Browser Security je internetová bezpečnostní aplikace pro webové prohlížeče k ochraně síťových dat a počítačových systémů před narušením soukromí nebo malwarem . Bezpečnostní zneužití prohlížeče často používají JavaScript , někdy cross-site scripting (XSS) [1] s dodatečným zatížením pomocí Adobe Flash . [2] Bezpečnostní exploity mohou také využívat zranitelnosti (bezpečnostní díry), které jsou běžně využívány ve všech prohlížečích (včetně Mozilla Firefox, [3] Google Chrome , [4] Opera , [5] Microsoft Internet Explorer , [6] a Safari [7] ).
Webové prohlížeče lze unést jedním nebo více z následujících způsobů:
Prohlížeč si nemusí být vědom žádného z výše uvedených porušení a může uživateli naznačit, že bylo navázáno zabezpečené připojení.
Kdykoli prohlížeč komunikuje s webovou stránkou, webová stránka shromažďuje některé informace o prohlížeči jako součást této interakce (alespoň pro zpracování formátování stránky, která má být doručena). [10] Pokud byl škodlivý kód vložen do obsahu webové stránky nebo v nejhorším případě, pokud byla tato webová stránka speciálně navržena tak, aby hostila škodlivý kód, pak by zranitelnosti specifické pro prohlížeč mohly umožnit tomuto škodlivému kódu spouštět procesy v prohlížeči. aplikace . neúmyslným způsobem (a mějte na paměti, že jednou z informací, které web shromažďuje při komunikaci s prohlížečem, je identifikace prohlížeče, která umožňuje zneužití určitých zranitelností). [11] Jakmile bude útočník schopen spouštět procesy na počítači oběti, mohlo by zneužití známých bezpečnostních slabin umožnit útočníkovi získat privilegovaný přístup (pokud prohlížeč již neběží s privilegovaným přístupem) k „infikovanému“ systému, aby mohl provést ještě větší rozmanitost škodlivých procesů a akcí na stroji nebo dokonce v celé síti oběti. [12]
Narušení zabezpečení webového prohlížeče se obvykle zaměřuje na obcházení ochrany pro zobrazování vyskakovacích reklam [13] , shromažďování osobních údajů (PII) buď pro online marketing nebo krádež identity, sledování webových stránek nebo analýzu webu o uživateli proti jeho vůli pomocí nástrojů, jako je např. web beacon, Clickjacking , Likejacking (který používá tlačítko To se mi líbí na Facebooku ), [14] [15] [16] [17] HTTP cookies , zombie cookies nebo Flash cookies Flash cookies (Local Shared Objects nebo LSO); [2] instalace adwaru , virů , spywaru , jako jsou trojské koně (k získání přístupu k osobním počítačům uživatelů hackováním ) nebo jiného malwaru , včetně krádeže internetového bankovnictví pomocí útoků Man-in-the-Browser".
Hluboký ponor do zranitelností ve webovém prohlížeči Chromium ukazuje, že nesprávné ověření vstupu (CWE-20) a nesprávná kontrola přístupu (CWE-284) jsou nejčastějšími hlavními příčinami zranitelností zabezpečení. [18] Kromě toho mezi zranitelnostmi studovanými během této studie bylo 106 zranitelností pocházejících z Chromia v důsledku opětovného použití nebo importu zranitelných verzí knihoven třetích stran.
Zranitelnosti v samotném softwaru webového prohlížeče lze minimalizovat udržováním softwaru prohlížeče v aktuálním stavu, [19] to však nebude stačit, pokud je základní operační systém kompromitován, například rootkitem. [20] Některé dílčí součásti prohlížečů, jako jsou skripty, doplňky a soubory cookie, [21] [22] [23] jsou zvláště zranitelné ("problém zamlženého pomocníka") a je třeba je také řešit.
Podle principu ochrany do hloubky nemusí plně opravený a správně nakonfigurovaný prohlížeč stačit k tomu, aby se předešlo problémům se zabezpečením prohlížeče. Rootkit může například zachytit stisky kláves , když někdo vstoupí na bankovní web, nebo provést „útok typu man-in-the- middle “ změnou síťového provozu ve webovém prohlížeči a mimo něj. DNS hijacking nebo DNS spoofing lze použít k vrácení falešných poplachů pro chybně zadané názvy webových stránek nebo ke zkreslení výsledků vyhledávání pro oblíbené vyhledávače. Malware jako RSPlug jednoduše změní konfiguraci systému tak, aby ukazovala na podvodné servery DNS.
Prohlížeče mohou používat bezpečnější síťové techniky, aby zabránily některým z těchto útoků:
Perimetrická ochrana, obvykle pomocí firewallů a filtrovacích proxy serverů , které blokují škodlivé webové stránky a provádějí antivirovou kontrolu jakýchkoli stažených souborů, je běžně implementována jako osvědčený postup ve velkých organizacích k blokování škodlivého síťového provozu předtím, než se dostane do prohlížeče.
Téma zabezpečení prohlížečů se rozrostlo do takové míry, že zplodilo celé organizace, jako je The Browser Exploitation Framework Project [24] , vytvářející platformy pro shromažďování nástrojů k prolomení zabezpečení prohlížeče, údajně ke kontrole zranitelností prohlížečů a síťových systémů.
Ačkoli nejsou součástí samotného prohlížeče, zásuvné moduly a rozšíření prohlížeče zvyšují plochu útoku tím, že odhalují zranitelná místa v aplikacích Adobe Flash Player , Adobe (Acrobat) Reader , Java plugin a ActiveX , které útočníci běžně zneužívají. [25] Výzkumníci pečlivě studovali bezpečnostní architekturu různých webových prohlížečů, zejména těch, které jsou založeny na principech plug-and-play. Tato studie identifikovala 16 běžných typů zranitelností a 19 potenciálních oprav. Malware lze také implementovat jako rozšíření prohlížeče, jako je například pomocný objekt prohlížeče v případě Internet Exploreru. [26] Prohlížeče jako Google Chrome a Mozilla Firefox mohou blokovat nebo varovat uživatele před nebezpečnými pluginy.
Studie Social Science Research Network ze srpna 2009 zjistila, že 50 % webových stránek, které používají Flash, používá také soubory cookie Flash, ale zásady ochrany osobních údajů je zveřejňují jen zřídka a pro nastavení ochrany osobních údajů neexistují žádné uživatelské ovládací prvky. [27] Funkce mazání mezipaměti a historie většiny prohlížečů neovlivňují Flash Player zapisování místních sdílených objektů do vlastní mezipaměti a komunita uživatelů si je mnohem méně vědoma existence a funkce souborů cookie Flash než souborů cookie HTTP. [28] Uživatelé, kteří smazali HTTP cookies a vymazali soubory historie prohlížeče a mezipaměti, se tedy mohou domnívat, že smazali všechna data sledování ze svých počítačů, i když ve skutečnosti historie procházení Flash zůstává. Kromě ručního mazání může doplněk BetterPrivacy pro Firefox odstranit soubory cookie Flash. [2] Adblock Plus lze použít k odfiltrování určitých hrozeb, [13] a Flashblock lze použít k poskytnutí příležitosti před povolením obsahu na jiných důvěryhodných stránkách. [29]
Charlie Miller doporučil „neinstalovat Flash“ na konferenci o počítačové bezpečnosti CanSecWest [30] . Několik dalších bezpečnostních expertů také doporučuje buď neinstalovat Adobe Flash Player, nebo jej zablokovat. [31]
Obsah webové stránky je libovolný a je řízen osobou, která vlastní doménu, jejíž jméno se zobrazuje v adresním řádku. Pokud se používá HTTPS , pak se používá šifrování, aby se zabránilo vetřelcům, kteří mají přístup k síti, upravovat obsah stránky při přenosu. Při prezentaci pole pro heslo na webové stránce se uživatel musí podívat do adresního řádku, aby zjistil, zda je název domény v adresním řádku tím správným místem pro zadání hesla. [32] Například u systému jednotného přihlášení Google (který se používá například na youtube.com) musí uživatel vždy před zadáním svého Heslo.
Nekompromisovaný prohlížeč zajišťuje správnost adresního řádku. Tato záruka je jedním z důvodů, proč prohlížeče obvykle zobrazují varování při přechodu na celou obrazovku nad místem, kde by normálně byl adresní řádek, takže webové stránky na celou obrazovku nemohou vytvořit falešné uživatelské rozhraní prohlížeče s falešným adresním řádkem. [33]
Byly pokusy prodat hardwarové prohlížeče běžící na souborových systémech pouze pro čtení a bez možnosti zápisu. Data nelze uložit do zařízení a média nelze přepsat, při každém načtení se zobrazí prázdný spustitelný soubor. Prvním takovým zařízením byl ZeusGard Secure Hardware Browser, vydaný na konci roku 2013. Webové stránky ZeusGard jsou mimo provoz od poloviny roku 2016. Další zařízení, iCloak® Stik z webu iCloak , poskytuje kompletní Live CD , které zcela nahrazuje celý operační systém počítače a nabízí dva webové prohlížeče ze systému pouze pro čtení. S iCloak poskytují prohlížeč Tor pro anonymní prohlížení a také běžný prohlížeč Firefox pro neanonymní prohlížení. Jakýkoli nezabezpečený webový provoz (například nepoužívající https) může stále podléhat úpravám typu man-in-the-middle nebo jiné manipulaci založené na síťovém provozu.
Živá CD , na kterých je spuštěn operační systém z nezapisovatelného zdroje, se obvykle dodávají s webovými prohlížeči jako součást výchozího obrazu. Pokud původní obraz Live CD neobsahuje malware, veškerý software, který používáte, včetně webového prohlížeče, se načte bez malwaru při každém spuštění obrazu Live CD.
Prohlížení internetu jako uživatelský účet s nejmenšími oprávněními (bez práv správce) omezuje možnost zneužití zabezpečení ve webovém prohlížeči kompromitovat celý operační systém. [34]
Internet Explorer 4 a novější umožňují různými způsoby zadávat [35] [36] [37] a whitelistovat [38] [39] ovládací prvky ActiveX , doplňky a rozšíření prohlížeče.
Internet Explorer 7 přidal „chráněný režim“, technologii, která zvyšuje zabezpečení prohlížeče pomocí funkce karantény zabezpečení systému Windows Vista nazývané povinná kontrola integrity . [40] Google Chrome poskytuje sandbox k omezení přístupu operačního systému k webovým stránkám. [41]
Podezřelé škodlivé stránky hlášené společností Google [42] a potvrzené společností Google jsou v určitých prohlížečích označeny jako hostující malware. [43]
Existují rozšíření a pluginy třetích stran, které chrání i nejnovější prohlížeče [44] a také některé pro starší prohlížeče a operační systémy. Software pro přidávání na seznam povolených, jako je NoScript , může blokovat JavaScript , který se používá pro většinu útoků na soukromí, a umožňuje uživatelům vybrat pouze stránky, o kterých vědí, že jsou bezpečné. Tvůrci seznamů filtrů byli kontroverzní kvůli tomu, že některým webům ve výchozím nastavení umožnili projít předinstalovanými filtry. [45] US-CERT doporučuje blokovat Flash pomocí NoScript. [46]
Moderní webové prohlížeče podléhají rozsáhlému fuzzingu k identifikaci zranitelností. Kód Chromium pro Google Chrome je neustále kontrolován bezpečnostním týmem Chrome s 15 000 jádry. [47] Pro Microsoft Edge a Internet Explorer provedla společnost Microsoft fuzzy testování s použitím 670 strojových let během vývoje produktu a vygenerovala přes 400 miliard DOM manipulací z 1 miliardy HTML souborů. [48] [47]
| Škodlivý software | |
|---|---|
| Infekční malware | |
| Metody skrývání | |
| Malware pro zisk |
|
| Podle operačních systémů |
|
| Ochrana |
|
| Protiopatření |
|