Веб-браузеры: новости, релизы, уязвимости, защита, безопасность, настройка, опыт использования

[Danilka 678]

Все производители браузеров должны взять на вооружение концепцию изолированных веб-страниц, принятую в Google Chrome, утверждает эксперт по безопасности.

По мнению Дино Дай Зови (Dino Dai Zovi), исследователя проблем компьютерной безопасности и соавтора «Справочника хакера по Mac OS» (The Mac Hacker's Handbook), высокозащищенные программы должны во многом полагаться на так называемые песочницы — изолированные области, в которых выполняющиеся операции отделены от других процессов, ОС и пользовательских данных. Действительно, даже если злоумышленнику удастся воспользоваться уязвимостью браузера и запустить вредоносный код, работа последнего будет ограничена определенными областью памяти и дискового пространства. Хакерам придется изыскивать куда более сложные пути проникновения в систему.

Упор на «песочницы» сделан не случайно, так как есть все предпосылки, что в будущих компьютерах вокруг браузера будет строиться вся пользовательская активность, и готовящаяся операционная платформа Google Chrome OS — тому первый вестник. Концепция «песочниц» не является панацеей, но позволит предотвратить подавляющее большинство атак.

Веб-обозреватель Google Chrome предложил концепцию «песочниц» с момента своего появления в сентябре 2008 года.

Microsoft Internet Explorer 7 и 8 для Windows Vista и Windows 7 располагают защищенными режимами работы, в которых привилегии приложений изрядно ограничены: киберпреступникам непросто записать, изменить или уничтожить данные на атакуемой машине или установить вредоносный код. Вместе с тем подобный режим не является настоящей «песочницей».

В нынешних версиях браузеров Mozilla Firefox, Apple Safari и Opera Software Opera отсутствуют какие-либо варианты «песочниц» и средств ограничения привилегий приложений. Между тем Apple начала реализацию «песочниц» в операционной системе Mac OS X 10.6 Snow Leopard, но в Safari их пока нет. Mozilla разрабатывает соответствующий проект Electrolysis, однако его идеи будут доступны лишь в Firefox 4.0, появление которого ожидается не ранее начала 2011 года.

http://soft.compulenta.ru/493627/

[Danilka 678]

От себя добавлю- - работайте через браузер, запуская его в песочнице KIS 2010 или в AVAST!5 после его релиза. Что такое песочница в KIS 2010 можно почитать тут: http://www.anti-malware.ru/node/1603

[Илья Рабинович 521]

А что, других песочниц в этом мире нет?

[Danilka 678]

Илья Рабинович

Предлагайте. Я предложил только то, чем интересуюсь.

[grex 40]

А что, других песочниц в этом мире нет?

О "других песочницах" что-то не очень хорошо отзываются: http://www.computerra.ru/terralab/softerra/493636/

[Илья Рабинович 521]

Я могу сказать на этот "отзыв" только одно- человек даже не попытался разобраться в сути вопроса и написал полную чушь, проявив абсолютный непрофессионализм. В моих глазах Терра упала ниже пола.

[Razboynik 105]

Сейчас установлен KIS 2010, а в качестве песочницы поставил Sandboxie (она более гибкая и удобная, чем встроенная в КИС). Ничего, дружат. В инет гуляю через Sandboxie, естественно Каспер так же контролирует и проверяет все веб страницы.

[Danilka 678]

Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за ошибки разыменования некорректного указателя, которая позволяет получить доступ к указателю после удаления объекта. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе.

Примечание: уязвимость активно эксплуатируется злоумышленниками в настоящее время.

Версии: Microsoft Internet Explorer 6.x, 7, 8

Подробнее:

http://www.microsoft.com/technet/security/...ory/979352.mspx

Лично я даж не дергаюсь - IE у меня в песочнице работает постоянно.

[Danilka 678]

Код для эксплуатации непропатченной уязвимости в Internet Explorer, использованный хакерами для нападения на компанию Google, уже опубликован в Интернете. Рассказал об этом технический директор MacAfee Джордж Курц, который в своем сообщении на блоге пояснил, что специалисты компании обнаружили указания на этот код в списках почтовых рассылок и по крайней мере на одном веб-сайте.

По его словам, публикация эксплоита значительно увеличивает вероятность роста числа атак на непропатченную уязвимость в браузере Microsoft, поскольку хакеры теперь имеют возможность получить контроль над компьютерами пользователей Internet Explorer, заманив их на специально созданную веб-страницу.

Курц отмечает также, что популярные утилиты тестирования на проникновения уже получили необходимые обновления и теперь также имеют в своем составе код этого эксплоита. Технический руководитель McAfee подчеркивает, что особенно смертоносной эта атака будет для тех ПК, которые работают под управлением старых версий Windows (в частности, Windows XP) и используют в качестве обозревателя Интернета Internet Explorer 6.

http://siblog.mcafee.com/cto/%E2%80%9Cauro...ack-now-public/

[Danilka 678]

Компания Microsoft обещает выпустить патч для уязвимости в Internet Explorer, использованную для атаки на корпоративные сети Google в Китае.

По словам экспертов, уязвимость была использована в общем счете для атаки на 34 компании, включая Adobe. Как правило, для успешного проведения подобных атак требуется последовательно использовать несколько уязвимостей, но в этот раз единственной уязвимостью, причастной к атакам, стал баг в IE.

В предварительном уведомлении, опубликованном на прошлой неделе, Microsoft пишет, что наиболее подвержены атаке пользователи IE6 в Windows XP, однако, и другие пользователи могут быть атакованы с помощью слегка модифицированной атаки.

Microsoft заявляет, что работа над патчем уже кипит, но ориентировочную дату релиза не называет. Следующий цикл обновлений намечен у Microsoft на 9 февраля.

Пресс-секретарь Google подтвердил, что против компании использовалась атаки с применением уязвимости в Internet Explorer, после чего Google сообщила о проблеме в Microsoft.

Google узнала об атаке еще в декабре и после обнаружения сервера, используемого для управления контролируемыми компьютерами, уведомила другие компании, на которые осуществлялась атака. Выяснилось, что такое вторжение было санкционировано китайским правительством, Google пригрозила полностью вывести свои бизнес-активы из Китая.

Компания McAfee опубликовала описание атаки, заявив, что пользователи, которые подверглись атаке, были выбраны потому, что "они обладали доступом к важной интеллектуальной собственности". Microsoft признает факт атаки, но говорит, что нет свидетельств тому, что ей подвержены продукты для работы с сетями и почтой.

Несмотря на то, что данная атака имеет ограниченное применение, Microsoft может выпустить внеочередное обновление для его устранения, говорят представители компании.

Вредоносный код, использованный для атаки Google, применим исключительно к IE6, запущенном в XP", однако же, последствия его были бы более глобальными, не будь в составе Windows XP технологии Data Execution Prevention (DEP), считает Дэн Камински (Dan Kaminsky), директор по тестированию атакой в IOActive.

К несчастью, добавляет он, уязвимость может быть использована для атаки более свежих версий IE, запущенных в Windows XP. В Vista и Windows 7 используется продвинутая технология защиты, известная как ASLR (абб. от address space layout randomization), которая в значительной степени усложняет реализацию обнаруженных уязвимостей.

Источник: http://computerworld.co.nz

[SBond 253]

Правительство Германии призывает своих граждан найти альтернативу самому популярному веб браузеру планеты – Internet Explorer (IE). Толчком к таким заявлениям со стороны руководства страны послужил недавний скандал вокруг хакерской атаки на веб сайт компании Google, во время которой злоумышленники воспользовались уязвимостью в системе безопасности IE.

Уязвимость была обнаружена в шестой, седьмой и восьмой версиях IE, и, согласно пока ещё непроверенной информации, инструкции по эксплуатации данной уязвимости уже вовсю "гуляют всемирной Сетью". В действительности некоторые эксперты утверждают, что использование IE сейчас эквивалентно открытым окнам в вашем доме.

Корпорация Microsoft прокомментировала заявление немцев, сказав, что все риски являются преувеличенными, а самим пользователям рекомендовала изменить уровень безопасности браузера на "повышенный", чтобы предотвратить любые опасные ситуации. Однако немецкое правительство продолжает настаивать на своем, утверждая, что такая мера не приведёт к безопасности в целом.

Представитель Microsoft в Германии, Thomas Baumgaertner, имеет свою точку зрения на произошедшие события. Он утверждает, что "нападение на веб сайт корпорации Google было совершено высоко мотивированными людьми с очень конкретной целью". Мистер Baumgaertner говорит, что данные нападения не были направлены на обычных пользователей всемирной Сети, и что они не сталкивались с данными угрозами.

Тем временем, пока программные инженеры в Редмонде работают над патчем, который смог бы исправить обнаруженную уязвимость в IE, Microsoft может лишь советовать пользователям изменить уровень безопасности браузера на "высокий", и ждать выхода патча. В любом случае, сложившаяся ситуация выглядит не очень хорошо для софтверного гиганта.

Источник: http://www.oszone.net/

[SBond 253]

Mozilla сегодня выпустила Firefox® 3.6, обновление популярного веб-браузера.

По заявлению производителя веб-браузер Firefox 3.6 более чем на 20 процентов быстрее Firefox 3.5, в нём произведена обширная работа по повышению производительности при выполнении повседневных задач в Интернете, таких как работа с веб-почтой, загрузка фотографий, общение в социальных сетях и многих других. В него также включены новые функции, такие как лёгкие темы браузера, называемые Personas, проверка и обновление плагинов, повышена скорость выполнения JavaScript и улучшены знакомые функции, такие как умная адресная строка.

По утверждению сайта производителя, более 350 миллионов пользователей по всему миру пользуются веб-браузером Firefox.

Источник: http://www.mozilla-europe.org/ru/

[TANUKI 240]

Илья Рабинович

Предлагайте. Я предложил только то, чем интересуюсь.

А как же Sanboxie?

[Danilka 678]

Буквально через день после релиза внеочередного обновления безопасности для Internet Explorer, устранившего уязвимость, которая была использована в атаках против Google и еще 30 крупных компаний, исследователи обнаружили в браузере Microsoft новые уязвимости.

Бостонская исследовательская компания Core Security Technologies обнаружила в Internet Explorer целый набор уязвимостей, которые могут быть использованы для удаленного исполнения произвольного кода на компьютерах под управлением Windows. Ни одна из этих уязвимостей не несет сколько-нибудь серьезного вреда для компьютера, но хакеры могут взломать компьютер, используя их вместе. "Есть три или четыре способа для выполнения подобной атаки" - сообщил Хорхе Луис Альварез Медина (Jorge Luis Alvarez Medina), консультант по вопросам безопасности в Core, в своем интервью агенству Reuters.

"Microsoft изучает уязвимость в Internet Explorer, о которой нам любезно сообщили в частном порядке" - заявил пресс-секретарь Microsoft. "На текущий момент нам неизвестно ни одного случая атак с использованием данной уязвимости, и мы думаем, что наши пользователи смогут избежать риска ввиду того, что об уязвимости было сообщено в частном порядке."

По завершении исследования Microsoft выпустит патч в ходе очередного цикла обновлений, либо выпустит внеочередное обновление, как было в случае с предыдущей уязвимостью. В ходе беседы пресс-секретарь воспользовался возможностью напомнить, что пользователям IE следует незамедлительно обновиться до Internet Explorer 8 и включить автоматическое обновление системы.

Медина планирует продемонстрировать уязвимость в IE на секьюрити-конференции Black Hat, которая начнется 2 февраля, но до того момента он будет сотрудничать с Microsoft, чтобы отыскать пути снижения риска от уязвимости. Однако, Медина считает, что после устранения обнаруженных им уязвимостей могут появиться уязвимости, использующие тот же принцип.

Источник: http://arstechnica.com/microsoft

[Андрей-001 1099]

Австралийские эксперты считают, что угроза безопасности IE раздута

Австралийские специалисты по компьютерной безопасности считают, что Франция и Германия оказались неправы, советуя гражданам отказываться от Internet Explorer. И на то есть ряд причин.

Австралийская группа реагирования на угрозы компьютерной безопасности (AusCERT), которая занимается сбором информации о компьютерных угрозах, считает, что угроза уже миновала, но опубликовала инструкции, позволяющие пользователям значительно снизить риск быть атакованным.

Начальник отдела информационной безопасности AusCERT Зейн Джарвис (Zane Jarvis) сказал, что это не решит проблему, а лишь приостановит атаку. "IE 6, 7 и 8 уязвимы к атаке, но те пользователи, которые использую IE8, уже имеют встроенную защиту - DEP. То же самое касается Vista SP1 и последующих ОС".

Пол Даклин (Paul Ducklin), директор технологического отделения фирмы Sophos, сказал, что отказ от использования IE может обеспечить пользователям безопасность, но это будет лишь временным решением.

Джарвис объяснил, что для удачного использования уязвимости хакеры должны вынудить пользователя посетить специальным образом созданную веб-страницу. McAfee подтвердила данное предположение.

C австралийскими экспертами согласно и британское правительство, заявившее, что нет свидетельств тому, что IE является менее безопасным браузером, чем альтернативные. В Великобритании IE6 используется во многих ведомствах, включая вооруженные силы.

Microsoft же порекомендовала пользователям перейти на Internet Explorer 8 и своевременно устанавливать все обновления, распространяемые через Windows Update и WSUS.

Первоисточник >>>

Русский перевод >>>

[SBond 253]

Google атаковали китайские "ПТУшники"

К такому выводу пришла команда экспертов по компьютерной безопасности, расследующая дело Google. По словам источников, атаки осуществлялись через подставные сети и инфицированные компьютеры, но их координаторы располагались именно в двух вышеназванных местах. С момента появления информации об атаке 12 января эксперты смогли лишь установить, что серверы хакеров располагались на Тайване.

Кибератаки на Google и десятки других компаний были совершены с компьютеров, установленных в двух образовательных заведениях Китая. По предварительным данным, атаки совершались с апреля 2009 года, а в январе достигли пика.

Следы атаки ведут к шанхайскому университету Цзяотун и профессионально-техническому училищу Ланьсян, занимающегося подготовкой IТ-специалистов для нужд армии*.

Проявление в списке подозреваемых двух китайских учебных заведений является настоящим прорывом. Выход на их след стал возможным после получения информации от одной из компаний — подрядчиков министерства обороны США, которая пострадала от атаки, похожей на атаку на Google. Эта информация привела специалистов к кафедре информатики и вычислительной техники в школе повышения квалификации. Кафедрой руководит некий украинский профессор, имя которого не называется.

Напомним, что в начале января Google публично заявил о нескольких попытках взлома электронных адресов китайских правозащитников. Эксперты по безопасности выяснили, что атаки проходили через браузер Internet Explorer, уязвимостью которого и воспользовались хакеры.

Google указал на причастность к этому китайского правительства. Однако власти КНР настойчиво опровергали эту информации и даже выдвигали встречные обвинения в попытке Вашингтона прибрать к рукам китайский интернет.

Представители двух образовательных учреждений Китая, которые подозреваются в организации кибератак, говорят, что не имеют к этому никакого отношения.

Источник: www.securitylab.ru

*РS -Хорошо ребята готовятся, молодцы, так скажем попробовали свои силы на практике

[SBond 253]

Экран выбора браузера в Windows появится 1 марта

Уже на следующей неделе Microsoft предложит британским, бельгийским и французским пользователям Windows экран выбора браузера по умолчанию. С 1 марта процесс охватит всех приверженцев Windows, проживающих на территории Евросоюза.

Этот шаг Microsoft вынудила пойти Еврокомиссия, обвинившая корпорацию в нарушении монопольного законодательства. В июне 2009 года Комиссия сообщила, что Microsoft злоупотребляет своим положением на рынке, и не исключила, что наложит на компанию крупный штраф. В декабре был достигнут компромисс — Microsoft пообещала, что предоставит пользователям Windows возможность отказаться от Internet Explorer и выбрать другой браузер.

Пользователи, купившие c 1 марта европейские версии Windows 7, после инсталляции или же при первом включении нового компьютера увидят перед собой окно выбора, названиями и описаниями пяти самых популярных в мире браузеров — Internet Explorer, Firefox, Google Chrome, Opera и Safari. Microsoft подчеркивает, что названия браузеров отображаются в случайном порядке. Пользователь может выбрать любой из них в качестве "браузера по умолчанию", затребовать дополнительную информацию, открыть список дополнительных браузеров (будет предложено еще 7 вариантов) или же отложить этот вопрос.

Источник: www.securitylab.ru

[Андрей-001 1099]

У Firefox обнова - версия 3.6

Позиционируется, как самый быстрый FF из всех. Но размер потребляемой памяти очень большой для этого браузера. См. тут.

[Андрей-001 1099]

Opera 10.50 уже вышла

Окончательный вариант Opera 10.50 обладает минималистичным интерфейсом (верхние меню по умолчанию убраны, но их можно вернуть), графической оболочкой Vega, новым JavaScript-движком Carakan и возможностью работать в приватном режиме. Браузер поддерживает характерные для Windows 7 эффекты Aero Peek и Jump Lists, а также стандарты HTML5 и CSS3, что позволяет веб-разработчикам создавать приложения, функционирующие на открытых технологиях.

Пока Opera 10.50 доступен только для Windows. В ближайшее время будут анонсированы версии браузера для Mac и Linux.

Прямая ссылка для скачивания >>>

Советы по Opera >>>

[Deja_Vu 366]

Opera 10.50 уже вышла

Честно говоря, рановато выпустили. Ещё многовато множества мелких недостатков.

+ Отсутствует часть функционала в JavaScript.

windows.selection - например.

[SBond 253]

Честно говоря, рановато выпустили. Ещё многовато множества мелких недостатков.

+ Отсутствует часть функционала в JavaScript.

windows.selection - например.

IMHO - Спешили, видать очень спешили, он у них получился быстрым, быстрее чем этот браузер я не видел... (имею ввиду из серьезных производителей веб-браузеров)

Для меня лично, важнее безопасность, поэтому даже не смотря на все вкусности этого браузера, у него все равно нет шансов перед FF...Ну, а глюки и сырость программы у них давно, последняя более-менее версия по памяти -9.26 или 9.27 не помню

[Андрей-001 1099]

Честно говоря, рановато выпустили. Ещё многовато множества мелких недостатков.

Честно говоря - Да.

Где-то выше я уже сравнивал три браузера по потребляемой памяти. Эта новая версия по этой части просто монстр среди предыдущих сборок. Пустая страница - 39-45 Мб. Раньше же намного было меньше, а на втором запуске - даже меньше, чем у IE. Сейчас такой размер потребляемой памяти всегда в указанных пределах - на разных компьютерах.

См. сами. Представлены четыре браузера - IE синий от MS, IE зелёный от 360, FF и Opera. Нетрудно сравнить - у кого больше, у кого меньше. Раньше Opera можно было поставить даже на старенькие Пент/Сел2 и 3. Теперь уже нет. Очень жаль.

И страницу на русский интерфейс до конца не перевели. Всегда в последнее время была, а теперь нету. Куда торопились, непонятно.

Хотя выход прост - на старые пеньки придётся ставить предыдущие сборки Opera. Не лишать же их любимого браузера. Они этого не поймут.

[Razboynik 105]

Сейчас у меня установлена Опера 10.10

Полез в:

Справка -> Проверить обновления

Проверило:

Вы используете самую последнюю версию Opera.

--------

Раньше всегда эта опция сообщала о новых версиях (сразу по наличии обновы) и предлагало обновиться. А сейчас обновления не видит... Что-то не так, может разрабы готовятся отозвать сборку...

Пока не буду скачивать, подожду пару неделек пока по данной опции не предложит обновить. А если через недельку-другую на сайте все также будет также красоваться Опера 10.50 (даже если опция не будет видеть обнову), тогда и скачаю.

[Андрей-001 1099]

Проверило:

Вы используете самую последнюю версию Opera.

Да, правильно. У меня также вчера было. Видимо есть какие-то официальные недоработки. Потому то и не было официального уведомления. Ничего немного погоняют, выявят недоработки и всё исправят.

[Deja_Vu 366]

Для меня лично, важнее безопасность, ...., у него все равно нет шансов перед FF

Тогда ваш выбор(Fx) я не понимаю. Безопасность и FireFox у меня как то не вяжется.

Опера сыровата на мой взгляд по мелочам, типа "интерфейс надо немножко обдумать при организации закладок, а то чуток кривовато"

На счет безопасности, к ней, как раз, не может быть претензий