事端 – 安全漏洞穿透用戶桌面
2009年2月，微軟發佈了廣受關注的MS09-002安全漏洞公告，並隨之馬上提供了針對該漏洞的更新補丁。當訪問者使用IE 7瀏覽器訪問特定規格的網頁時，MS09-002漏洞會允許遠程惡意代碼執行，從而破壞訪問者的計算機系統。這一問題的典型性在於，面向瀏覽器的惡意***已經成爲過去一年當中增長最爲迅猛的一類桌面安全威脅。同時，在該威脅發佈後的，各大防病毒產品廠商都截獲了大量基於該漏洞的***。甚至一些以前流行過的惡意軟件，都開始集成針對MS09-002的***機制生成新變種，試圖捲土重來。
|
其它近期值得關注的安全漏洞
在MS09-002漏洞發佈之前，還有一些值得關注的針對瀏覽器的安全漏洞。比如去年年底出現的微軟0day漏洞，其影響的瀏覽器版本比MS09-002還要廣泛。而目前最新爆出的Adobe安全漏洞，則利用了PDF文檔中嵌入的可執行瀏覽器腳本，將會引起非常廣泛的安全影響。 |
緣起 – 安全爆炸點的輪迴
在整個2008年當中，桌面安全的最主要問題集中於***下載器等等以Web訪問爲載體的病毒程序。據不完全統計，在過去的三年間，基於Web的病毒程序每年都保持着至少翻一番的增長水平。而2008年作爲病毒大爆發的一年，所出現的超過一千萬種新病毒中，有超過百分之二十都是下載器程序。其實下載器程序並不是一個新鮮產物，在很早之前就有使用這類機制的惡意程序存在。但是之所以在近年來變得如此“繁榮”，核心的原因還在於桌面安全***兩大陣營的角力，所帶來的整個安全環境的變化。作爲最古老也是最基本的互聯網應用，網頁訪問無疑擁有最龐大的用戶羣體和最高的使用頻率。但是隨着瀏覽器軟件的功能不斷豐富、家族成員不斷增長，反而成爲在安全防護上相對薄弱的一環。與電子郵件、即時通訊等主流互聯網應用相比，網頁訪問保護工具雖然數量不少，但在深度和精度上卻難以匹敵其它專項工具。由於網頁訪問表面的簡單性，反而掩蓋了用戶誤用行爲所帶來的危害，以及紛繁的技術功能所帶來的安全隱患。
畫像 – 瀏覽器上的安全風險
爲了提供更豐富的功能，在Web頁面中使用了越來越多的客戶端腳本和組件技術。這一方面帶來了更好的功能和用戶體驗，同時也使用戶在使用瀏覽器軟件時要面對更多的安全問題。木秀玉林，風必摧之，JavaScript客戶端腳本技術已經成爲事實標準上的標準，自然也是被惡意軟件利用的主要對象。由於JavaScript對操作系統的使用範圍和權限受到了較爲嚴格的限制，所以很難利用其直接進行破壞。但是下載器程序往往利用JavaScript到互聯網上下載實際的***代碼。ActiveX作爲瀏覽器軟件與其它平臺進行交互的重要技術，也有着悠久的安全問題歷史。由於具有比瀏覽器腳本更強的系統操縱能力，基於ActiveX組件的病毒程序往往更具破壞力，而且可以直接對操作系統展開***。很多企業級的軟件系統將ActiveX組件作爲實現客戶端功能的核心技術，使安全保護體系的搭建變得更加複雜。除此之外，利用Windows Script Host的VBScript以及目前已經較少使用的Java Applet小程序等等，都可以基於瀏覽器開展破壞活動。同樣值得關注的是，作爲桌面計算機上最常用的應用程序，瀏覽器現在與操作系統的結合越來越緊密。除了與Windows操作系統緊密集成的IE瀏覽器之外，其它的瀏覽器同樣也利用很多操作系統的底層組件來提升自身的功能價值。這也是爲什麼利用瀏覽器問題的安全***可以如此具有破壞力的重要原因，很多漏洞允許***代碼可以直接破壞或利用操作系統核心。特別對於那些廠商尚未發佈更新補丁的0day***來說，桌面計算機將完全暴露在***之下幾無還手之力，這也是目前雲安全技術被寄予厚望的原因。趨勢科技在截獲微軟瀏覽器的0day***漏洞時只花了幾分鐘時間，這給漏洞補丁的及時發佈提供了良好的前提。而幾乎已經成爲標準功能的基於雲設施的Web地址過濾，則可以有效地防止用戶訪問那些帶有安全威脅的網站，這樣即使計算機在存在漏洞的情況下也有更大的機率在面對***時生存。
走向 – 互聯網入口的安全變革
一直依賴，對於瀏覽器這個最重要的互聯網訪問入口，用戶主要依賴於安全廠商提供的軟件產品來獲得安全保護。不過可以看到，瀏覽器廠商們也在不斷補充自身產品的安全特性，這可以給用戶帶來層次更豐富的保護。對於各種利用客戶端腳本的安全***，特別是利用ActiveX這樣可能直接實現安全***的惡意程序，瀏覽器產品以及操作系統本身的安全機制往往顯得更加重要。微軟在新推出的IE8瀏覽器當中，會對傳統的ActiveX控件機製作出調整。在新的瀏覽器版本中，ActiveX控件的安裝將不再需要管理員權限，而使用當前登錄用戶的權限安裝。這樣可以實現更符合邏輯的權限分割，一旦當惡意程序利用了ActiveX感染了計算機，也不會輕易的獲得管理權限。而且如果一個ActiveX插件不在該機制的白名單中，其操作本地系統的功能將受到很大的限制，這可以很好的緩解利用ActiveX機制破壞操作系統的問題。這一改變的衍生意義在於，用戶和廠商都可以更好地對Flex、Silverlight等流行的富客戶端訪問插件進行控制，從而在一定程度上避免瀏覽器上不斷增加的可執行能力所帶來的安全風險。不過，這項改進也存在一些限制，比如目前只有在Vista或更高版本的操作系統中才能使用該機制，而目前佔有率還比較高的XP操作系統則無法使用。
以網絡釣魚爲代表的各種網絡欺詐，也是目前主要的安全威脅之一。瀏覽器軟件正在廣泛地集成各種識別欺騙性網址的功能，其中較爲典型的當屬FireFox。由於提供插件開發機制，用戶除了可以使用FireFox自身提供的防網絡釣魚功能，還可以下載很多提供類似功能的插件，從而獲得較爲適合自己的防欺詐保護。在微軟的IE8瀏覽器當中，還提供了一項獨特的功能改進。用戶在瀏覽器的地址欄輸入網址之後，IE8會識別網址中的頂級域名部分並將其用高亮的形式顯示。雖然這項改進看起來非常的小，但是在實際使用過程中的效果缺出乎意料的有效。這能夠明顯地提高用戶的注意力，從而判別自己是否正確輸入了網址。同時，在IE8中提供的增強的安全過濾器，也可以完成對網址的分析。最重要的是，通過設置安全策略，可以將這個安全過濾器的防護等級提高，從而更大限度的屏蔽可疑網址。
|
上網行爲安全袖珍指南
事實上除了注意更新操作系統漏洞和使用有效的安全防護產品等技術手段之外，想提高訪問互聯網時的安全性，要重點控制上網時的用戶行爲。注意應用情景是首要的原則，雖然在自己的個人計算機上記憶密碼相對比較安全，但是養成不使用記憶密碼功能的習慣還是更加穩妥。如果是在公共場合上網，即使沒有使用密碼記憶，也建議對訪問歷史進行清除。不要註冊帳號時使用相同的信息是另一個好習慣，這樣可以避免一點被突破破層層被突破。同時，對於不需要提供真實信息的網絡服務，在註冊的時候還是應該適當的保留個人信息。 |
展望 – 瀏覽器的明日危機