Browser Security es una aplicación de seguridad de Internet para navegadores web para proteger los datos de la red y los sistemas informáticos de violaciones de la privacidad o malware . Las vulnerabilidades de seguridad del navegador a menudo usan JavaScript , a veces secuencias de comandos entre sitios (XSS) [1] con una carga útil adicional que usa Adobe Flash . [2] Las vulnerabilidades de seguridad también pueden explotar vulnerabilidades (agujeros de seguridad) que comúnmente se explotan en todos los navegadores (incluidos Mozilla Firefox , [3] Google Chrome , [4] Opera , [5] Microsoft Internet Explorer , [6] y Safari [7 ] ).
Los navegadores web pueden ser secuestrados de una o más de las siguientes maneras:
Es posible que el navegador no tenga conocimiento de ninguna de las infracciones anteriores y puede indicarle al usuario que se ha establecido una conexión segura.
Cada vez que un navegador se comunica con un sitio web, el sitio web recopila cierta información sobre el navegador como parte de esa interacción (al menos para procesar el formato de la página que se va a entregar). [10] Si se insertó un código malicioso en el contenido de un sitio web o, en el peor de los casos, si ese sitio web se diseñó específicamente para albergar código malicioso, las vulnerabilidades específicas del navegador podrían permitir que ese código malicioso inicie procesos en el navegador. aplicación de forma no intencionada (y tenga en cuenta que una de las piezas de información que recoge un sitio web cuando se comunica con un navegador es la identificación del navegador, lo que permite la explotación de ciertas vulnerabilidades). [11] Una vez que el atacante puede ejecutar procesos en la computadora de la víctima, explotar las vulnerabilidades de seguridad conocidas podría permitirle obtener acceso privilegiado (si el navegador aún no se está ejecutando con acceso privilegiado) al sistema "infectado" para realizar una variedad aún mayor de procesos y acciones maliciosos en la máquina o incluso en toda la red de la víctima. [12]
Las infracciones de seguridad del navegador web generalmente tienen como objetivo eludir las protecciones para mostrar anuncios emergentes [13] , recopilar información personal (PII) ya sea para marketing en línea o robo de identidad, seguimiento de sitios web o análisis web sobre un usuario en contra de su voluntad con el uso de herramientas como un baliza web , Clickjacking , Likejacking (que utiliza el botón Me gusta de Facebook ), [14] [15] [16] [17] cookies HTTP , cookies zombie o cookies Flash cookies Flash (objetos compartidos locales o LSO); [2] instalación de adware , virus , spyware como troyanos (para obtener acceso a las computadoras personales de los usuarios mediante piratería ) u otro malware , incluido el robo de banca por Internet mediante ataques Man-in-the-Browser".
Una inmersión profunda en las vulnerabilidades del navegador web Chromium muestra que la validación de entrada incorrecta (CWE-20) y el control de acceso incorrecto (CWE-284) son las causas raíz más comunes de las vulnerabilidades de seguridad. [18] Además, entre las vulnerabilidades estudiadas durante este estudio, 106 vulnerabilidades se originaron en Chromium debido a la reutilización o importación de versiones vulnerables de bibliotecas de terceros.
Las vulnerabilidades en el software del navegador web en sí pueden minimizarse manteniendo el software del navegador actualizado, [19] pero esto no será suficiente si el sistema operativo subyacente está comprometido, por ejemplo, por un rootkit. [20] Algunos subcomponentes de los navegadores, como secuencias de comandos, complementos y cookies, [21] [22] [23] son particularmente vulnerables (el "problema del ayudante ofuscado") y también deben abordarse.
Siguiendo el principio de defensa en profundidad, un navegador completamente parcheado y correctamente configurado puede no ser suficiente para evitar problemas de seguridad relacionados con el navegador. Por ejemplo, un rootkit puede interceptar pulsaciones de teclas cuando alguien ingresa a un sitio web bancario, o realizar un " ataque de intermediario " alterando el tráfico de red dentro y fuera de un navegador web. El secuestro de DNS o la suplantación de DNS se pueden utilizar para devolver falsos positivos para nombres de sitios web mal escritos o para sesgar los resultados de búsqueda de motores de búsqueda populares. El malware como RSPlug simplemente cambia la configuración del sistema para apuntar a servidores DNS no autorizados.
Los navegadores pueden utilizar técnicas de red más seguras para evitar algunos de estos ataques:
La protección perimetral, generalmente mediante el uso de firewalls y el uso de proxies de filtrado que bloquean sitios web maliciosos y realizan un análisis antivirus de cualquier archivo descargado, se implementa comúnmente como una mejor práctica en grandes organizaciones para bloquear el tráfico de red malicioso antes de que llegue al navegador.
El tema de la seguridad del navegador ha crecido hasta tal punto que ha generado organizaciones enteras como The Browser Exploitation Framework Project [24] creando plataformas para recopilar herramientas para romper la seguridad del navegador, aparentemente para verificar las vulnerabilidades de los navegadores y los sistemas de red.
Aunque no forman parte del navegador en sí, los complementos y las extensiones del navegador aumentan la superficie de ataque al exponer vulnerabilidades en Adobe Flash Player , Adobe (Acrobat) Reader , el complemento de Java y ActiveX , que comúnmente explotan los atacantes. [25] Los investigadores han estudiado detenidamente la arquitectura de seguridad de varios navegadores web, en particular los basados en principios plug-and-play. Este estudio identificó 16 tipos comunes de vulnerabilidades y 19 soluciones potenciales. El malware también se puede implementar como una extensión del navegador, como un objeto auxiliar del navegador en el caso de Internet Explorer. [26] Los navegadores como Google Chrome y Mozilla Firefox pueden bloquear o advertir a los usuarios sobre complementos no seguros.
Un estudio de agosto de 2009 realizado por Social Science Research Network encontró que el 50% de los sitios web que usan Flash también usan cookies de Flash; sin embargo, las políticas de privacidad rara vez las divulgan y no había controles de usuario para la configuración de privacidad. [27] La mayoría de las funciones de eliminación de caché e historial de los navegadores no afectan a Flash Player al escribir objetos locales compartidos en su propia caché, y la comunidad de usuarios es mucho menos consciente de la existencia y función de las cookies Flash que las cookies HTTP. [28] Por lo tanto, los usuarios que han eliminado las cookies HTTP y han borrado los archivos y cachés del historial del navegador pueden creer que han eliminado todos los datos de seguimiento de sus computadoras, cuando en realidad permanece el historial de navegación Flash. Además de la eliminación manual, el complemento BetterPrivacy para Firefox puede eliminar las cookies de Flash. [2] Adblock Plus se puede usar para filtrar ciertas amenazas, [13] y Flashblock se puede usar para brindar una oportunidad antes de permitir contenido en otros sitios confiables. [29]
Charlie Miller recomendó "no instalar Flash" en la conferencia de seguridad informática CanSecWest [30] . Varios otros expertos en seguridad también recomiendan no instalar Adobe Flash Player o bloquearlo. [31]
El contenido de la página web es arbitrario y está controlado por la persona propietaria del dominio cuyo nombre aparece en la barra de direcciones. Si se usa HTTPS , entonces se usa el cifrado para evitar que los intrusos que tienen acceso a la red modifiquen el contenido de la página en tránsito. Al presentar un campo de contraseña en una página web, el usuario debe mirar la barra de direcciones para determinar si el nombre de dominio en la barra de direcciones es el lugar correcto para enviar la contraseña. [32] Por ejemplo, para el sistema de inicio de sesión único de Google (como se usa, por ejemplo, en youtube.com), el usuario siempre debe verificar que la barra de direcciones diga " https://accounts.google.com" antes de ingresar su clave.
Un navegador no comprometido garantiza que la barra de direcciones sea correcta. Esta garantía es una de las razones por las que los navegadores suelen mostrar una advertencia cuando pasan a pantalla completa en la parte superior de donde normalmente estaría la barra de direcciones, por lo que un sitio web de pantalla completa no puede crear una interfaz de usuario de navegador falsa con una barra de direcciones falsa. [33]
Ha habido intentos de vender navegadores de hardware que se ejecutan desde sistemas de archivos de solo lectura y sin escritura. Los datos no se pueden guardar en el dispositivo y los medios no se pueden sobrescribir, se muestra un archivo ejecutable en blanco cada vez que se carga. El primer dispositivo de este tipo fue ZeusGard Secure Hardware Browser, lanzado a finales de 2013. El sitio web de ZeusGard ha estado inactivo desde mediados de 2016. Otro dispositivo, el iCloak® Stik del sitio web de iCloak , proporciona un Live CD completo que reemplaza completamente el sistema operativo de la computadora y ofrece dos navegadores web desde un sistema de solo lectura. Con iCloak, proporcionan el navegador Tor para la navegación anónima, así como el navegador Firefox normal para la navegación no anónima. Cualquier tráfico web no seguro (por ejemplo, que no use https) aún puede estar sujeto a la modificación del intermediario u otra manipulación basada en el tráfico de la red.
Los Live CD , que ejecutan el sistema operativo desde una fuente no grabable, generalmente se envían con los navegadores web como parte de la imagen predeterminada. Siempre que la imagen del Live CD original esté libre de malware, todo el software que utilice, incluido el navegador web, se cargará sin malware cada vez que inicie la imagen del Live CD.
Navegar por Internet como una cuenta de usuario con los privilegios mínimos (sin derechos de administrador) limita la capacidad de un exploit de seguridad en un navegador web para comprometer todo el sistema operativo. [34]
Internet Explorer 4 y versiones posteriores le permiten incluir en la lista negra [35] [36] [37] y en la lista blanca [38] [39] controles ActiveX , complementos y extensiones de navegador de varias formas.
Internet Explorer 7 agregó el "modo protegido", una tecnología que mejora la seguridad del navegador mediante el uso de una función de espacio aislado de seguridad de Windows Vista llamada control de integridad obligatorio . [40] Google Chrome proporciona un entorno limitado para restringir el acceso a las páginas web por parte del sistema operativo. [41]
Los sitios maliciosos sospechosos informados por Google [42] y confirmados por Google se marcan como alojamiento de malware en ciertos navegadores. [43]
Existen extensiones y complementos de terceros para proteger incluso los navegadores más recientes, [44] así como algunos para navegadores y sistemas operativos más antiguos. El software de lista blanca como NoScript puede bloquear JavaScript , que se utiliza para la mayoría de los ataques a la privacidad, lo que permite a los usuarios seleccionar solo sitios que saben que son seguros. Los creadores de listas de filtros han sido controvertidos por permitir que algunos sitios pasen filtros preinstalados de forma predeterminada. [45] US-CERT recomienda bloquear Flash usando NoScript. [46]
Los navegadores web modernos están sujetos a un fuzzing extenso para identificar vulnerabilidades. El código de Chromium para Google Chrome es revisado constantemente por el equipo de seguridad de Chrome con 15,000 núcleos. [47] Para Microsoft Edge e Internet Explorer , Microsoft realizó pruebas difusas usando 670 años máquina durante el desarrollo del producto, generando más de 400 mil millones de manipulaciones DOM a partir de mil millones de archivos HTML. [48] [47]
| Software malicioso | |
|---|---|
| Malware infeccioso | |
| Ocultar métodos | |
| Malware con fines de lucro |
|
| Por sistemas operativos |
|
| Proteccion |
|
| contramedidas |
|