Guide du centre de test sur la sécurité du navigateur

Le récent correctif d'urgence hors bande pour Internet Explorer a de nombreux experts recommandant n'importe quel navigateur sauf IE comme la meilleure défense de sécurité. Bien qu'il y ait une certaine sécurité à utiliser des logiciels moins fréquemment attaqués, une meilleure question est de savoir quel est le choix le plus sûr parmi les navigateurs les plus populaires? Quelles sont les fonctionnalités de sécurité les plus importantes à rechercher dans un navigateur et quelles sont les faiblesses à prendre en compte?

Cette revue se concentre sur les fonctionnalités de sécurité des navigateurs Internet Windows suivants: Google Chrome, Mozilla Firefox, Microsoft Internet Explorer, Opera Software et Safari d'Apple. Tous sauf Chrome sont inclus car ils se classent parmi les navigateurs les plus populaires, avec de longs antécédents et des millions d'utilisateurs. Google Chrome est inclus car il dispose d'un modèle de sécurité unique et de la forte attente de ronger considérablement la part de marché des autres navigateurs. Les dernières versions accessibles au public (y compris les versions bêta) ont été utilisées dans l'examen. Chaque navigateur a été testé sur Windows XP Pro SP3 et Windows Vista Entreprise.

[Pour en savoir plus sur la sécurité du navigateur et les examens de sécurité du centre de test de Chrome, Firefox, Internet Explorer, Opera et Safari, consultez le rapport spécial de. ]

Le but de cet examen était de tester l'aptitude à la sécurité de chaque navigateur. En tant que tels, ces revues ne couvrent généralement pas les nouvelles fonctionnalités non liées à la sécurité. De plus, comme cet examen était axé sur le test de la sécurité de chaque navigateur particulier, tous les navigateurs ont été testés avec les modules complémentaires par défaut installés par le fournisseur uniquement. Par exemple, bien que NoScript soit un module complémentaire de navigateur Firefox populaire souvent installé pour améliorer la sécurité, il n'est pas installé par défaut et n'est pas créé par le fournisseur, il n'a donc pas été inclus dans la révision.

Divulgation complète: l'auteur de cet article est employé à plein temps par Microsoft en tant qu'architecte de la sécurité. Il n'a aucune implication dans le développement ou la commercialisation d'Internet Explorer. Il utilise quotidiennement plusieurs navigateurs sur plusieurs plates-formes OS et a plusieurs favoris, y compris des navigateurs non inclus dans cette revue.

Créer un navigateur sécurisé

En général, les administrateurs doivent considérer chaque navigateur Web connecté à Internet comme à haut risque. Dans les environnements à très haute sécurité, les navigateurs Web ne sont pas autorisés à s'exécuter ou à restituer du contenu à partir d'Internet. Mais en supposant que votre entreprise a besoin de naviguer sur Internet et recherche un navigateur Web avec un niveau de sécurité acceptable, continuez à lire. Un navigateur sécurisé doit inclure au minimum les caractéristiques suivantes:

* Il a été codé à l'aide des techniques SDL (Security Development Lifecycle).

* Il a subi une révision de code et un fuzzing.

* Il sépare logiquement les domaines de sécurité réseau et local.

* Il empêche le contrôle à distance malveillant facile.

* Il empêche la redirection malveillante.

* Il a des valeurs par défaut sécurisées.

* Il permet à l'utilisateur de confirmer tout téléchargement ou exécution de fichier.

* Il empêche l'obscurité des URL.

* Il contient des fonctionnalités anti-débordement de tampon.

* Il prend en charge les protocoles sécurisés courants (SSL, TLS, etc.) et les chiffrements (3DES, AES, RSA, etc.).

* Il se corrige et se met à jour automatiquement (avec le consentement de l'utilisateur).

* Il a un bloqueur de pop-up.

* Il utilise un filtre anti-hameçonnage.

* Il empêche l'utilisation abusive des cookies du site Web.

* Il empêche l'usurpation d'URL facile.

* Il fournit des zones / domaines de sécurité pour séparer la confiance et la fonctionnalité.

* Il protège les informations de connexion du site Web de l'utilisateur pendant le stockage et l'utilisation.

* Il permet aux modules complémentaires de navigateur d'être facilement activés et désactivés.

* Il empêche l'utilisation malicieuse des fenêtres.

* Il fournit des contrôles de confidentialité.

Un autre bon endroit pour commencer à apprendre les bases détaillées de la sécurité des navigateurs Web est la partie 2 du Manuel de sécurité du navigateur, mis à jour par Michal Zalewski. Le Manuel de sécurité du navigateur offre une excellente introduction à de nombreuses politiques de sécurité en coulisse qui sous-tendent la plupart des navigateurs actuels et indique quelles fonctionnalités sont prises en charge dans divers navigateurs.

Comment mesurer la sécurité d'un navigateur

Modèle de sécurité.Chaque navigateur est codé sur la force sous-jacente du modèle de sécurité choisi par le fournisseur de navigateur. Ce modèle est ce qui maintient le côté du réseau non approuvé séparé des zones de sécurité plus fiables. Si un logiciel malveillant est capable d'exploiter le navigateur, avec quelle facilité peut-il compromettre l'ensemble du système? Quelles défenses le fournisseur a-t-il inclus dans le navigateur?conception sous-jacente pour empêcher l'utilisation malveillante? Comment la redirection malveillante (telle que les scripts intersites entre domaines et le vol de trames) est-elle empêchée? La mémoire est-elle sécurisée et nettoyée contre la réutilisation malveillante? Le navigateur offre-t-il aux utilisateurs finaux plusieurs domaines ou zones de sécurité avec différents niveaux de fonctionnalités dans lesquels placer différents sites Web en fonction de leur niveau de confiance associé? Quelles protections pour l'utilisateur final ont été intégrées au navigateur? Le navigateur tente-t-il de se mettre à jour? Toutes ces questions, et plus encore, permettent de déterminer l'adéquation du modèle de sécurité d'un navigateur.

Lorsque le navigateur fonctionne sous Windows, tire-t-il parti de la prévention de l’exécution des données (DEP)? S'il fonctionne sous Windows Vista, utilise-t-il la virtualisation des fichiers et du registre, les contrôles d'intégrité obligatoires (voir la barre latérale) ou la randomisation de la disposition de l'espace d'adressage? Ces sujets nécessitent trop d'espace pour être abordés de manière appropriée dans cette revue, mais les quatre mécanismes peuvent rendre plus difficile pour les logiciels malveillants d'obtenir le contrôle du système.

Ensemble de fonctionnalités et complexité. Plus de fonctionnalités et une complexité accrue sont l'antithèse de la sécurité informatique. Des fonctionnalités supplémentaires signifient plus de code disponible à exploiter avec des interactions plus inattendues. Inversement, un navigateur avec un ensemble de fonctionnalités minimal peut ne pas être en mesure de rendre des sites Web populaires, ce qui oblige l'utilisateur à utiliser un autre navigateur ou à installer des modules complémentaires potentiellement non sécurisés. Les modules complémentaires populaires sont souvent exploités par les auteurs de logiciels malveillants.

Les zones de sécurité définissables par l'utilisateur (également appelées domaines de sécurité) sont également une caractéristique importante. En fin de compte, moins de fonctionnalités se traduit par une meilleure sécurité. Les zones de sécurité permettent de classer divers sites Web comme étant plus fiables et, par conséquent, adaptés à une plus grande fonctionnalité. Vous devriez pouvoir faire beaucoup plus confiance aux sites Web de votre entreprise qu’à un site Web proposant des logiciels piratés ou à une petite page Web servie par une personne que vous ne connaissez pas. Les zones de sécurité vous permettent de définir divers paramètres et fonctionnalités de sécurité en fonction de l'emplacement, du domaine ou de l'adresse IP du site Web.

Les domaines de sécurité sont utilisés dans chaque produit de sécurité informatique (pare-feu, IPS, etc.) pour établir des limites de sécurité et des zones de confiance par défaut. Avoir une zone de sécurité dans un navigateur étend ce modèle. Les navigateurs sans zones de sécurité vous encouragent à traiter tous les sites Web avec le même niveau de confiance - ainsi qu'à reconfigurer le navigateur ou à utiliser un autre navigateur pour les sites Web moins fiables avant chaque visite.

Annonces de vulnérabilité et attaques. Combien de vulnérabilités ont été trouvées et annoncées publiquement contre le produit du navigateur? Le nombre de vulnérabilités augmente-t-il ou diminue à mesure que le fournisseur corrige son navigateur? Quelle a été la gravité des vulnérabilités? Permettent-ils une compromission complète du système ou un déni de service? Combien de vulnérabilités sont actuellement non corrigées? Quelle est l'historique des attaques zero-day contre le fournisseur? À quelle fréquence le navigateur du fournisseur est-il ciblé par rapport au produit d'un concurrent?

Tests de sécurité du navigateur. Comment le navigateur s'est-il comporté par rapport aux suites de tests de sécurité de navigateur couramment disponibles? Dans cette revue, tous les produits ont réussi les tests de sécurité de navigateur les plus connus sur Internet, de sorte que chaque élément a été davantage exposé à des dizaines de sites Web malveillants réels. Souvent, le résultat n'était pas joli. J'ai rencontré de fréquents blocages de navigateur, du contenu répréhensible et parfois des redémarrages complets du système.

Fonctionnalités de gestion d'entreprise. s'adresse aux administrateurs et aux techniciens qui doivent accomplir des tâches dans toute l'entreprise. Il est généralement facile de sécuriser un navigateur individuel préféré pour un usage personnel, mais le faire pour une entreprise entière nécessite des outils spéciaux. Si le navigateur a été sélectionné pour une utilisation en entreprise, dans quelle mesure est-il facile d'installer, de définir et de gérer des configurations sécurisées pour chaque utilisateur?

Ce sont les catégories générales qui ont été prises en compte lors de l'examen de chaque navigateur Internet.

Comment j'ai testé

Les suites de tests sur Internet comprenaient plusieurs sites de test de sécurité du navigateur, tels que scanit et Jason's Toolbox; plusieurs sites de test JavaScript, Java et de blocage de fenêtres publicitaires intempestives; plusieurs sites Web de test de scripts intersites (XSS); et plusieurs sites de test de confidentialité des navigateurs. J'ai testé la sécurité de la gestion des mots de passe des navigateurs à l'aide du site Web Password Manager Evaluator et la sécurité de la gestion des cookies à l'aide du site Web Cookie Forensics de Gibson Research Corporation. J'ai testé les certificats Extended Validation en utilisant les liens fournis sur le site IIS7.

J'ai surfé sur des dizaines de sites Web connus pour contenir des logiciels malveillants en direct provenant de plusieurs listes de sites de logiciels malveillants publics et privés, y compris ShadowServer. J'ai également visité des dizaines de sites Web de phishing connus, grâce à PhishTank et à des sites de référence similaires. J'ai utilisé Process Explorer pour surveiller les processus et les ressources locaux pendant l'installation et les opérations en cours. Et j'ai reniflé le trafic réseau des navigateurs à l'aide de Microsoft Network Monitor ou Wireshark et j'ai examiné les résultats pour détecter les fuites d'informations.

Enfin, je me suis également appuyé sur des tests de vulnérabilité publics pour ces évaluations, notamment Metasploit et milw0rm.com. Les statistiques de vulnérabilité proviennent de Secunia.com ou CVE.

De plus, chaque navigateur a été utilisé sur une série de plusieurs semaines (ou plus) pour tester l'utilisation générale, les intervalles de correctifs et d'autres fonctionnalités impliquées.

Le navigateur le plus sécurisé

Par conséquent, la conclusion générale de cet examen est que tout navigateur entièrement corrigé peut être utilisé de manière relativement sûre. Vous pouvez changer de navigateur, mais votre risque est le même pour tous - presque zéro - si votre navigateur, votre système d'exploitation et tous les modules complémentaires et plug-ins sont entièrement corrigés.

Cependant, si je prétendais être un utilisateur final amené à exécuter un exécutable malveillant (tel qu'un faux programme antivirus), chaque navigateur permettait au système d'être infecté et compromis. Les utilisateurs finaux exécutant Windows Vista sans informations d'identification élevées auraient empêché la plupart des infections de logiciels malveillants, mais même ces utilisateurs ont été facilement exploités s'ils se sont volontairement élevés pour installer le programme malveillant.

Conseils de sécurité du navigateur

* Ne vous connectez pas en tant qu'administrateur ou root lorsque vous exécutez un navigateur Internet (ou utilisez UAC sous Windows Vista, SU sous Linux, etc.).

* Assurez-vous que le navigateur, le système d'exploitation et tous les modules complémentaires et plug-ins sont entièrement corrigés.

* Ne soyez pas trompé en exécutant du code malveillant.

* Si vous êtes inopinément invité à installer un logiciel tiers lors de la navigation sur un site, ouvrez un autre onglet et téléchargez le logiciel demandé directement à partir du site Web du fournisseur du logiciel.

* Faites attention aux modules complémentaires et plug-ins que vous utilisez. Beaucoup ne sont pas sécurisés, beaucoup sont très peu sécurisés et certains sont en fait des logiciels malveillants déguisés.