Безопасность браузера - Browser security

Безопасность браузера это применение Интернет-безопасность к веб-браузеры для защиты сетевой данные и Компьютерные системы от нарушения конфиденциальности или вредоносное ПО. Эксплойты безопасности браузеры часто используют JavaScript, иногда с межсайтовый скриптинг (XSS)[1] с дополнительной полезной нагрузкой, используя Adobe Flash.[2] Эксплойты безопасности также могут использовать уязвимости (дыры в безопасности), которые обычно используются во всех браузеры (включая Mozilla Firefox,[3] Гугл Хром,[4] Опера,[5] Microsoft Internet Explorer,[6] и Сафари[7]).

Безопасность

Веб-браузеры могут быть взломаны одним или несколькими из следующих способов:

  • Операционная система взломана, и вредоносная программа считывает / изменяет пространство памяти браузера в привилегированном режиме.[8]
  • В операционной системе есть вредоносная программа, работающая в фоновом режиме, которая читает / изменяет пространство памяти браузера в привилегированном режиме.
  • Исполняемый файл основного браузера можно взломать
  • Компоненты браузера могут быть взломаны
  • Плагины браузера можно взломать
  • Сетевые подключения браузера могут быть перехвачены за пределами устройства[9]

Браузер может не знать ни о каком из вышеуказанных нарушений и может показать пользователю, что установлено безопасное соединение.

Каждый раз, когда браузер связывается с веб-сайтом, этот веб-сайт в рамках этого взаимодействия собирает некоторую информацию о браузере (чтобы обработать форматирование страницы, которая будет доставлена, если ничего другого).[10] Если вредоносный код был вставлен в содержимое веб-сайта или, в худшем случае, если этот веб-сайт был специально разработан для размещения вредоносного кода, то уязвимости, характерные для конкретного браузера, могут позволить этому вредоносному коду запускать процессы в приложении браузера. непреднамеренным образом (и помните, что один из фрагментов информации, который веб-сайт собирает при взаимодействии с браузером, - это идентификатор браузера, позволяющий использовать определенные уязвимости).[11] Как только злоумышленник сможет запускать процессы на компьютере посетителя, использование известных уязвимостей безопасности может позволить злоумышленнику получить привилегированный доступ (если браузер еще не запущен с привилегированным доступом) к «зараженной» системе для выполнения еще большее разнообразие вредоносных процессов и действий на машине или даже во всей сети жертвы.[12]

Нарушения безопасности веб-браузера обычно имеют целью обойти защиту для отображения всплывающая реклама[13] сбор личная информация (PII) для любого интернет-маркетинг или же кража личных данных, отслеживание веб-сайта или же веб-аналитика о пользователе против его воли, использующем такие инструменты, как веб-ошибки, Кликджекинг, Лайкджекинг (куда Facebook с кнопка "Нравится" нацелен),[14][15][16][17] HTTP куки, зомби печенье или же Флэш-куки (Локальные общие объекты или LSO);[2] установка рекламное ПО, вирусы, шпионское ПО Такие как троянские кони (чтобы получить доступ к пользовательским персональные компьютеры через треск ) или другой вредоносное ПО включая онлайн банкинг кража с использованием человек-в-браузере атаки.

Углубленное изучение уязвимостей в веб-браузере Chromium показывает, что неправильная проверка ввода (CWE-20) и неправильный контроль доступа (CWE-284) являются наиболее распространенными первопричинами уязвимостей системы безопасности.[18] Кроме того, среди уязвимостей, изученных во время этого исследования, 106 уязвимостей возникли в Chromium из-за повторного использования или импорта уязвимых версий сторонних библиотек.

Уязвимости в самом программном обеспечении веб-браузера можно свести к минимуму, обновляя программное обеспечение браузера.[19] но этого будет недостаточно, если базовая операционная система скомпрометирована, например, руткитом.[20] Некоторые подкомпоненты браузеров, такие как сценарии, надстройки и файлы cookie.[21][22][23] особенно уязвимы (" запутанная депутатская проблема "), а также требует решения.

Следуя принципу глубокая защита, полностью пропатченный и правильно настроенный браузер может оказаться недостаточным для предотвращения возникновения проблем безопасности, связанных с браузером. Например, руткит может захватывать нажатия клавиш пока кто-то входит на сайт банка или выполняет человек посередине атака путем изменения сетевого трафика, поступающего в веб-браузер и исходящего из него. Перехват DNS или же Подмена DNS может использоваться для получения ложных срабатываний при неправильном вводе названий веб-сайтов или для искажения результатов поиска в популярных поисковых системах. Вредоносное ПО, такое как RSPlug просто изменяет конфигурацию системы, чтобы указать на мошеннические DNS-серверы.

Браузеры могут использовать более безопасные методы сетевое общение чтобы предотвратить некоторые из этих атак:

Защита периметра, как правило, с помощью брандмауэров и использования фильтрация прокси-серверы блокирующие вредоносные веб-сайты и выполняющие антивирусное сканирование любых загружаемых файлов, обычно используются в крупных организациях как передовая практика для блокировки вредоносного сетевого трафика до того, как он достигнет браузера.

Тема безопасности браузеров выросла до такой степени, что порождает создание целых организаций, таких как The Browser Exploitation Framework Project,[24] создание платформ для сбора инструментов для взлома безопасности браузера, якобы для проверки браузеров и сетевых систем на уязвимости.

Плагины и расширения

Хотя и не является частью браузера как такового, браузер плагины и расширения продлить поверхность атаки, выявление уязвимостей в Adobe Flash Player, Adobe (Acrobat) Reader, Плагин Java, и ActiveX которые обычно используются. Исследователи[25] тщательно изучили архитектуру безопасности различных веб-браузеров, в частности тех, которые основаны на принципах plug-and-play. Это исследование выявило 16 распространенных типов уязвимостей и 19 возможных способов их устранения. Вредоносное ПО также может быть реализовано как расширение браузера, например вспомогательный объект браузера в случае Internet Explorer.[26] Браузеры любят Гугл Хром и Mozilla Fire Fox может блокировать небезопасные плагины или предупреждать о них.

Adobe Flash

Основная статья: Локальный общий объект § Вопросы конфиденциальности

Исследование, проведенное в августе 2009 г. Сеть исследований в области социальных наук обнаружили, что 50% веб-сайтов, использующих Flash, также используют файлы cookie Flash, однако политика конфиденциальности редко раскрывает их, а пользовательские элементы управления настройками конфиденциальности отсутствуют.[27] Большинство браузеров тайник а функции удаления истории не влияют на запись Flash Player локальных общих объектов в свой собственный кеш, и сообщество пользователей гораздо меньше осведомлено о существовании и функционировании файлов cookie Flash, чем файлы cookie HTTP.[28] Таким образом, пользователи, удалившие файлы cookie HTTP и очищенные файлы истории браузера и кеши, могут полагать, что они удалили все данные отслеживания со своих компьютеров, в то время как на самом деле история просмотра Flash остается. Помимо ручного удаления, Лучшая конфиденциальность аддон для Firefox может удалять файлы cookie Flash.[2] Adblock Plus может использоваться для фильтрации конкретных угроз[13] и Флэшблок может использоваться, чтобы дать возможность перед тем, как разрешить контент на других надежных сайтах.[29]

Чарли Миллер рекомендуется "не устанавливать Flash"[30] на конференция по компьютерной безопасности CanSecWest. Некоторые другие эксперты по безопасности также рекомендуют либо не устанавливать Adobe Flash Player, либо заблокировать его.[31]

Модель защиты паролем

Содержимое веб-страницы является произвольным и контролируется объектом, владеющим доменом, который отображается в адресной строке. Если HTTPS Затем используется шифрование для защиты от злоумышленников, имеющих доступ к сети, от изменения содержимого страницы в пути. Когда на веб-странице отображается поле пароля, пользователь должен смотреть в адресную строку, чтобы определить, является ли доменное имя в адресной строке правильным местом для отправки пароля.[32] Например, для системы единого входа Google (используемой, например, на youtube.com) пользователь должен всегда проверять, что в адресной строке написано «https://accounts.google.com», прежде чем вводить пароль.

Бескомпромиссный браузер гарантирует правильность адресной строки. Эта гарантия является одной из причин, по которой браузеры обычно отображают предупреждение при входе в полноэкранный режим поверх того места, где обычно находится адресная строка, поэтому полноэкранный веб-сайт не может создать поддельный пользовательский интерфейс браузера с поддельной адресной строкой.[33]

Аппаратный браузер

Были попытки продать аппаратные браузеры, работающие из файловых систем с доступом только для чтения, без возможности записи. Данные не могут быть сохранены на устройстве, и носитель не может быть перезаписан, представляя чистый исполняемый файл при каждой загрузке. Первым таким устройством стал ZeusGard Secure Hardware Browser, выпущенный в конце 2013 года. Сайт ZeusGard не работает с середины 2016 года. Другое устройство, iCloak® Stik от сайт iCloak предоставляет полный Живая ОС который полностью заменяет всю операционную систему компьютера и предлагает два веб-браузера из системы только для чтения. С iCloak они предоставляют браузер Tor для анонимного просмотра, а также обычный браузер Firefox для неанонимного просмотра. Любой незащищенный веб-трафик (например, не использующий https) может по-прежнему подвергаться изменениям посредника или другим манипуляциям на основе сетевого трафика.

LiveCD

LiveCD диски, которые запускают операционную систему из незаписываемого источника, обычно поставляются с веб-браузерами как часть их образа по умолчанию. Если исходный образ LiveCD не содержит вредоносных программ, все используемое программное обеспечение, включая веб-браузер, будет загружаться без вредоносных программ при каждой загрузке образа LiveCD.

Повышение безопасности браузера

Просмотр Интернета как наименьшие привилегии учетная запись пользователя (то есть без прав администратора) ограничивает возможность взлома системы безопасности в веб-браузере от компрометации всей операционной системы.[34]

Internet Explorer 4 а позже позволяет занести в черный список[35][36][37] и внесение в белый список[38][39] из ActiveX элементы управления, надстройки и расширения браузера различными способами.

Internet Explorer 7 добавлен «защищенный режим», технология, которая укрепляет браузер за счет применения функции изолированной программной среды безопасности Виндоус виста называется Обязательный контроль целостности.[40]Гугл Хром обеспечивает песочница для ограничения доступа к веб-странице операционной системы.[41]

Сайты с подозрением на вредоносное ПО сообщили в Google,[42] и подтверждены Google, помечены как хостинг вредоносных программ в некоторых браузерах.[43]

Доступны сторонние расширения и плагины для затвердеть даже новейшие браузеры,[44] и некоторые для старых браузеров и операционных систем. Белый список -программное обеспечение, такое как NoScript может заблокировать JavaScript и Adobe Flash, который используется для большинства атак на конфиденциальность, позволяя пользователям выбирать только сайты, которые они знают, что они безопасны - Adblock Plus также использует белый список фильтрация рекламы правила подписки, хотя и само программное обеспечение, и составители списков фильтрации вызывают разногласия из-за того, что по умолчанию некоторые сайты могут проходить предварительно установленные фильтры.[45] В US-CERT рекомендует заблокировать Вспышка с помощью NoScript.[46]

Расплывание

Современные веб-браузеры подвергаются обширным расплывание для обнаружения уязвимостей. В Хром код Гугл Хром Команда безопасности Chrome постоянно обрабатывает 15 000 ядер.[47] За Microsoft Edge и Internet Explorer, Microsoft провела нечеткое тестирование с 670 машино-годами во время разработки продукта, создав более 400 миллиардов DOM-манипуляций из 1 миллиарда HTML-файлов.[48][47]

Лучшая практика

  • Загрузка чистого программного обеспечения: загрузка из известной чистой ОС с известным чистым веб-браузером.
  • Принять адекватные меры против Уязвимость Cross-Origin Resource Sharing (CORS) (примеры исправлений предоставляются для браузеров на основе WebKit)
  • Предотвращение атак через стороннее программное обеспечение: используйте защищенный веб-браузер или дополнительный режим свободного просмотра.
  • Предотвращение манипуляций с DNS: используйте надежный и безопасный DNS
  • Избегайте эксплойтов на веб-сайтах: используйте подключаемые модули браузера для проверки ссылок, которые обычно встречаются в программах обеспечения безопасности в Интернете.
  • Избегайте вредоносного контента: используйте средства защиты периметра и антивирусное ПО

Смотрите также

Рекомендации

  1. ^ Маоне, Джорджио. «NoScript :: Дополнения для Firefox». Дополнения Mozilla. Фонд Mozilla.
  2. ^ а б c NC (Сеть исследований в области социальных наук ). «BetterPrivacy :: Дополнения для Firefox». Дополнения Mozilla. Фонд Mozilla.[постоянная мертвая ссылка ]
  3. ^ Кейзер, Грег. Уязвимость Firefox 3.5 подтверждена В архиве 28 октября 2010 г. Wayback Machine. Проверено 19 ноября 2010 года.
  4. ^ Мессмер, Эллен и NetworkWorld. "Google Chrome возглавил" грязную дюжину "уязвимых приложений". Проверено 19 ноября 2010 года.
  5. ^ Скиннер, Кэрри-Энн. Opera Plugs "Серьезная" дыра в браузере В архиве 20 мая 2009 г. Wayback Machine. Проверено 19 ноября 2010 года.
  6. ^ Брэдли, Тони. «Пора, наконец, отказаться от Internet Explorer 6» В архиве 15 октября 2012 г. Wayback Machine. Проверено 19 ноября 2010 года.
  7. ^ "Браузер". Mashable. В архиве из оригинала 2 сентября 2011 г.. Получено 2 сентября 2011.
  8. ^ Смит, Дэйв. "Троян Yontoo: новое вредоносное ПО для Mac OS X заражает браузеры Google Chrome, Firefox и Safari через рекламное ПО". IBT Media Inc. В архиве из оригинала 24 марта 2013 г.. Получено 21 марта 2013.
  9. ^ Гудин, Дэн. «Взлом MySQL.com оставляет посетителей уязвимыми для вредоносного ПО». В архиве из оригинала 28 сентября 2011 г.. Получено 26 сентября 2011.
  10. ^ Клинтон Вонг. «HTTP-транзакции». О'Рейли. Архивировано из оригинал 13 июня 2013 г.
  11. ^ «9 способов узнать, что ваш компьютер заражен вредоносным ПО». Архивировано из оригинал 11 ноября 2013 г.
  12. ^ "Официальные документы Symantec Security Response". В архиве из оригинала от 9 июня 2013 г.
  13. ^ а б Палант, Владимир. «Adblock Plus :: Дополнения для Firefox». Дополнения Mozilla. Фонд Mozilla.
  14. ^ «Конфиденциальность Facebook проверена по приглашениям типа« лайк »». CBC Новости. 23 сентября 2010 г. В архиве из оригинала 26 июня 2012 г.. Получено 24 августа 2011.
  15. ^ Альбанезиус, Хлоя (19 августа 2011 г.). «Немецким агентствам запрещено использовать Facebook, кнопка« Нравится »». Журнал ПК. В архиве из оригинала 29 марта 2012 г.. Получено 24 августа 2011.
  16. ^ Маккаллах, Деклан (2 июня 2010 г.). «Кнопка« Нравится »в Facebook привлекает внимание к конфиденциальности». CNET Новости. В архиве из оригинала 5 декабря 2011 г.. Получено 19 декабря 2011.
  17. ^ Розендал, Арнольд (30 ноября 2010 г.). «Facebook отслеживает и отслеживает всех: нравится!». SSRN  1717563.
  18. ^ Santos, J. C. S .; Peruma, A .; Мирахорли, М .; Галстеры, М .; Vidal, J. V .; Сейфия, А. (апрель 2017 г.). «Понимание уязвимостей программного обеспечения, связанных с тактикой архитектурной безопасности: эмпирическое исследование Chromium, PHP и Thunderbird». Международная конференция IEEE по архитектуре программного обеспечения (ICSA), 2017 г.: 69–78. Дои:10.1109 / ICSA.2017.39.
  19. ^ Штат Вермонт. «Атаки на веб-браузер». Архивировано из оригинал 13 февраля 2012 г.. Получено 11 апреля 2012.
  20. ^ «Обзор руткитов Windows» (PDF). Symantec. Архивировано из оригинал (PDF) 16 мая 2013 г.. Получено 20 апреля 2013.
  21. ^ «Атака межсайтового скриптинга». В архиве из оригинала 15 мая 2013 г.. Получено 20 мая 2013.
  22. ^ Ленни Зельцер. «Снижение риска атак на веб-браузер и надстройки». В архиве из оригинала 7 мая 2013 г.. Получено 20 мая 2013.
  23. ^ Дэн Гудин. «Две новые атаки на SSL расшифровывают файлы cookie аутентификации». В архиве из оригинала 15 мая 2013 г.. Получено 20 мая 2013.
  24. ^ "beefproject.com". В архиве из оригинала от 11 августа 2011 г.
  25. ^ Сантос, Джоанна С. С .; Сейфия, Адриана; Коррелло, Тейлор; Гаденканахалли, Смрути; Мирахорли, Мехди (2019). «Ахиллесова пята архитектур программного обеспечения plug-and-play: подход, основанный на теории». Материалы 27-й совместной конференции ACM 2019 года по Европейской конференции по программной инженерии и симпозиума по основам программной инженерии. ESEC / FSE 2019. Нью-Йорк, Нью-Йорк, США: ACM: 671–682. Дои:10.1145/3338906.3338969. ISBN  978-1-4503-5572-8.
  26. ^ «Как создать правило, которое будет блокировать или регистрировать вспомогательные объекты браузера в Symantec Endpoint Protection». Symantec.com. В архиве из оригинала 14 мая 2013 г.. Получено 12 апреля 2012.
  27. ^ «Солтани, Ашкан, Кэнти, Шеннон, Мэйо, Квентин, Томас, Лорен и Хуфнэгл, Крис Джей: файлы cookie Flash и конфиденциальность». 10 августа 2009 г. SSRN  1446862.
  28. ^ «Локальные общие объекты -» файлы cookie Flash"". Электронный информационный центр конфиденциальности. 21 июля 2005 г. В архиве из оригинала 16 апреля 2010 г.. Получено 8 марта 2010.
  29. ^ Чи, Филипп. «Flashblock :: Дополнения для Firefox». Дополнения Mozilla. Фонд Mozilla. Архивировано из оригинал 15 апреля 2013 г.
  30. ^ «Pwn2Own 2010: интервью с Чарли Миллером». 1 марта 2010. Архивировано с оригинал 24 апреля 2011 г.. Получено 27 марта 2010.
  31. ^ «Эксперт считает, что политика Adobe Flash рискованна». 12 ноября 2009 г. В архиве из оригинала 26 апреля 2011 г.. Получено 27 марта 2010.
  32. ^ Джон С. Митчелл. «Модель безопасности браузера» (PDF). В архиве (PDF) из оригинала от 20 июня 2015 г.
  33. ^ «Использование полноэкранного API HTML5 для фишинговых атак» Feross.org ». feross.org. В архиве с оригинала 25 декабря 2017 г.. Получено 7 мая 2018.
  34. ^ «Использование учетной записи с наименее привилегированными правами». Microsoft. В архиве из оригинала 6 марта 2013 г.. Получено 20 апреля 2013.
  35. ^ «Как остановить запуск элемента ActiveX в Internet Explorer». Microsoft. В архиве из оригинала 2 декабря 2014 г.. Получено 22 ноября 2014.
  36. ^ «Записи реестра зон безопасности Internet Explorer для опытных пользователей». Microsoft. В архиве из оригинала 2 декабря 2014 г.. Получено 22 ноября 2014.
  37. ^ «Блокировка устаревшего элемента ActiveX». Microsoft. В архиве из оригинала 29 ноября 2014 г.. Получено 22 ноября 2014.
  38. ^ «Управление надстройками Internet Explorer и обнаружение сбоев». Microsoft. В архиве из оригинала 29 ноября 2014 г.. Получено 22 ноября 2014.
  39. ^ «Как управлять надстройками Internet Explorer в Windows XP с пакетом обновления 2». Microsoft. В архиве из оригинала 2 декабря 2014 г.. Получено 22 ноября 2014.
  40. ^ Мэтью Коновер. «Анализ модели безопасности Windows Vista» (PDF). Symantec Corporation. Архивировано из оригинал (PDF) 16 мая 2008 г.. Получено 8 октября 2007.
  41. ^ «Безопасность браузера: уроки Google Chrome». В архиве из оригинала от 11 ноября 2013 г.
  42. ^ "Сообщить о вредоносном ПО (URL) в Google". В архиве из оригинала 12 сентября 2014 г.
  43. ^ "Безопасный просмотр Google". В архиве из оригинала 14 сентября 2014 г.
  44. ^ «5 способов защитить свой веб-браузер». ZoneAlarm. В архиве из оригинала 7 сентября 2014 г.
  45. ^ "Adblock Plus скоро будет блокировать меньше рекламы - SiliconFilter". Siliconfilter.com. В архиве из оригинала 30 января 2013 г.. Получено 20 апреля 2013.
  46. ^ «Безопасность вашего веб-браузера». В архиве из оригинала 26 марта 2010 г.. Получено 27 марта 2010.
  47. ^ а б Сестерхенн, Эрик; Вевер, Беренд-Ян; Орро, Микеле; Вервье, Маркус (19 сентября 2017 г.). "Белая книга по безопасности браузера" (PDF). X41D SEC GmbH.
  48. ^ «Улучшения безопасности для Microsoft Edge (Microsoft Edge для ИТ-специалистов)». Microsoft. 15 октября 2017 г.. Получено 31 августа 2018.

дальнейшее чтение