Panduan Pusat Tes untuk keamanan browser

Patch darurat out-of-band baru-baru ini untuk Internet Explorer memiliki banyak pakar yang merekomendasikan browser apa pun selain IE sebagai pertahanan keamanan terbaik. Meskipun ada beberapa keamanan dalam menggunakan perangkat lunak yang jarang diserang, pertanyaan yang lebih baik adalah manakah pilihan teraman di antara peramban yang paling populer? Apa saja fitur keamanan terpenting yang harus dicari di browser, dan apa saja kelemahan yang harus diwaspadai?

Ulasan ini berfokus pada fitur keamanan browser Internet berbasis Windows berikut: Google Chrome, Mozilla Firefox, Microsoft Internet Explorer, Opera Software's Opera, dan Apple Safari. Semua kecuali Chrome disertakan karena mereka termasuk di antara browser paling populer, dengan rekam jejak panjang dan jutaan pengguna. Google Chrome disertakan karena menawarkan model keamanan yang unik dan harapan luas untuk secara signifikan memakan pangsa pasar browser lain. Versi terbaru yang tersedia untuk umum (termasuk versi beta) telah digunakan dalam tinjauan. Setiap browser telah diuji pada Windows XP Pro SP3 dan Windows Vista Enterprise.

[Untuk informasi lebih lanjut tentang keamanan browser, dan tinjauan keamanan Pusat Uji untuk Chrome, Firefox, Internet Explorer, Opera, dan Safari, lihat laporan khusus. ]

Tujuan dari review ini adalah untuk menguji kebugaran keamanan setiap browser. Karena itu, ulasan ini biasanya tidak mencakup fitur baru yang tidak terkait dengan keamanan. Selain itu, karena tinjauan ini difokuskan pada pengujian keamanan setiap browser tertentu, semua browser diuji hanya dengan add-on yang diinstal vendor default. Misalnya, meskipun NoScript adalah add-on browser Firefox populer yang sering dipasang untuk meningkatkan keamanan, ia tidak diinstal secara default dan tidak dibuat oleh vendor, jadi tidak disertakan dalam ulasan.

Pengungkapan penuh: Penulis artikel ini dipekerjakan penuh waktu oleh Microsoft sebagai arsitek keamanan. Dia tidak terlibat dalam pengembangan atau pemasaran Internet Explorer. Dia menggunakan banyak browser di beberapa platform OS setiap hari dan memiliki beberapa favorit, termasuk browser yang tidak termasuk dalam ulasan ini.

Membuat browser yang aman

Secara umum, administrator harus mempertimbangkan setiap browser Web yang terhubung ke Internet sebagai risiko tinggi. Dalam lingkungan dengan keamanan sangat tinggi, browser Web tidak diizinkan untuk berjalan atau tidak diizinkan untuk membuat konten dari Internet. Tetapi dengan asumsi perusahaan Anda perlu menjelajahi Internet dan mencari browser Web dengan tingkat keamanan yang dapat diterima, teruslah membaca. Browser yang aman minimal harus menyertakan ciri-ciri berikut:

* Itu dikodekan menggunakan teknik Security Development Lifecycle (SDL).

* Ini telah mengalami peninjauan kode dan fuzzing.

* Secara logis memisahkan jaringan dan domain keamanan lokal.

* Ini mencegah remote control berbahaya yang mudah.

* Mencegah pengalihan berbahaya.

* Ini memiliki default yang aman.

* Ini memungkinkan pengguna untuk mengonfirmasi unduhan atau eksekusi file apa pun.

* Ini mencegah ketidakjelasan URL.

* Ini berisi fitur anti-buffer overflow.

* Mendukung protokol keamanan umum (SSL, TLS, dll.) Dan cipher (3DES, AES, RSA, dll.).

* Ini menambal dan memperbarui sendiri secara otomatis (dengan persetujuan pengguna).

* Memiliki pemblokir pop-up.

* Ini menggunakan filter anti-phishing.

* Ini mencegah penyalahgunaan cookie situs Web.

* Ini mencegah spoofing URL yang mudah.

* Ini menyediakan zona keamanan / domain untuk memisahkan kepercayaan dan fungsionalitas.

* Ini melindungi kredensial masuk situs Web pengguna selama penyimpanan dan penggunaan.

* Ini memungkinkan add-on browser untuk dengan mudah diaktifkan dan dinonaktifkan.

* Ini mencegah penggunaan jendela yang nakal.

* Ini memberikan kontrol privasi.

Tempat lain yang baik untuk mulai mempelajari dasar-dasar rinci keamanan browser Web adalah Bagian 2 dari Buku Pegangan Keamanan Browser, yang dikelola oleh Michal Zalewski. Buku Pegangan Keamanan Browser memberikan pengantar yang bagus untuk banyak kebijakan keamanan di balik layar yang mendasari sebagian besar browser saat ini dan menunjukkan fitur mana yang didukung di berbagai browser.

Bagaimana mengukur keamanan browser

Model keamanan.Setiap browser diberi kode pada kekuatan yang mendasari model keamanan yang dipilih vendor browser. Model inilah yang membuat sisi jaringan tidak tepercaya terpisah dari zona keamanan yang lebih tepercaya. Jika perangkat lunak perusak dapat mengeksploitasi peramban, seberapa mudah ia dapat menyusupi seluruh sistem? Pertahanan apa yang disertakan vendor dalam browser 's desain yang mendasari untuk mencegah penggunaan yang jahat? Bagaimana pengalihan berbahaya (seperti skrip lintas situs lintas domain dan pencurian bingkai) dicegah? Apakah memori diamankan dan dibersihkan dari penggunaan ulang yang berbahaya? Apakah browser memberikan pengguna akhir beberapa domain atau zona keamanan dengan berbagai tingkat fungsionalitas untuk menempatkan situs Web yang berbeda sesuai dengan tingkat kepercayaan mereka yang terkait? Perlindungan pengguna akhir apa yang telah dibangun di dalam browser? Apakah browser mencoba memperbarui dirinya sendiri? Semua pertanyaan ini, dan lebih banyak lagi, akan menentukan kesesuaian model keamanan browser.

Ketika browser berjalan di Windows, apakah itu memanfaatkan Pencegahan Eksekusi Data (DEP)? Jika berjalan pada Windows Vista, apakah menggunakan virtualisasi file dan registri, Kontrol Integritas Wajib (lihat bilah sisi), atau Pengacakan Tata Letak Ruang Alamat? Topik-topik ini membutuhkan terlalu banyak ruang untuk dibahas dengan tepat dalam ulasan ini, tetapi keempat mekanisme tersebut dapat mempersulit malware untuk mendapatkan kontrol sistem.

Kumpulan fitur dan kompleksitas. Lebih banyak fitur dan peningkatan kompleksitas merupakan antitesis dari keamanan komputer. Fitur tambahan berarti lebih banyak kode tersedia untuk dieksploitasi dengan lebih banyak interaksi yang tidak terduga. Sebaliknya, browser dengan set fitur minimal mungkin tidak dapat membuat situs web populer, yang memaksa pengguna untuk menggunakan browser lain atau menginstal add-on yang berpotensi tidak aman. Pengaya populer sering kali dimanfaatkan oleh penulis malware.

Zona keamanan yang dapat ditentukan pengguna (juga dikenal sebagai domain keamanan) juga merupakan fitur penting. Pada akhirnya, fungsionalitas yang lebih sedikit berarti keamanan yang lebih baik. Zona keamanan menyediakan cara untuk mengklasifikasikan berbagai situs Web sebagai lebih tepercaya dan, karenanya, cocok untuk fungsionalitas yang lebih besar. Anda harus dapat mempercayai situs Web perusahaan Anda secara signifikan lebih dari situs Web yang menawarkan perangkat lunak bajakan atau halaman Web kecil yang disajikan oleh seseorang yang tidak Anda kenal. Zona keamanan memungkinkan Anda untuk mengatur berbagai pengaturan dan fungsi keamanan berdasarkan lokasi situs Web, domain, atau alamat IP.

Domain keamanan digunakan di setiap produk keamanan komputer (firewall, IPS, dan sebagainya) untuk menetapkan batas keamanan dan area kepercayaan default. Memiliki zona keamanan di browser memperluas model itu. Browser tanpa zona keamanan menganjurkan Anda untuk memperlakukan semua situs Web dengan tingkat kepercayaan yang sama - serta mengkonfigurasi ulang browser atau menggunakan browser lain untuk situs Web yang kurang dapat dipercaya sebelum setiap kunjungan.

Pengumuman dan serangan kerentanan. Berapa banyak kerentanan yang telah ditemukan dan diumumkan secara publik terhadap produk browser? Apakah jumlah kerentanan naik atau turun saat vendor menambal browsernya? Seberapa parah kerentanannya? Apakah mereka mengizinkan kompromi sistem penuh atau penolakan layanan? Berapa banyak kerentanan yang saat ini belum ditambal? Bagaimana sejarah serangan zero-day terhadap vendor? Seberapa sering browser vendor ditargetkan versus produk pesaing?

Tes keamanan browser. Bagaimana kinerja browser terhadap paket pengujian keamanan browser yang populer? Dalam ulasan ini, semua produk lulus uji keamanan browser paling terkenal yang ada di Internet, sehingga setiap item selanjutnya diekspos ke lusinan situs Web berbahaya di kehidupan nyata. Seringkali hasilnya tidak bagus. Saya sering mengalami penguncian browser, konten yang tidak pantas, dan terkadang sistem melakukan boot ulang secara lengkap.

Fitur pengelolaan perusahaan. melayani administrator dan teknisi yang perlu menyelesaikan tugas di seluruh perusahaan. Biasanya mudah untuk mengamankan peramban individual favorit untuk penggunaan pribadi, tetapi melakukannya untuk seluruh bisnis membutuhkan alat khusus. Jika browser dipilih untuk penggunaan perusahaan, seberapa mudahkah menginstal, menyetel, dan mengelola konfigurasi aman untuk setiap pengguna?

Ini adalah kategori umum yang dipertimbangkan saat meninjau setiap browser Internet.

Bagaimana saya menguji

Rangkaian pengujian berbasis Internet mencakup beberapa situs pengujian keamanan browser, seperti scanit dan Jason's Toolbox; beberapa situs pengujian JavaScript, Java, dan pemblokir pop-up; beberapa situs Web pengujian pembuatan skrip lintas situs (XSS); dan beberapa situs uji privasi browser. Saya menguji keamanan penanganan kata sandi browser menggunakan situs Web Penilai Kata Sandi dan keamanan penanganan cookie menggunakan situs Web Forensik Cookie Gibson Research Corporation. Saya menguji sertifikat Extended Validation menggunakan tautan yang disediakan di situs IIS7.

Saya menjelajahi lusinan situs Web yang diketahui berisi malware langsung dari beberapa daftar situs malware publik dan pribadi, termasuk ShadowServer. Saya juga mengunjungi lusinan situs Web phishing yang diketahui, milik PhishTank dan situs rujukan serupa. Saya menggunakan Process Explorer untuk memantau proses dan sumber daya lokal selama instalasi dan operasi yang sedang berlangsung. Dan saya mengendus lalu lintas jaringan browser menggunakan Microsoft Network Monitor atau Wireshark dan memeriksa hasil untuk kebocoran informasi.

Terakhir, saya juga mengandalkan pengujian kerentanan publik untuk evaluasi ini, termasuk Metasploit dan milw0rm.com. Statistik kerentanan diambil dari Secunia.com atau CVE.

Selain itu, setiap browser digunakan selama beberapa minggu (atau lebih) untuk menguji penggunaan umum, interval patch, dan fungsionalitas lain yang terlibat.

Browser paling aman

Oleh karena itu, kesimpulan keseluruhan dari ulasan ini adalah bahwa browser yang sepenuhnya ditambal dapat digunakan dengan relatif aman. Anda dapat mengubah browser, tetapi risiko Anda sama dengan semuanya - hampir nol - jika browser, OS, dan semua add-on serta plugin Anda sepenuhnya ditambal.

Namun, jika saya berpura-pura menjadi pengguna akhir yang tertipu untuk menjalankan program jahat yang dapat dieksekusi (seperti program anti-virus palsu), setiap browser memungkinkan sistem terinfeksi dan disusupi. Pengguna akhir yang menjalankan Windows Vista tanpa kredensial yang tinggi akan mencegah sebagian besar infeksi malware terjadi, tetapi bahkan pengguna tersebut dengan mudah dieksploitasi jika mereka dengan sengaja meningkatkan diri untuk menginstal program jahat.

Kiat keamanan browser

* Jangan login sebagai admin atau root saat menjalankan browser Internet (atau gunakan UAC di Windows Vista, SU di Linux, dll.).

* Pastikan browser, OS, dan semua add-on serta plug-in sepenuhnya ditambal.

* Jangan tertipu untuk menjalankan kode berbahaya.

* Jika tiba-tiba diminta untuk menginstal perangkat lunak pihak ketiga saat menjelajahi situs, buka tab lain dan unduh perangkat lunak yang diminta langsung dari situs Web vendor perangkat lunak.

* Berhati-hatilah dengan add-on dan plug-in yang Anda gunakan. Banyak yang tidak aman, banyak yang sangat tidak aman, dan beberapa sebenarnya adalah malware yang menyamar.