Представлен релиз-кандидат Internet Explorer 9

Представлен релиз-кандидат Internet Explorer 9

Предварительное тестирование новой версии обозревателя от Microsoft вступает в заключительную фазу: корпорация представила сборку, которая претендует на роль официального выпуска. Представители компании сообщают, что все ранее заявленные функции введены в строй, так что браузер можно считать почти готовым; в скором времени появится и окончательная, финальная сборка.



Первые образцы IE9 увидели свет примерно год назад, в марте 2010. Этап собственно построения продукта продолжался вплоть до сентября, когда корпорация представила публичную бета-версию обозревателя; за прошедшие с тех пор пять месяцев счетчик загрузок приложения сработал более 25 млн. раз. Создатели браузера обработали 17 тыс. отзывов и предложений; по их словам, "продукт был улучшен по всем показателям, будь то производительность, соответствие различным стандартам, интерфейс, безопасность или конфиденциальность".


Итак, пользователям обещают высокую скорость отображения страниц, малое потребление памяти, поддержку дополнительных веб-стандартов и систему защиты от рекламодателей - Tracking Protection. Последнее нововведение - это ответ Microsoft на призыв федеральной торговой комиссии США ввести во все обозреватели Интернета функцию "Do Not Track"; напомним, что на упомянутое воззвание откликнулись пока три поставщика браузеров (Microsoft, Google и Mozilla), и у каждого из них получился свой вариант решения.


Tracking Protection - это дополнительный инструмент, который по умолчанию отключен. Принцип его работы основан на составлении и обработке особых "списков", позволяющих блокировать третьесторонние сайты и их содержимое; таким образом, рекламные сети, попавшие в список, автоматически отсекаются и лишаются возможности следить за посетителем веб-узлов. При этом корпорация заявила, что сама заниматься составлением списков не станет; эта задача будет возложена на плечи пользовательской аудитории IE9 и специализированных экспертных организаций. На сайте обозревателя уже есть страница со ссылками, по которым можно загрузить готовые списки.


Microsoft уверена, что новый выпуск Internet Explorer поможет ей по крайней мере частично восстановить свое влияние на рынке браузеров: в настоящее время доля IE постоянно снижается и по данным на конец января составляет 56% - очередной исторический минимум. Стоит, однако, заметить, что релиз-кандидат можно установить только на Windows Vista или 7; под управлением Windows XP обозреватель не работает, хотя эта операционная система по-прежнему остается наиболее популярной.


Computerworld

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новая атака Opossum позволяет внедрять данные в TLS-сессии

Исследователи обнаружили новый вектор атаки под названием Opossum. Он позволяет злоумышленнику вмешиваться в якобы защищённую сессию TLS — при этом шифрование никто не взламывает.

Атака работает за счёт несогласованности между двумя режимами TLS: «implicit» (например, HTTPS на порту 443, где защита включается сразу) и «opportunistic» (например, HTTP на порту 80, где защита активируется позже через апгрейд-запрос).

Используя это отличие, атакующий может вызвать рассинхронизацию между клиентом и сервером, после чего — незаметно встроить в канал поддельные данные.

Сценарий простой: клиент подключается к HTTPS, но злоумышленник перенаправляет его запрос на порт HTTP, сам инициирует апгрейд до TLS, а затем тайно синхронизирует обе сессии.

В итоге и клиент, и сервер думают, что всё идёт по плану — хотя злоумышленник в любой момент может подменить сообщения или задержать ответы.

Opossum базируется на принципах вектора атаки ALPACA, но работает даже там, где меры против ALPACA уже внедрены. Это делает «опоссума» особенно опасным, поскольку он бьёт не по самому TLS, а по логике взаимодействия приложений.

 

Эксперты говорят: отключить opportunistic TLS — не вариант, особенно на почтовых серверах и старых системах. Лучше изолировать порты и режимы TLS, а также включить проверку соответствия между протоколом и портом. Можно дополнительно отслеживать подозрительные апгрейд-заголовки.

Главный вывод — зрелые протоколы вроде TLS всё ещё могут быть уязвимыми из-за архитектурных нюансов. И чтобы не стать жертвой атак вроде Opossum, стоит внимательно относиться ко всем уровням стека безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru