瀏覽器安全問題分析

 

事端 – 安全漏洞穿透用戶桌面

2009年2月，微軟發佈了廣受關注的MS09-002安全漏洞公告，並隨之立刻提供了針對該漏洞的更新補丁。當訪問者使用IE 7瀏覽器訪問特定規格的網頁時，MS09-002漏洞會容許遠程惡意代碼執行，從而破壞訪問者的計算機系統。這一問題的典型性在於，面向瀏覽器的惡意***已經成爲過去一年當中增加最爲迅猛的一類桌面安全威脅。同時，在該威脅發佈後的，各大防病毒產品廠商都截獲了大量基於該漏洞的***。甚至一些之前流行過的惡意軟件，都開始集成針對MS09-002的***機制生成新變種，試圖捲土重來。

 

其它近期值得關注的安全漏洞 在MS09-002漏洞發佈以前，還有一些值得關注的針對瀏覽器的安全漏洞。好比去年年末出現的微軟0day漏洞，其影響的瀏覽器版本比MS09-002還要普遍。而目前最新爆出的Adobe安全漏洞，則利用了PDF文檔中嵌入的可執行瀏覽器腳本，將會引發很是普遍的安全影響。

 

 

緣起 – 安全爆炸點的輪迴

在整個2008年當中，桌面安全的最主要問題集中於***下載器等等以Web訪問爲載體的病毒程序。據不徹底統計，在過去的三年間，基於Web的病毒程序每一年都保持着至少翻一番的增加水平。而2008年做爲病毒大爆發的一年，所出現的超過一千萬種新病毒中，有超過百分之二十都是下載器程序。其實下載器程序並非一個新鮮產物，在很早以前就有使用這類機制的惡意程序存在。可是之因此在近年來變得如此「繁榮」，核心的緣由還在於桌面安全***兩大陣營的角力，所帶來的整個安全環境的變化。做爲最古老也是最基本的互聯網應用，網頁訪問無疑擁有最龐大的用戶羣體和最高的使用頻率。可是隨着瀏覽器軟件的功能不斷豐富、家族成員不斷增加，反而成爲在安全防禦上相對薄弱的一環。與電子郵件、即時通信等主流互聯網應用相比，網頁訪問保護工具雖然數量很多，但在深度和精度上卻難以匹敵其它專項工具。因爲網頁訪問表面的簡單性，反而掩蓋了用戶誤用行爲所帶來的危害，以及紛繁的技術功能所帶來的安全隱患。

 

畫像 – 瀏覽器上的安全風險

爲了提供更豐富的功能，在Web頁面中使用了愈來愈多的客戶端腳本和組件技術。這一方面帶來了更好的功能和用戶體驗，同時也使用戶在使用瀏覽器軟件時要面對更多的安全問題。木秀玉林，風必摧之，JavaScript客戶端腳本技術已經成爲事實標準上的標準，天然也是被惡意軟件利用的主要對象。因爲JavaScript對操做系統的使用範圍和權限受到了較爲嚴格的限制，因此很難利用其直接進行破壞。可是下載器程序每每利用JavaScript到互聯網上下載實際的***代碼。ActiveX做爲瀏覽器軟件與其它平臺進行交互的重要技術，也有着悠久的安全問題歷史。因爲具備比瀏覽器腳本更強的系統操縱能力，基於ActiveX組件的病毒程序每每更具破壞力，並且能夠直接對操做系統展開***。不少企業級的軟件系統將ActiveX組件做爲實現客戶端功能的核心技術，使安全保護體系的搭建變得更加複雜。除此以外，利用Windows Script Host的VBScript以及目前已經較少使用的Java Applet小程序等等，均可以基於瀏覽器開展破壞活動。一樣值得關注的是，做爲桌面計算機上最經常使用的應用程序，瀏覽器如今與操做系統的結合愈來愈緊密。除了與Windows操做系統緊密集成的IE瀏覽器以外，其它的瀏覽器一樣也利用不少操做系統的底層組件來提高自身的功能價值。這也是爲何利用瀏覽器問題的安全***能夠如此具備破壞力的重要緣由，不少漏洞容許***代碼能夠直接破壞或利用操做系統核心。特別對於那些廠商還沒有發佈更新補丁的0day***來講，桌面計算機將徹底暴露在***之下幾無還手之力，這也是目前雲安全技術被寄予厚望的緣由。趨勢科技在截獲微軟瀏覽器的0day***漏洞時只花了幾分鐘時間，這給漏洞補丁的及時發佈提供了良好的前提。而幾乎已經成爲標準功能的基於雲設施的Web地址過濾，則能夠有效地防止用戶訪問那些帶有安全威脅的網站，這樣即便計算機在存在漏洞的狀況下也有更大的概率在面對***時生存。

 

走向 – 互聯網入口的安全變革

一直依賴，對於瀏覽器這個最重要的互聯網訪問入口，用戶主要依賴於安全廠商提供的軟件產品來得到安全保護。不過能夠看到，瀏覽器廠商們也在不斷補充自身產品的安全特性，這能夠給用戶帶來層次更豐富的保護。對於各類利用客戶端腳本的安全***，特別是利用ActiveX這樣可能直接實現安全***的惡意程序，瀏覽器產品以及操做系統自己的安全機制每每顯得更加劇要。微軟在新推出的IE8瀏覽器當中，會對傳統的ActiveX控件機制做出調整。在新的瀏覽器版本中，ActiveX控件的安裝將再也不須要管理員權限，而使用當前登陸用戶的權限安裝。這樣能夠實現更符合邏輯的權限分割，一旦當惡意程序利用了ActiveX感染了計算機，也不會輕易的得到管理權限。並且若是一個ActiveX插件不在該機制的白名單中，其操做本地系統的功能將受到很大的限制，這能夠很好的緩解利用ActiveX機制破壞操做系統的問題。這一改變的衍生意義在於，用戶和廠商均可以更好地對Flex、Silverlight等流行的富客戶端訪問插件進行控制，從而在必定程度上避免瀏覽器上不斷增長的可執行能力所帶來的安全風險。不過，這項改進也存在一些限制，好比目前只有在Vista或更高版本的操做系統中才能使用該機制，而目前佔有率還比較高的XP操做系統則沒法使用。

以網絡釣魚爲表明的各類網絡欺詐，也是目前主要的安全威脅之一。瀏覽器軟件正在普遍地集成各類識別欺騙性網址的功能，其中較爲典型的當屬FireFox。因爲提供插件開發機制，用戶除了可使用FireFox自身提供的防網絡釣魚功能，還能夠下載不少提供相似功能的插件，從而得到較爲適合本身的防欺詐保護。在微軟的IE8瀏覽器當中，還提供了一項獨特的功能改進。用戶在瀏覽器的地址欄輸入網址以後，IE8會識別網址中的頂級域名部分並將其用高亮的形式顯示。雖然這項改進看起來很是的小，可是在實際使用過程當中的效果缺出乎意料的有效。這可以明顯地提升用戶的注意力，從而判別本身是否正確輸入了網址。同時，在IE8中提供的加強的安全過濾器，也能夠完成對網址的分析。最重要的是，經過設置安全策略，能夠將這個安全過濾器的防禦等級提升，從而更大限度的屏蔽可疑網址。

 

 

上網行爲安全袖珍指南     事實上除了注意更新操做系統漏洞和使用有效的安全防禦產品等技術手段以外，想提升訪問互聯網時的安全性，要重點控制上網時的用戶行爲。注意應用情景是首要的原則，雖然在本身的我的計算機上記憶密碼相對比較安全，可是養成不使用記憶密碼功能的習慣仍是更加穩妥。若是是在公共場合上網，即便沒有使用密碼記憶，也建議對訪問歷史進行清除。不要註冊賬號時使用相同的信息是另外一個好習慣，這樣能夠避免一點被突破破層層被突破。同時，對於不須要提供真實信息的網絡服務，在註冊的時候仍是應該適當的保留我的信息。

 

 

展望 – 瀏覽器的明日危機

 

    富客戶端技術的不斷髮展，愈來愈多的應用使用瀏覽器做爲訪問媒介，包括不少企業級應用。據此分析，瀏覽器軟件的安全功能還會不斷增長，新增功能和插件可能會爆出的安全漏洞也會隨之增長。因爲瀏覽器的遍及性和應用規範的不統一，但願經過簡單的方式得到高安全性是很是困難的。除了各個方面要密切配合以外，在系統層面實現更增強大的安全模型纔可以讓瀏覽器得到足夠的安全動力。一個好消息是當前的互聯網用戶羣體已經在使用習慣和警戒性上有了很大提高，不過還須要在系統平臺上更好的固化和管理用戶上網行爲。即將發佈的Windows 7等新系統平臺，將帶給咱們新一輪答案。