Securitatea navigatorului web este aplicarea securității Internetului la navigatoarele web, pentru a proteja datele conectate la rețea și sistemele informatice de încălcări ale confidențialității sau de malware. Exploatările de securitate ale navigatoarelor web folosesc adesea JavaScript, uneori cu (XSS), cu o sarcină utilă secundară folosind Adobe Flash. Exploatările de securitate pot profita și de vulnerabilități (găuri de securitate) care sunt frecvent exploatate în toate navigatoarele web (inclusiv Google Chrome, Internet Explorer,Bradly, Tony. "It's Time to Finally Drop Internet Explorer 6" . Retrieved 19 November 2010. Mozilla Firefox,Keizer, Greg. Firefox 3.5 Vulnerability Confirmed . Retrieved 19 November 2010. Opera,Skinner, Carrie-Ann. Opera Plugs "Severe" Browser Hole . Retrieved 19 November 2010. și Safari).

Securitate Navigatoarele web pot fi încălcate în unul sau mai multe dintre următoarele moduri:

Sistemul de operare este încălcat și malware-ul citește/modifică spațiul de memorie al navigatorului web în modul privilegiat Sistemul de operare are un malware care rulează ca proces în fundal, care citește/modifică spațiul de memorie al navigatorului web în modul privilegiat Executabilul principal al navigatorului web poate fi piratat Componentele navigatorului web pot fi sparte Plugin-urile navigatorului web pot fi piratate Comunicațiile de rețea ale navigatorului web pot fi interceptate în afara mașinii

Navigatorul web poate să nu fie conștient de niciuna dintre încălcările de mai sus și poate afișa utilizatorului că s-a realizat o conexiune sigură.

Ori de câte ori un navigator web comunică cu un site web, site-ul web, ca parte a acestei comunicări, colectează unele informații despre navigator (pentru a procesa formatarea paginii care urmează să fie livrată, dacă nu altceva). Dacă a fost introdus cod rău intenționat în conținutul site-ului web sau, în cel mai rău caz, dacă acel site web a fost special conceput pentru a găzdui cod rău intenționat, atunci vulnerabilitățile specifice unui anumit browser pot permite acestui cod rău intenționat să execute procese în cadrul aplicației navigatorului web în moduri neintenționate (și rețineți că una dintre informațiile pe care un site web le colectează dintr-o comunicare a navigatorului web este identitatea navigatorului web - permițând exploatarea unor vulnerabilități specifice). Odată ce un atacator este capabil să execute procese pe mașina vizitatorului, atunci exploatarea vulnerabilităților cunoscute de securitate poate permite atacatorului să obțină acces privilegiat (dacă navigatorul web nu rulează deja cu acces privilegiat) la sistemul „infectat” pentru a efectua o varietate și mai mare de procese și activități rău intenționate pe mașină sau chiar pe întreaga rețea a victimei.

Încălcarea securității navigatoarelor web este de obicei în scopul de a ocoli protecțiile pentru a afișa publicitate pop-up colectarea de date personale (PII) fie pentru marketing pe Internet sau furt de identitate, urmărirea site-urilor web sau analiza web despre un utilizator împotriva voinței acestuia folosind instrumente precum bug-uri web, , (unde butonul de like al Facebook este vizat), cookie-uri HTTP, cookie-uri zombi sau cookie-uri Flash (obiecte partajate locale sau LSO); instalarea de adware, viruși, spyware, precum caii troieni (pentru a obține acces la computerele personale ale utilizatorilor prin cracking) sau alt malware, inclusiv furtul de conturi bancare online, folosind atacuri man-in-the-browser.

Un studiu aprofundat al vulnerabilităților din navigatorul web Chromium indică faptul că validarea necorespunzătoare a intrării (CWE-20) și controlul necorespunzător al accesului (CWE-284) sunt cele mai frecvente cauze principale ale vulnerabilităților de securitate. Mai mult, dintre vulnerabilitățile examinate la momentul acestui studiu, 106 vulnerabilități au apărut în Chromium din cauza reutilizării sau importării versiunilor vulnerabile ale bibliotecilor terțe.

Vulnerabilitățile din software-ul în sine al navigatorului web pot fi minimizate prin menținerea actualizată a software-ului navigatorului, dar nu vor fi suficiente dacă sistemul de operare de bază este compromis, de exemplu, de un rootkit. Unele subcomponente ale navigatoarelor, cum ar fi scripturile, add-on-urile și cookie-urile, sunt deosebit de vulnerabile („problema deputatului confuz”) și trebuie abordate și ele.

Urmând principiul apărării în profunzime, un browser complet actualizat și configurat corect poate să nu fie suficient pentru a garanta că nu pot apărea probleme de securitate legate de browser. De exemplu, un rootkit poate captura apăsările de taste în timp ce cineva se conectează la un site web bancar sau poate efectua un atac de tip man-in-the-middle modificând traficul de rețea către și de la un browser web. DNS hijacking-ul sau DNS spoofing-ul poate fi folosit pentru a returna rezultate pozitive false pentru numele de site-uri web scrise greșit sau pentru a submina rezultatele căutării pentru motoarele de căutare populare. Malware-ul precum RSPlug modifică pur și simplu configurația unui sistem pentru a indica servere DNS rău intenționate.

Navigatoarele web pot folosi metode de comunicare în rețea mai sigure pentru a ajuta la prevenirea unor astfel de atacuri:

DNS: și , de exemplu cu servere DNS care nu sunt implicite, cum ar fi Google Public DNS sau OpenDNS. HTTP: HTTP Secure și cu certificate cu cheie publică semnate digital sau certificate cu validare extinsă.

Apărările perimetrale, de obicei prin firewall-uri și utilizarea de servere proxy de filtrare care blochează site-urile web rău intenționate și efectuează scanări antivirus ale oricăror descărcări de fișiere, sunt implementate în mod obișnuit ca o bună practică în organizațiile mari pentru a bloca traficul de rețea rău intenționat înainte de a ajunge la un browser.

Subiectul securității navigatorului web a crescut până la punctul de a genera crearea întregilor organizații, cum ar fi The Browser Exploitation Framework Project, creând platforme pentru a colecta instrumente pentru a încălca securitatea navigatorului web, aparent în scopul de a testa navigatoarele web și sistemele de rețea pentru vulnerabilități.

Plugin-uri și extensii Deși nu fac parte din navigatorului web în sine, plugin-urile și extensiile navigatorului web extind suprafața de atac, expunând vulnerabilități în Adobe Flash Player, Adobe (Acrobat) Reader, plugin-ul Java și care sunt frecvent exploatate. Cercetătorii au studiat pe larg arhitectura de securitate a diferitelor navigatoare web, în special a celor care se bazează pe modele plug-and-play. Acest studiu a identificat 16 tipuri comune de vulnerabilitate și 19 potențiale măsuri de atenuare. Malware-ul poate fi implementat și ca extensie de browser, cum ar fi un obiect de ajutor pentru browser în cazul Internet Explorer. În diferite alte exploit-uri, site-urile web care au fost concepute să pară autentice și includeau pop-up-uri false „actualizează Adobe Flash” concepute ca indicii vizuale pentru a descărca în schimb sarcini utile de malware. Unele navigatoare web, precum Google Chrome și Mozilla Firefox, pot bloca sau pot avertiza utilizatorii cu privire la plugin-urile nesigure.

Adobe Flash Un studiu din august 2009 realizat de a constatat că 50% dintre site-urile web care utilizează Flash foloseau și cookie-uri Flash, însă politicile de confidențialitate le-au dezvăluit rar, iar controalele utilizatorului pentru preferințele de confidențialitate lipseau. Majoritatea funcțiilor de ștergere a cache-ului și a istoricului navigatorului web nu afectează scrierea de obiecte partajate locale de către Flash Player în propriul său cache, iar comunitatea de utilizatori este mult mai puțin conștientă de existența și funcția cookie-urilor Flash decât cookie-urile HTTP. Astfel, utilizatorii care au șters cookie-urile HTTP și au curățat fișierele de istoric și cache-urile navigatorului web pot crede că au curățat toate datele de urmărire de pe computerele lor, în timp ce de fapt rămâne istoricul de navigare Flash. Pe lângă eliminarea manuală, add-on-ul BetterPrivacy pentru Firefox poate elimina cookie-urile Flash. Adblock Plus poate fi folosit pentru a filtra amenințările specifice, iar poate fi folosit pentru a oferi o opțiune înainte de a permite conținutul pe site-uri de altfel de încredere.

Charlie Miller a recomandat „să nu instalați Flash” la conferința de securitate a computerelor CanSecWest. Alți câțiva experți în securitate recomandă, de asemenea, să nu instalați Adobe Flash Player sau să îl blocați.

Modelul de securitate a parolelor în browser Conținutul unei pagini web este arbitrar și controlat de entitatea care deține domeniul afișat în bara de adrese. Dacă se folosește HTTPS, atunci criptarea este utilizată pentru a proteja împotriva atacatorilor cu acces la rețea care doresc să modifice conținutul paginii pe parcurs. Când i se prezintă un câmp pentru parolă pe o pagină web, utilizatorul trebuie să se uite la bara de adrese pentru a determina dacă numele domeniului din bara de adrese este locul corect pentru a trimite parola. De exemplu, pentru sistemul de autentificare unică al Google (utilizat pe YouTube.com), utilizatorul trebuie să verifice întotdeauna dacă bara de adrese afișează „https://accounts.google.com” înainte de a introduce parola.

Un browser necompromis garantează corectitudinea barei de adrese. Această garanție este unul dintre motivele pentru care navigatoarele web vor afișa, în general, un avertisment atunci când intră în modul ecran complet, deasupra locului unde ar fi în mod normal bara de adrese, astfel încât o pagină web cu ecran complet să nu poată crea o interfață falsă de utilizator a navigatorului web cu o bară de adrese falsă.

Securizarea navigatorului web Navigarea pe internet ca utilizator cu privilegii minime (adică fără privilegii de administrator) limitează capacitatea unei vulnerabilități de securitate din navigatorul web de a compromite întregul sistem de operare.

și versiunile ulterioare permit blocarea pe liste negre și pe liste albe a controalelor , add-on-urilor și extensiilor de browser în diverse moduri.

a adăugat „modul protejat”, o tehnologie care securizează navigatorul web prin aplicarea unei caracteristici de tip sandbox de securitate din Windows Vista numită Mandatory Integrity Control. Google Chrome oferă un sandbox pentru a limita accesul paginii web la sistemul de operare.

Site-urile web suspectate de malware raportate la Google și confirmate de Google sunt marcate ca găzduind malware în anumite navigatoare web.

Există extensii și plugin-uri terțe disponibile pentru a securiza chiar și cele mai recente navigatoare web și unele pentru navigatoare web și sisteme de operare mai vechi. Software-ul bazat pe liste albe, precum , poate bloca JavaScript și Adobe Flash, care este folosit pentru majoritatea atacurilor asupra confidențialității, permițând utilizatorilor să aleagă doar site-urile pe care știu că sunt în siguranță - AdBlock Plus folosește și abonamente la reguli de filtrare a anunțurilor pe liste albe, deși atât software-ul în sine, cât și administratorii listei de filtrare au intrat în controversă pentru că, în mod implicit, permit unor site-uri să treacă filtrele predefinite. US-CERT recomandă blocarea Flash folosind .

Fuzzing Navigatoarele web moderne sunt supuse unor teste de extensive pentru a descoperi vulnerabilități. Codul Chromium al Google Chrome este supus în mod continuu la fuzzing de către echipa de securitate Chrome cu 15.000 de nuclee. Pentru Microsoft Edge și Internet Explorer, Microsoft a efectuat teste de fuzzing cu 670 de ani-mașină în timpul dezvoltării produsului, generând mai mult de 400 de miliarde de manipulări DOM din 1 miliard de fișiere HTML.

Note

Lectură suplimentară

Vezi și Bulă de filtrare Injecție de frame Rețea condusă de identitate Siguranță pe internet Politică de securitate a rețelei Securitatea aplicațiilor