Guía del Centro de pruebas para la seguridad del navegador

El reciente parche de emergencia fuera de banda para Internet Explorer tiene muchos expertos que recomiendan cualquier navegador excepto IE como la mejor defensa de seguridad. Aunque existe cierta seguridad en el uso de software atacado con menos frecuencia, una mejor pregunta es cuál es la opción más segura entre los navegadores más populares. ¿Cuáles son las características de seguridad más importantes que se deben buscar en un navegador y cuáles son las debilidades a tener en cuenta?

Esta revisión se centra en las características de seguridad de los siguientes navegadores de Internet basados ​​en Windows: Google Chrome, Mozilla Firefox, Microsoft Internet Explorer, Opera Software's Opera y Apple's Safari. Todos menos Chrome están incluidos porque se encuentran entre los navegadores más populares, con un largo historial y millones de usuarios. Google Chrome está incluido porque cuenta con un modelo de seguridad único y la amplia expectativa de consumir significativamente la participación de mercado de los otros navegadores. En la revisión se han utilizado las últimas versiones disponibles públicamente (incluidas las versiones beta). Cada navegador ha sido probado en Windows XP Pro SP3 y Windows Vista Enterprise.

[Para obtener más información sobre la seguridad del navegador y las revisiones de seguridad del Centro de pruebas de Chrome, Firefox, Internet Explorer, Opera y Safari, consulte el informe especial. ]

El propósito de esta revisión fue probar la seguridad de cada navegador. Como tal, estas revisiones generalmente no cubren ninguna característica nueva que no esté relacionada con la seguridad. Además, dado que esta revisión se centró en probar la seguridad de cada navegador en particular, todos los navegadores se probaron solo con los complementos predeterminados instalados por el proveedor. Por ejemplo, aunque NoScript es un popular complemento del navegador Firefox que a menudo se instala para mejorar la seguridad, no se instala de forma predeterminada y no lo crea el proveedor, por lo que no se incluyó en la revisión.

Divulgación completa: el autor de este artículo está empleado a tiempo completo por Microsoft como arquitecto de seguridad. No está involucrado en el desarrollo o marketing de Internet Explorer. Utiliza varios navegadores en varias plataformas de sistemas operativos a diario y tiene varios favoritos, incluidos los navegadores que no se incluyen en esta revisión.

Hacer un navegador seguro

En general, los administradores deben considerar que todos los navegadores web conectados a Internet son de alto riesgo. En entornos de muy alta seguridad, los navegadores web no pueden ejecutarse o no pueden representar contenido de Internet. Pero asumiendo que su empresa necesita navegar por Internet y busca un navegador web con un nivel aceptable de seguridad, siga leyendo. Un navegador seguro debe incluir las siguientes características como mínimo:

* Fue codificado utilizando técnicas de Security Development Lifecycle (SDL).

* Ha sido sometido a revisión de código y fuzzing.

* Separa lógicamente los dominios de seguridad local y de red.

* Evita el fácil control remoto malicioso.

* Evita la redirección maliciosa.

* Tiene valores predeterminados seguros.

* Permite al usuario confirmar la descarga o ejecución de cualquier archivo.

* Evita la oscuridad de la URL.

* Contiene funciones anti-desbordamiento de búfer.

* Admite protocolos seguros comunes (SSL, TLS, etc.) y cifrados (3DES, AES, RSA, etc.).

* Se parchea y se actualiza automáticamente (con el consentimiento del usuario).

* Tiene un bloqueador de ventanas emergentes.

* Utiliza un filtro anti-phishing.

* Evita el mal uso de las cookies del sitio web.

* Evita la suplantación de URL fácil.

* Proporciona zonas / dominios de seguridad para segregar confianza y funcionalidad.

* Protege las credenciales de inicio de sesión del sitio web del usuario durante el almacenamiento y el uso.

* Permite que los complementos del navegador se habiliten y deshabiliten fácilmente.

* Evita el uso malicioso de la ventana.

* Proporciona controles de privacidad.

Otro buen lugar para comenzar a aprender los conceptos básicos detallados de la seguridad del navegador web es la Parte 2 del Manual de seguridad del navegador, mantenido por Michal Zalewski. El Manual de seguridad del navegador ofrece una excelente introducción a muchas de las políticas de seguridad entre bastidores que subyacen a la mayoría de los navegadores actuales e indica qué funciones son compatibles con varios navegadores.

Cómo medir la seguridad de un navegador

Modelo de seguridad.Cada navegador está codificado según la fuerza subyacente del modelo de seguridad elegido por el proveedor del navegador. Este modelo es lo que mantiene el lado de la red que no es de confianza separado de las zonas de seguridad más confiables. Si el malware es capaz de explotar el navegador, ¿con qué facilidad puede comprometer todo el sistema? ¿Qué defensas incluyó el proveedor en el navegador?s diseño subyacente para evitar el uso malintencionado? ¿Cómo se previene la redirección maliciosa (como el robo de marcos y secuencias de comandos entre dominios entre sitios)? ¿La memoria está protegida y limpia contra la reutilización maliciosa? ¿Ofrece el navegador a los usuarios finales varios dominios o zonas de seguridad con distintos niveles de funcionalidad en los que colocar diferentes sitios web de acuerdo con su nivel de confianza asociado? ¿Qué protecciones para el usuario final se han integrado en el navegador? ¿El navegador intenta actualizarse solo? Todas estas preguntas, y más, sirven para determinar la idoneidad del modelo de seguridad de un navegador.

Cuando el navegador se ejecuta en Windows, ¿aprovecha la Prevención de ejecución de datos (DEP)? Si se ejecuta en Windows Vista, ¿utiliza virtualización de archivos y registros, controles de integridad obligatorios (consulte la barra lateral) o distribución aleatoria del diseño del espacio de direcciones? Estos temas requieren demasiado espacio para discutirlos adecuadamente en esta revisión, pero los cuatro mecanismos pueden dificultar que el malware obtenga el control del sistema.

Conjunto de características y complejidad. Más funciones y una mayor complejidad son la antítesis de la seguridad informática. Las características adicionales significan más código disponible para explotar con interacciones más inesperadas. Por el contrario, es posible que un navegador con un conjunto mínimo de funciones no pueda mostrar sitios web populares, lo que obliga al usuario a utilizar otro navegador o instalar complementos potencialmente inseguros. Los creadores de malware a menudo aprovechan los complementos populares.

Las zonas de seguridad definidas por el usuario (también conocidas como dominios de seguridad) también son una característica importante. En última instancia, una menor funcionalidad se traduce en una mayor seguridad. Las zonas de seguridad proporcionan una forma de clasificar varios sitios web como más confiables y, por lo tanto, adecuados para una mayor funcionalidad. Debería poder confiar en los sitios web de su empresa mucho más que en un sitio web que ofrece software pirateado o una pequeña página web proporcionada por alguien que no conoce. Las zonas de seguridad le permiten establecer varias configuraciones y funcionalidades de seguridad según la ubicación, el dominio o la dirección IP del sitio web.

Los dominios de seguridad se utilizan en todos los productos de seguridad informática (cortafuegos, IPS, etc.) para establecer límites de seguridad y áreas de confianza predeterminadas. Tener una zona de seguridad en un navegador amplía ese modelo. Los navegadores sin zonas de seguridad le animan a tratar todos los sitios web con el mismo nivel de confianza, así como a reconfigurar el navegador o utilizar otro navegador para sitios web menos confiables antes de cada visita.

Anuncios y ataques de vulnerabilidad. ¿Cuántas vulnerabilidades se han encontrado y anunciado públicamente contra el producto del navegador? ¿Los recuentos de vulnerabilidades aumentan o disminuyen a medida que el proveedor parchea su navegador? ¿Qué tan graves han sido las vulnerabilidades? ¿Permiten el compromiso total del sistema o la denegación de servicio? ¿Cuántas vulnerabilidades están sin parchear actualmente? ¿Cuál es el historial de ataques de día cero contra el proveedor? ¿Con qué frecuencia se orienta el navegador del proveedor frente al producto de la competencia?

Pruebas de seguridad del navegador. ¿Cómo le fue al navegador en comparación con los conjuntos de pruebas de seguridad del navegador disponibles popularmente? En esta revisión, todos los productos pasaron las pruebas de seguridad de navegador más conocidas de Internet, por lo que cada elemento estuvo expuesto a docenas de sitios web maliciosos de la vida real. A menudo, el resultado no fue agradable. Experimenté bloqueos frecuentes del navegador, contenido objetable y, a veces, reinicios completos del sistema.

Funciones de capacidad de gestión empresarial. atiende a administradores y técnicos que necesitan realizar tareas en toda una empresa. Por lo general, es fácil proteger un navegador individual favorito para uso personal, pero hacerlo para toda una empresa requiere herramientas especiales. Si el navegador se seleccionó para uso empresarial, ¿qué tan fácil es instalar, configurar y administrar configuraciones seguras para cada usuario?

Estas son las categorías generales que se consideraron al revisar cada navegador de Internet.

Como probé

Las suites de prueba basadas en Internet incluían varios sitios de prueba de seguridad de navegadores, como scanit y Jason's Toolbox; varios sitios de prueba de JavaScript, Java y bloqueadores de ventanas emergentes; varios sitios web de prueba de secuencias de comandos entre sitios (XSS); y varios sitios de prueba de privacidad del navegador. Probé la seguridad del manejo de contraseñas de los navegadores usando el sitio web del evaluador de Password Manager y la seguridad del manejo de cookies usando el sitio web de análisis forense de cookies de Gibson Research Corporation. Probé certificados de Validación Extendida usando los enlaces provistos en el sitio de IIS7.

Navegué a docenas de sitios web que se sabe que contienen malware en vivo de varias listas de sitios de malware públicos y privados, incluido ShadowServer. También visité docenas de sitios web de phishing conocidos, cortesía de PhishTank y sitios de referencia similares. Usé Process Explorer para monitorear los procesos y recursos locales durante la instalación y las operaciones en curso. Y olfateé el tráfico de red de los navegadores utilizando Microsoft Network Monitor o Wireshark y examiné los resultados en busca de fugas de información.

Finalmente, también confié en las pruebas de vulnerabilidad pública para estas evaluaciones, incluidas Metasploit y milw0rm.com. Las estadísticas de vulnerabilidad se tomaron de Secunia.com o CVE.

Además, cada navegador se utilizó durante una serie de varias semanas (o más) para probar el uso general, los intervalos de parcheo y otras funciones involucradas.

El navegador más seguro

Por lo tanto, la conclusión general de esta revisión es que cualquier navegador completamente parcheado se puede usar de forma relativamente segura. Puede cambiar de navegador, pero su riesgo es el mismo con todos ellos, casi cero, si su navegador, sistema operativo y todos los complementos y complementos están completamente parcheados.

Sin embargo, si fingía ser un usuario final engañado para ejecutar un ejecutable malicioso (como un programa antivirus falso), cada navegador permitía que el sistema se infectara y comprometiera. Los usuarios finales que ejecutan Windows Vista sin credenciales elevadas habrían evitado que se produjeran la mayoría de las infecciones de malware, pero incluso esos usuarios fueron explotados fácilmente si se elevaban a propósito para instalar el programa malicioso.

Consejos de seguridad del navegador

* No inicie sesión como administrador o root cuando ejecute un navegador de Internet (o use UAC en Windows Vista, SU en Linux, etc.).

* Asegúrese de que el navegador, el sistema operativo y todos los complementos y complementos estén completamente parcheados.

* No se deje engañar para ejecutar código malicioso.

* Si se le solicita inesperadamente que instale software de terceros mientras navega por un sitio, abra otra pestaña y descargue el software solicitado directamente desde el sitio web del proveedor del software.

* Tenga cuidado con los complementos y complementos que utiliza. Muchos no son seguros, muchos son muy inseguros y algunos son en realidad malware disfrazado.