Browser Security er en internetsikkerhedsapplikation til webbrowsere for at beskytte netværksdata og computersystemer mod brud på privatlivets fred eller malware . Browsersikkerhedsudnyttelser bruger ofte JavaScript , nogle gange cross-site scripting (XSS) [1] med en ekstra nyttelast ved hjælp af Adobe Flash . [2] Sikkerhedsudnyttelser kan også udnytte sårbarheder (sikkerhedshuller), der almindeligvis udnyttes i alle browsere (inklusive Mozilla Firefox , [3] Google Chrome , [4] Opera , [5] Microsoft Internet Explorer , [6] og Safari [ 7 ] ).
Webbrowsere kan kapres på en eller flere af følgende måder:
Browseren er muligvis ikke opmærksom på nogen af ovenstående overtrædelser og kan indikere over for brugeren, at der er etableret en sikker forbindelse.
Når en browser kommunikerer med et websted, indsamler webstedet nogle oplysninger om browseren som en del af denne interaktion (i det mindste for at behandle formateringen af den side, der skal leveres). [10] Hvis ondsindet kode er blevet indsat i indholdet af et websted, eller i værste fald, hvis webstedet er specielt designet til at hoste ondsindet kode, så kan browserspecifikke sårbarheder tillade, at den ondsindede kode starter processer i browseren ansøgning. på en utilsigtet måde (og husk på, at en af de oplysninger, som et websted indsamler, når det kommunikerer med en browser, er identifikation af browseren, som tillader udnyttelse af visse sårbarheder). [11] Når først angriberen er i stand til at køre processer på ofrets computer, kan udnyttelse af kendte sikkerhedssårbarheder give angriberen mulighed for at få privilegeret adgang (hvis browseren ikke allerede kører med privilegeret adgang) til det "inficerede" system for at udføre et endnu større udvalg af ondsindede processer og handlinger på maskinen eller endda i hele offerets netværk. [12]
Sikkerhedsbrud på webbrowsere har typisk til formål at omgå beskyttelsen for at vise pop-up-annoncer [13] , indsamle personlige oplysninger (PII) enten til online markedsføring eller identitetstyveri, webstedssporing eller webanalyse om en bruger mod deres vilje med brug af værktøjer som f.eks. web beacon, Clickjacking , Likejacking (som bruger Facebook Synes godt om knappen ), [14] [15] [16] [17] HTTP cookies , zombie cookies eller Flash cookies Flash cookies (Local Shared Objects eller LSO); [2] installation af adware , vira , spyware såsom trojanske heste (for at få adgang til brugernes personlige computere ved at hacke ) eller anden malware , herunder stjæle internetbank ved hjælp af Man-in-the-Browser- angreb ".
Et dybt dyk ned i sårbarheder i Chromium-webbrowseren viser, at forkert inputvalidering (CWE-20) og forkert adgangskontrol (CWE-284) er de mest almindelige årsager til sikkerhedssårbarheder. [18] Blandt de sårbarheder, der blev undersøgt i løbet af denne undersøgelse, opstod 106 sårbarheder i Chromium på grund af genbrug eller import af sårbare versioner af tredjepartsbiblioteker.
Sårbarheder i selve webbrowsersoftwaren kan minimeres ved at holde browsersoftwaren opdateret, [19] men dette vil ikke være nok, hvis det underliggende operativsystem kompromitteres, for eksempel af et rootkit. [20] Nogle underkomponenter af browsere, såsom scripts, tilføjelser og cookies, [21] [22] [23] er særligt sårbare (det "slørede hjælpeproblem") og skal også løses.
I overensstemmelse med princippet om forsvar i dybden er en fuldt patchet og korrekt konfigureret browser muligvis ikke tilstrækkelig til at forhindre browserrelaterede sikkerhedsproblemer. For eksempel kan et rootkit opsnappe tastetryk , når nogen går ind på et bankwebsted, eller udføre et "man-in-the- midten-angreb " ved at ændre netværkstrafikken ind og ud af en webbrowser. DNS-kapring eller DNS -spoofing kan bruges til at returnere falske positiver for forkert indtastede webstedsnavne eller til at skæve søgeresultater for populære søgemaskiner. Malware som RSPlug ændrer simpelthen systemkonfigurationen til at pege på useriøse DNS-servere.
Browsere kan bruge mere sikre netværksteknikker til at forhindre nogle af disse angreb:
Perimeterbeskyttelse, typisk gennem brug af firewalls og brug af filtrerende proxyer , der blokerer ondsindede websteder og udfører antivirusscanning af alle downloadede filer, er almindeligvis implementeret som en bedste praksis i store organisationer for at blokere ondsindet netværkstrafik, før den når browseren.
Emnet browsersikkerhed er vokset i en sådan grad, at det har affødt hele organisationer, såsom The Browser Exploitation Framework Project [24] , der skaber platforme til at indsamle værktøjer til at knække browsersikkerhed, angiveligt for at tjekke browsere og netværkssystemer for sårbarheder.
Selvom de ikke er en del af selve browseren, øger browser-plugins og -udvidelser angrebsfladen ved at afsløre sårbarheder i Adobe Flash Player , Adobe (Acrobat) Reader , Java - plugin og ActiveX , som almindeligvis udnyttes af angribere. [25] Forskere har omhyggeligt studeret sikkerhedsarkitekturen i forskellige webbrowsere, især dem, der er baseret på plug-and-play-principper. Denne undersøgelse identificerede 16 almindelige typer af sårbarheder og 19 potentielle rettelser. Malware kan også implementeres som en browserudvidelse, såsom et browserhjælpeobjekt i forbindelse med Internet Explorer. [26] Browsere som Google Chrome og Mozilla Firefox kan blokere eller advare brugere om usikre plugins.
En undersøgelse fra august 2009 foretaget af Social Science Research Network viste, at 50 % af websteder, der bruger Flash, også bruger Flash-cookies, men privatlivspolitikker afslører dem sjældent, og der var ingen brugerkontrol til privatlivsindstillinger. [27] De fleste browseres cache- og historiesletningsfunktioner påvirker ikke Flash Player, der skriver lokale delte objekter til sin egen cache, og brugerfællesskabet er meget mindre opmærksom på eksistensen og funktionen af Flash-cookies end HTTP-cookies. [28] Således kan brugere, der har slettet HTTP-cookies og ryddet browserhistorikfiler og caches, tro, at de har slettet alle sporingsdata fra deres computere, mens Flash-browserhistorikken faktisk forbliver. Ud over manuel sletning kan BetterPrivacy-tilføjelsen til Firefox slette Flash-cookies. [2] Adblock Plus kan bruges til at bortfiltrere visse trusler, [13] og Flashblock kan bruges til at give en mulighed, før indhold tillades på andre betroede websteder. [29]
Charlie Miller anbefalede "ikke installere Flash" på CanSecWest computersikkerhedskonferencen [30] . Flere andre sikkerhedseksperter anbefaler også enten ikke at installere Adobe Flash Player eller blokere den. [31]
Indholdet af websiden er vilkårligt og kontrolleres af den person, der ejer domænet, hvis navn vises i adresselinjen. Hvis HTTPS bruges , bruges kryptering til at forhindre ubudne gæster, der har adgang til netværket, i at ændre indholdet på siden under transit. Når du præsenterer et adgangskodefelt på en webside, skal brugeren se på adresselinjen for at afgøre, om domænenavnet i adresselinjen er det rigtige sted at indsende adgangskoden. [32] For eksempel, for Googles single sign-on-system (som det f.eks. bruges på youtube.com), skal brugeren altid kontrollere, at adresselinjen siger " https://accounts.google.com" , før han indtaster deres adgangskode.
En kompromisløs browser sikrer, at adresselinjen er korrekt. Denne garanti er en af grundene til, at browsere typisk viser en advarsel, når de går i fuld skærm oven på, hvor adresselinjen normalt ville være, så et fuldskærmswebsted kan ikke oprette en falsk browser-UI med en falsk adresselinje. [33]
Der har været forsøg på at sælge hardwarebrowsere, der kører fra skrivebeskyttede, ikke-skrivbare filsystemer. Data kan ikke gemmes på enheden, og mediet kan ikke overskrives, en tom eksekverbar fil vises hver gang den indlæses. Den første sådan enhed var ZeusGard Secure Hardware Browser, udgivet i slutningen af 2013. ZeusGards hjemmeside har været nede siden midten af 2016. En anden enhed, iCloak® Stik fra iCloak-webstedet , giver en komplet Live CD , der fuldstændig erstatter hele computerens operativsystem og tilbyder to webbrowsere fra et skrivebeskyttet system. Med iCloak leverer de Tor-browseren til anonym browsing, såvel som den almindelige Firefox-browser til ikke-anonym browsing. Enhver usikret webtrafik (for eksempel uden at bruge https) kan stadig være genstand for man-in-the-middle-modifikation eller anden manipulation baseret på netværkstrafik.
Live-cd'er , som kører operativsystemet fra en uskrivelig kilde, leveres normalt med webbrowsere som en del af standardbilledet. Så længe det originale Live CD-billede er fri for malware, vil al software, du bruger, inklusive webbrowseren, indlæses uden malware, hver gang du starter Live CD-billedet.
At surfe på internettet som en brugerkonto med de mindste privilegier (ingen administratorrettigheder) begrænser muligheden for en sikkerhedsudnyttelse i en webbrowser til at kompromittere hele operativsystemet. [34]
Internet Explorer 4 og nyere giver dig mulighed for at sortliste [35] [36] [37] og hvidliste [38] [39] ActiveX-kontroller , tilføjelser og browserudvidelser på forskellige måder.
Internet Explorer 7 tilføjede "beskyttet tilstand", en teknologi, der forbedrer browsersikkerheden ved at bruge en Windows Vista -sikkerhedssandkassefunktion kaldet obligatorisk integritetskontrol . [40] Google Chrome har en sandkasse til at begrænse adgangen til websider af operativsystemet. [41]
Mistænkte ondsindede websteder rapporteret af Google [42] og bekræftet af Google er markeret som hosting af malware i visse browsere. [43]
Der er tredjepartsudvidelser og plugins til at beskytte selv de nyeste browsere, [44] såvel som nogle til ældre browsere og operativsystemer. Hvidlistesoftware som NoScript kan blokere JavaScript , som bruges til de fleste privatlivsangreb, så brugere kun kan vælge websteder, som de ved er sikre. Filterlisteproducenter har været kontroversielle for at tillade nogle websteder at passere forudinstallerede filtre som standard. [45] US-CERT anbefaler at blokere Flash ved hjælp af NoScript. [46]
Moderne webbrowsere er genstand for omfattende fuzzing for at identificere sårbarheder. Chromium - koden til Google Chrome gennemgås konstant af Chrome-sikkerhedsteamet med 15.000 kerner. [47] For Microsoft Edge og Internet Explorer udførte Microsoft fuzzy test ved hjælp af 670 maskinår under produktudvikling, og genererede over 400 milliarder DOM-manipulationer fra 1 milliard HTML-filer. [48] [47]
| Ondsindet software | |
|---|---|
| Infektiøs malware | |
| Gemme metoder | |
| Malware for profit |
|
| Af operativsystemer |
|
| Beskyttelse | |
| Modforanstaltninger |
|