Microsoft удваивала безопасность с каждой последующей версией IE, и бедная лиса постепенно теряла популярность. Статистика зависит от того, к какому источнику вы обращаетесь, но круговая диаграмма NetMarketShare.com показывает, что доля Firefox 25 в ноябре 2013 года составляла всего 10,43 процента, а Chrome — 12,71 процента (версии 30 и 31 вместе взятые). Однако, если вы углубитесь в статистику «Другие» и добавите 3,68 процента Firefox 24, Firefox получит респектабельные 14,11 процента. IE по-прежнему является явным победителем с 48,49% для версий 8, 9 и 10. IE 11, поставляемый с Windows 8.1 и совсем недавно выпущенный для Windows 7, добавляет еще 3,27%.

Защита Firefox

Вывод из приведенной выше статистической информации заключается в том, что Firefox по-прежнему остается популярным браузером, несмотря на некоторые потери за последние несколько лет, поэтому для пользователей, предпочитающих его, важно понимать его настройки безопасности и конкретные шаги для браузера, которые они могут предпринять, чтобы сделать его более безопасный.

Во-первых, давайте посмотрим на встроенные механизмы безопасности в последней версии Firefox. Теперь он включает многие из тех же защитных механизмов, которые впервые были представлены в IE или Chrome. Есть антифишинг и антивредоносное ПО, которые стали стандартом во всех браузерах, а автоматические обновления включены по умолчанию. Firefox также включает политику безопасности контента (CSP), которая защищает от атак межсайтового скриптинга (XSS), с помощью которой администраторы могут настраивать определенные домены, которые браузер может считать безопасными, в качестве источников исполняемых скриптов. Другие скрипты будут игнорироваться. Подробнее об этой функции можно прочитать на веб-сайте Mozilla Developer Network.

Мгновенный идентификатор веб-сайта

Функция, которую Mozilla называет «мгновенным идентификатором веб-сайта», использует цветовое кодирование, чтобы предупредить вас о подозрительных веб-сайтах или идентифицировать сайты, зашифрованные с помощью SSL. «Кнопка идентификации сайта» слева от URL-адреса отображает один из следующих значков сайта, на котором вы находитесь:

• (Значок серого глобуса). Это означает, что соединение с веб-сайтом не зашифровано (или может быть зашифровано только частично). Для сайта не предоставляется идентификационная информация (сертификат). Вы увидите этот значок на большинстве обычных HTTP-сайтов.
• (значок щита). Когда вы переходите на сайт, и значок становится щитом, вы также увидите сообщение о том, что «Firefox заблокировал незащищенное содержимое», и вы можете разрешить или запретить это содержимое. Если вы решите переопределить этот блок, выбрав «Отключить защиту на этой странице» в раскрывающемся списке, это позволит отображать смешанный контент, а значок изменится на следующий в этом списке.
• (оранжевый треугольник с восклицательным знаком). Этот значок является предупреждающим сообщением. Это происходит с сайтами HTTPS, которые только частично зашифрованы, когда отображается смешанный контент (защищенный и незащищенный), и служит напоминанием о том, что, хотя в URL-адресе указано «HTTPS», некоторый контент передается через HTTP и может быть прочитан. или изменены злоумышленниками.
• (Серый замок). Этот значок указывает на сайт HTTPS, который был проверен, поэтому вы знаете, что он имеет действительный цифровой сертификат SSL, выданный центром сертификации (ЦС), таким как Verisign или Thawte. Это также означает, что передача на сайт и с сайта будет зашифрована с помощью SSL. Это гарантирует, что личность владельца сертификата соответствует заявленной. Любой мог купить сертификат, выдающий себя за другого человека или компанию.
• (Зеленый замок). Этот значок указывает на сайт HTTPS, который имеет сертификат расширенной проверки (сертификат EV). Это означает, что не только передача зашифрована, но и личность держателя сертификата была проверена выдавшим ЦС. Это эквивалентно тому, когда вся адресная строка URL-адреса становится зеленой в Internet Explorer, чтобы указать сертификат EV.

Пользовательские настройки безопасности

Браузер Firefox имеет параметры безопасности в графическом интерфейсе, которые можно настроить для управления уровнями безопасности и поведением браузера в отношении действий, связанных с безопасностью. Нажмите «Настройки» на панели инструментов в нижней части окна браузера, а затем выберите значок «Безопасность » (золотой замок) в верхней части диалогового окна «Параметры», как показано на рисунке 1.

фигура 1

Здесь вы обнаружите, что большинство параметров по умолчанию настроены для обеспечения большей безопасности: Firefox будет предупреждать вас, когда сайты пытаются установить надстройки, блокировать сайты с сообщениями об атаках и блокировать иностранные веб-подделки. Мы рекомендуем не изменять эти настройки по умолчанию. Если у вас есть доверенные сайты и вы хотите отказаться от предупреждений с этих сайтов, вы можете создать исключения, введя URL-адрес каждого доверенного веб-сайта и щелкнув Разрешить в диалоговом окне Исключения.

Этот же интерфейс также имеет параметры пароля, и именно здесь вы можете внести изменения для повышения безопасности. По умолчанию Firefox запоминает пароли для сайтов. Более безопасным вариантом было бы снять этот флажок и позволить пользователю вводить пароль каждый раз, когда он/она подключается к сайту.

Если вы решите разрешить Firefox хранить пароли, вы можете добавить немного безопасности, используя мастер-пароль для защиты списка сохраненных паролей. Это включено по умолчанию, но его легко реализовать. Установите флажок, и появится диалоговое окно «Изменить мастер-пароль», как показано на рисунке 2. Здесь вы можете ввести и подтвердить пароль, а «метр качества» покажет, насколько надежный пароль.

фигура 2

К сожалению, поле мастер-пароля ограничено 17 или менее символами, но, комбинируя буквенные, цифровые и символьные символы, вы можете создать надежный пароль в этих пределах. Когда вы установили мастер-пароль, вам нужно будет вводить его для каждого сеанса браузера, прежде чем Firefox будет использовать ваши сохраненные пароли сайтов.

Функции конфиденциальности

Как и в IE и Chrome, Firefox имеет параметры приватного просмотра, чтобы предотвратить сохранение информации об истории просмотров, и функцию «Не отслеживать», позволяющую отказаться от отслеживания, которое выполняется многими веб-сайтами. Однако важно знать, что не все сайты учитывают настройки браузера. Параметры истории и отслеживания настраиваются на вкладке «Конфиденциальность» в диалоговом окне «Параметры».

Также легко вручную очистить недавнюю историю посещенных страниц, которая включает в себя список посещенных сайтов, кэшированные веб-страницы и графику, файлы cookie и настройки сайта. Некоторые пользователи могут не усердно выходить из сайтов, использующих HTTP-аутентификацию, и очистка истории также приведет к выходу из этих активных сайтов. Чтобы очистить историю, просто нажмите оранжевую кнопку Firefox в левом верхнем углу окна браузера и выберите История | Очисть недавнюю историю …

Запретить автоматические подключения

Firefox (как и другие браузеры) иногда автоматически подключается к Интернету для обновления закладок, определений защиты от фишинга и вредоносного ПО и исправлений безопасности, предварительной выборки и других законных целей. Вредоносное ПО также может заставить браузер автоматически подключаться и отправлять информацию злоумышленнику.

В большинстве случаев вы можете запретить различные типы автоматических подключений, хотя это не обязательно желательно с точки зрения безопасности, как в случае проверки обновлений, загрузки и установки. Вы можете остановить автоматическую перезагрузку живых закладок, удалив все свои живые закладки. Если вы не хотите, чтобы браузер периодически подключался к Интернету для перезагрузки домашней страницы, вы можете установить пустую домашнюю страницу.

Firefox по умолчанию обновляет метаданные о каждом из установленных дополнений один раз в день. Вы можете отключить это, выбрав about:config (введите это в адресной строке и нажмите Enter). Найдите extensions.getAddons.cache.enabled и установите значение False. Таким же образом можно отключить предварительную выборку ссылок; в этом случае найдите network.prefetch-next и установите для него значение False.

Некоторые расширения (надстройки/плагины) также будут автоматически подключаться. Вы можете отключить отдельные расширения, следуя инструкциям здесь.

Говоря о надстройках, Mozilla предоставляет надстройку Firefox, которая позволит вам управлять настройками Firefox через групповую политику. Вы должны добавить файл ADM (административный шаблон), чтобы определить ключи реестра, которые будут прочитаны. Вы загружаете файл, определяете предпочтительные настройки и устанавливаете расширение для чтения этих настроек. Вы можете скрыть расширение от пользователей, чтобы они не могли его отключить. Здесь есть ссылка для загрузки файла ADM.

Резюме

В этой шестой части нашей серии статей о безопасности веб-браузеров мы рассмотрели третью из «большой тройки», Mozilla Firefox, и то, как ее можно сделать более безопасной. Мы завершим эту серию статей в части 7, обратившись к двум оставшимся браузерам со значительной долей рынка — Apple Safari и Opera.

• Еще раз о безопасности веб-браузера (часть 2)
• Еще раз о безопасности веб-браузера (часть 3)
• Еще раз о безопасности веб-браузера (часть 4)
• Еще раз о безопасности веб-браузера (часть 5)
• Еще раз о безопасности веб-браузера (часть 7)