بررسي امنيت در مرورگر ie نسخه 9

واضح آرشیو وب فارسی:فان پاتوق: مايكروسافت در ماه مارس سال جاري آخرين نسخه از مرورگر وب خود، يعني IE نسخه 9 را عرضه كرد. اين مرورگر محيطي زيبا و شفاف دارد و نسبت به نسخه هاي قبلي از سرعت بيشتري برخوردار است، ولي آيا از امنيت بيشتري هم برخوردار است؟

چرا امنيت مرورگر نسبت به گذشته اهميت بيشتري دارد؟
دو جزء براي امنيت وب وجود دارد: امنيت وب سايت.ها و سرورهايي كه اين سايت.ها روي آنها قرار دارند، و امنيت نرم افزارهاي كلاينت، يعني همان مرورگرهاي وب كه اين وب سايت.ها توسط آنها مشاهده مي.شوند. زماني مرورگر وب فقط يك برنامه در ميان تعداد زيادي از برنامه هاي كاربردي اينترنتي بود، ولي اكنون اينگونه نيست.
در حاليكه ما زماني از كلاينت هاي پست الكترونيكي، كلاينت.هاي FTP، كلاينت.هاي IRC، خوانندگان گروه خبري و ... به صورت مجزا استفاده مي كرديم، امروزه بسياري از كاربران كامپيوتر اكثريت كارهاي محاسباتي خود را توسط مرورگرها انجام مي.دهند.
اكنون مرورگر وب در كانون توجهات قرار گرفته و شامل گزينه هايي است كه بيشتر كاربران از اين گزينه ها در كامپيوتر خود استفاده مي.كنند. اين موارد باعث مي.شود كه امنيت مرورگر اكنون از هر زماني مهمتر باشد. مرورگر بايد نه تنها براي گشت و گذار در سايت.ها براي كسب اطلاعات، بلكه براي انجام فعاليت.هاي حساس، يك محيط امن را فراهم كند. مرورگر وب يكي از برنامه هاي كاربردي است كه اغلب مورد سوء استفاده قرار مي.گيرد. در مسابقات سالانه هك مرورگرهاي Pwn2Own، پژوهشگران امنيتي براي شكست دادن مرورگرهاي محبوب وب باهم به رقابت مي.پردازند. در رقابت سال گذشته، IE نسخه 8 و Safari نسخه 5.0.3 با موفقيت هك شدند.

تحول در امنيت IE
نسخه 1.0مرورگر وب مايكروسافت اولين بار در بسته ويندوز 95 عرضه شد. در آن روزها و در اوايل ظهور تجارت اينترنتي، امنيت موضوع چندان مهمي نبود. اگرچه در پايان سال 1995 و هنگاميكه نسخه 2.0 اين مرورگر عرضه شد، مايكروسافت قابليت پشتيباني ازلايه سوكت.هاي امن ((SSL را به آن اضافه كرد، اما نسخه هاي بعدي اين مرورگر بيشتر بر روي اضافه كردن قابليت.هايي مانند پيشرفت.هاي چند رسانه اي، افزايش عملكرد و پايداري تمركز كردند. با اين حال عملكرد پيشرفته تر مرورگر، به معناي ايجاد ويژگي.هايي بود كه مي.توانستند مورد سوء استفاده قرار بگيرند و به همين دليل IE از مفهوم مناطق امنيتي استفاده كرد.
مرورگر IE نسخه 6.0 كه به صورت پيش فرض بر روي ويندوز XP وجود داشت، اولين نسخه از IE بود كه با استفاده از يك ابزار جديد مديريت كوكي، شروع به عرضه امكانات امنيتي و حفظ حريم خصوصي كرد و اولين پياده سازي پروتكل P3P را براي كنترل تنظيمات خصوصي ارائه داد. جالب اينجاست كه IE نسخه 6.0 در حال حاضر يك خطر امنيتي بزرگ محسوب مي.شود و همه از جمله مايكروسافت، به كاربران هشدار داده اند كه ديگر از اين نسخه IE استفاده نكنند.
اِعمال واقعي امنيت در اين مرورگر، با IE نسخه 7 شروع شد كه با استفاده از ..... سرقت هويت با وب سايت.هاي خرابكار مقابله مي.كرد؛ البته اين قابليت بر روي كامپيوترهايي كه ويندوز XP داشتند پشتيباني نمي.شد. به علاوه گزينه Active X كمك مي.كرد كه در مقابل برخي خطرات ناشي از كنترل.هاي Active X، سيستم را محافظت نمايد. IE نسخه 7 اين امكان را به شما مي داد كه كنترل.هاي Active X را مبتني بر هر منطقه امنيتي فعال كنيد و هر يك از مناطق امنيتي به صورت پيش فرض قفل شده بودند. يكي ديگر از توسعه هاي امنيتي كه در IE نسخه 7 طراحي شده بود، محافظت در برابر اسكريپت.هاي بين دامنه اي بود. اخطار بهتر در پروتكل SSL/TLS نيز باعث شد كه كاربران راحت.تر آگاهي يابند كه آيا يك ارتباط وب امن است يا خير. همچنين وب سايت.هايي كه مطمئن بوده و حائز گواهينامه اطمينان بودند (براي سايت.هايي كه نياز به پردازش تاييد هويت دارند)، توسط نوار آدرس داراي كد رنگ (رنگ سبز) معرفي مي.شدند. كليدهاي جديد رجيستري نيز براي جلوگيري از دسترسي HTML به اطلاعات شخصي كاربران اضافه شد. حتي يك "حالت بدون افزونه" ايجاد شد تا اطمينان دهد كه تهديدها نمي.توانند از طريق افزونه هاي مرورگر مطرح گردند. مرورگر IE نسخه 7 يك قدم بزرگ و رو به جلو براي مايكروسافت محسوب مي.شد كه از امنيت خوب و معقولي برخوردار بود.
مرورگر IE نسخه 8 در سال 2009 عرضه شد و توسعه هاي امنيتي بيشتري به آن اضافه شده بود. از جمله اين توسعه ها مي.توان به برجسته كردن دامنه و ..... smartscreen اشاره كرد. برجسته كردن دامنه به شما اين امكان را مي دهد كه به سادگي مشاهده كنيد كه به كدام دامنه دسترسي داريد، و ..... smartscreen نيز يك قابليت جديد و نسخه پيشرفته ..... سرقت هويت در IE نسخه 7 است كه علاوه بر حمايت كاربر در مقابل سايت.هاي سرقت هويت، از كاربر در برابر سايت.هايي كه به ارائه بدافزارها مي.پردازند نيز حمايت مي.كند. اگرچه اين مرورگر به كاربران اين امكان را مي.دهد كه هشدارهاي مرورگر را ناديده بگيرند، ولي مديران شبكه مي.توانند از سياست گروهي براي جلوگيري از اين كار استفاده كنند. علاوه بر ليست سياه، ..... اين مرورگر از يك فن آوري هوشمند نيز براي شناسايي سايت.هاي خطرناك استفاده مي.كند. مرورگر IE نسخه 8 نيز تغييراتي در Active X ايجاد كرده است. در اين نسخه كنترل.ها به صورت پيش فرض به ازاي هر كاربر نصب مي.شوند و همچنين مي.توانند به ازاي هر سايت نيز نصب گردند. Active X killbits در بسته به روز رساني ويندوز عرضه شد. به اين ترتيب هنگاميكه يك سوء استفاده كشف مي.شد، كنترل.ها مي.توانستند به طور خودكار غير فعال گردند. علاوه بر اينها در IE نسخه 8 جلوگيري از اجراي داده ها (DEP) به صورت پيش فرض فعال بود و ..... XSS براي حفاظت در برابر اسكريپت.هاي بين سايتي، محافظت بهتري را اعمال مي.كرد. همچنين ويژگي.هاي درخواست بين دامنه اي و پيغام بين سندي، براي سايت.هايي كه اطلاعاتشان را با سايت.هاي ديگر به اشتراك مي.گذاشتند، مرورگر را امن.تر مي.كردند.

قابليت.هاي مرورگر IE نسخه 9
مرورگر IE نسخه 9 بر اساس همه ويژگي.هايي كه در IE نسخه 7 و 8 وجود دارد، ساخته شده است. علاوه بر اينها، مايكروسافت حفاظت.هاي امنيتي بيشتري از قبيل ويژگي.هاي محافظت از حافظه كه در پيشگيري از اجراي كدهاي مخرب در هنگام كشف يك آسيب پذيري مرتبط با حافظه موثر است، به آن اضافه كرده است. DEP/NX پايه و اساس حفاظت از حافظه است و باعث مي.شود كه پردازنده هنگاميكه يك بلوك از حافظه علامت مناسبي براي نمايش اجرايي بودن يك كد ندارد، به كار آن پروسه پايان دهد. اين بدان معناست كه اگر يك مهاجم اطلاعاتي را در حافظه قرار دهد، پردازنده يك استثنا توليد مي.كند كه به جاي اجراي دستورات بالقوه خطرناك، صرفا منجر به ايجاد يك اختلال امن در كار سيستم مي.شود.
مرورگر IE نسخه 9 همچنين يكي ديگر از قابليت.هاي نسخه 8 را اصلاح كرده است. قابليت ASLR ( تخصيص تصادفي فضاي آدرس)، با تضمين اينكه فضاي حافظه يك پردازه طوري تخصيص داده شده است كه قابل پيش بيني نباشد، از عبور مهاجمان از حفاظت.هاي DEP/NX جلوگيري مي.كند. پردازش تصادفي در IE نسخه 9 بهبود يافته است تا بتواند نگاشت حافظه قابل پيش بيني را از بين ببرد. اين مرورگر همچنين يك قابليت جديد با نام SEHOP را پشتيباني مي.كند كه تماميت و درستي زنجيره مديريت استثنا را مي.سنجد تا از اينكه مديريت استثناء ساخت يافته مورد سوء استفاده قرار بگيرد، جلوگيري كند. اين قابليت بر برخي محدوديت.هاي SafeSEH غلبه كرده است. SafeSEH (مديريت استثناي ساخت يافته امن) بدين منظور طراحي شده بود تا از مطرح شدن ساختارهاي مخرب مديريت استثناء در زنجيره جلوگيري كند.
يكي ديگر از تمركزهاي امنيتي IE نسخه 9، محافظت در برابر حملات مهندسي اجتماعي است. بسياري از كارشناسان معتقدند كه مهندسي اجتماعي يكي از مهمترين تهديدات براي زيربناي فناوري اطلاعات محسوب مي.شود.
رقابت.هاي مهندسي اجتماعي در ماه سپتامبر سال گذشته نشان داد كه اطلاعات اساسي بيشتر سازمان.ها به راحتي در اختيار مهندسان اجتماعي قرار مي.گيرد.
مهندسي اجتماعي براي مهاجمان جذاب است، زيرا آنها به مهارت.هاي عميق فني براي انجام يك حمله نياز ندارند. تمام كاري كه اين افراد بايد انجام دهند اين است كه كاربر كامپيوتر را متقاعد كنند كه كاري را انجام دهد كه به مهاجم اجازه ورود به سيستم را بدهد. مرورگر IE نسخه 9، با اضافه كردن ويژگيSmartScreen Application Reputation، كه با بررسي خوش نامي يك URL براي بهبود حفاظت در برابر حملات مهندسي اجتماعي كار مي.كند، ..... SmartScreen را بهبود بخشيده است. Application Reputation تلاش مي.كند تا بين دانلودهاي معتبر و آنهايي كه بالقوه مخرب هستند، تمايز قائل شود. همچنين در مديريت جديد دانلود در IE نسخه 9، ..... SmartScreen يكپارچه شده است.
يكي ديگر از قابليت.هاي امنيتي/حفظ حريم خصوصي كه در IE نسخه 9 ساخته شده است، قابليت حفاظت در برابر پيگيري است. اين ويژگي با استفاده از ليست.هاي حفاظت در برابر پيگيري از سازمان.هاي قابل اعتماد، مسدود كردن يا اجازه دادن به محتواي ديگر سايت.ها را براي كاربران راحت.تر مي.كند.
در نهايت، قابليت سايت.هاي ثابت (Pinned Sites) در IE نسخه 9 كه ممكن است ساده و راحت به نظر برسد، امكانات امنيتي خوبي را فراهم مي.كند. با ثبت سايت.هايي كه بيشتر از آنها استفاده مي.كنيد -مانند سايت بانكي- در نوار ابزار خود، مي.توانيد به راحتي به آن سايت مراجعه كنيد. مزيت ديگر اين است كه چون سايت.هاي ثابت در نشست.هاي جداگانه در IE نسخه 9 اجرا مي.شوند، كوكي.هايي كه از آن سايت.ها استفاده مي.كنند قابل دسترسي نيستند. يكي ديگر از مزاياي خوب سايت.هاي ثابت اين است كه بدون نوار افزونه يا اشياء كمكي اجرا مي.شوند، بنابراين مهاجماني كه از يك بردار حمله استفاده مي.كنند نمي.توانند به نشست.هاي سايت.هاي ثابت شما حمله كنند. همچنين شما مي.توانيد مطمئن شويد كه هميشه به نسخه هاي امن سايت.ها(https) وصل مي.شويد و هيچگاه به سمت نسخه نا امن سايت.ها هدايت نمي.شويد. شما توسط پروتكل https مورد حمله man-in-the-middle قرار نمي.گيريد، زيرا اگر مشكلي با مجوز سايت و اعتبار آن وجود داشته باشد، نشست پايان مي يابد.

بيش از اين چه مي.خواهيد؟
بحث.هايي وجود دارد مبني بر اينكه تنظيمات امنيتي پيش فرض به اندازه كافي سخت گيرانه نيست، و تمامي محتواهاي فعال بايد به صورت پيش فرض به طور كامل قفل شده باشند، و پس از آن كاربران بتوانند سايت.هاي مطمئن را اضافه كنند.
در كنار اين مسائل، افراد حساس در مورد امنيت ممكن است با روش ليست سياه استفاده شده توسط SmartScreen، مخالفت كنند. اين كار مي تواند به سايت ها اجازه دهد كه به عنوان سايت خرابكار شناخته نشوند. اين گروه از كاربران روش ليست سفيد را ترجيح مي دهند كه همه سايت.ها را غير فعال مي.كند، مگر آنهايي كه به عنوان سايت مطمئن شناخته شده اند. بديهي است كه اين رويكرد امن.تر است، ولي در عين حال احتمالا خشم خيلي از كاربران را بر مي انگيزد.
يكي ديگر از شكاياتي كه درباره IE نسخه 9 شنيده مي.شود اين است كه با اينكه اين مرورگر كنترل خيلي دقيقي را فراهم مي كند، اما براي كاربران متوسط خيلي پيچيده است.

این صفحه را در گوگل محبوب کنید

[ارسال شده از: فان پاتوق]

[مشاهده در: www.funpatogh.com]

[تعداد بازديد از اين مطلب: 354]