مرورگر خود را امن کنید- قسمت اول

امروزه مرورگرهایی مانند Internet Explorer 7 و Mozilla Firefox تقریباً بر روی همه رایانه ها نصب می شوند و از آنجایی که اغلب اوقات مورد استفاده کاربران قرار می گیرند، ایمن سازی آنها یکی از ضروریات محسوب می شود. متأسفانه مرورگرهایی که به صورت پیش فرض همراه با سیستم عامل نصب می شوند، در اکثر موارد دارای تنظیمات ایمنی نیستند و عدم ایمن سازی مرورگر، خیلی سریع منجر به بروز مشکلاتی از قبیل نصب پنهانی هرزنامه ها گرفته تا در اختیار گرفتن رایانه توسط نفوذگران می شود. قابل ذکر است که تعداد حمله های نرم افزاری که با استفاده از آسیب پذیری مرورگرها به وقوع می پیوندند، روز به روز در حال افزایش است. عوامل مختلفی در افزایش چشمگیر حمله های امنیتی از طریق مرورگرها دخیلند که برخی از مهمترین آنها در ذیل آورده شده است:

• بسیاری از کاربران تمایل به کلیک بر روی لینکهای ناشناس داشته و درک درستی از خطراتی که آنها را تهدید می کند، ندارند.
• لباس مبدل پوشیدن آدرس صفحات اینترنتی و هدایت کاربران به وب سایتهای دیگر.
• بسیاری از مرورگرها، امنیت را فدای کارایی می کنند.
• آسیب پذیری هایی که بعد از پخش یک نرم افزار در بازار، کشف می شوند.
• بعضی از نرم افزارها شامل نرم افزارهای اضافی دیگری هستند که میزان آسیب پذیری نرم افزار اصلی را افزایش می دهند.
• نرم افزارهای متفرقه معمولاً مکانیزمی را برای دریافت به روزرسانی های امنیتی تعریف نمی کنند.
• بسیاری از وب سایتها نیاز به فعال سازی برخی از امکانات و یا نصب نرم افزارهای اضافی دارند که منجر به افزایش خطرپذیری رایانه ها می شود.
• بسیاری از کاربران نمیدانند چگونه مرورگرهای خود را ایمن سازند.
• بسیاری از کاربران تمایلی به فعال یا غیر فعال سازی امکاناتی که منجر به امنیت بیشتر مرورگرشان می شود، ندارند.

در نتیجه، بهره برداری از آسیب پذیری های مرورگرها به روش متداول مهاجمان در سوءاستفاده از رایانه ها تبدیل شده است. بسیار مهم است که اطلاعات درستی از طرز کار و امکانات مرورگرهای خود داشته باشیم، زیرا فعال سازی برخی از امکانات منجر به کاهش امنیت مرورگر می شود. این درحالی است که اغلب امکانات به صورت پیش فرض توسط فروشندگان مرورگر فعال شده اند. تمرکز مهاجمان بر روی سوءاستفاده از سیستمهای طرف کاربر (رایانه شما) با بهره برداری از آسیب پذیریهای مختلف است. آنها از این آسیب پذیریها برای در اختیار گرفتن کنترل رایانه، سرقت اطلاعات، از بین بردن فایلها و استفاده از رایانه قربانی برای حمله به دیگر رایانه ها استفاده می کنند. کم هزینه ترین روش برای مهاجمان استفاده از آسیب پذیریهای مرورگرها است. مهاجمان می توانند یک صفحه خرابکار وب را ایجاد کنند که یک تروجان یا یک ابزار جاسوسی را بر روی رایانه شما نصب کند و اطلاعات شما را مورد سرقت قرار دهد. وب سایتهای خرابکار به غیر از هدف قراردادن و حمله به سیستم های آسیب پذیر، می توانند به صورت غیرفعال سیستم ها را در زمان مشاهده وب سایت، مورد سوءاستفاده قرار دهد. از طرف دیگر، یک سند آلوده HTML می تواند به عنوان ایمیل برای قربانیان ارسال شود. در این صورت بازکردن ایمیل یا پیوست آن، منجر به سوءاستفاده از سیستم خواهد شد. در زیر بعضی از امکانات و خصوصیت های مرورگرها به صورت مختصر توضیح داده شده است. درک اینکه امکانات مختلف چه کاری را انجام می دهند، به شما در فهمیدن عملکرد مرورگر و تأثیر آن بر امنیت رایانه یاری می رساند. همان طور که قبلاً هم گفتیم برخی از امکانات مرورگرها منجر به کاهش امنیت آنها می شود.

ActiveX

یک تکنولوژی است که توسط مرورگر مایکروسافت، IE و بر روی سیستمهای ویندوز استفاده می شود. تکنولوژی ActiveX به مرورگر اجازه استفاده از یک برنامه کاربردی یا قسمتی از آن را می دهد. یک صفحه وب می تواند از ActiveX های موجود بر روی سیستم یا از آنهایی که از برخی وب سایت ها قابل دریافت هستند، استفاده کند. این تکنولوژی کارایی بیشتری نسبت به مرورگرهای سنتی در مرورکردن وب داراست ولی از طرفی اگر به طور صحیح پیاده سازی نشود منجر به آسیب پذیری های خیلی جدی می شود. یکی از پیامدهای استفاده از ActiveX در مرورگر، بالارفتن میزان حمله پذیری سیستم است، زیرا هر برنامه کاربردی ویندوز که بر روی رایانه نصب می شود ممکن است حاوی چندین ActiveX باشد که در صورت پیاده سازی نامناسب مورد سوءاستفاده مهاجمان قرار می گیرند. یادآوری می کنیم که در صورت فعال بودن ActiveX، مرورگر می تواند به هر بسته ActiveX موجود بر روی سیستم دسترسی پیدا کند، حتی اگر آن بسته هیچگاه برای دسترسی و ارتباط با اینترنت طراحی نشده باشد.

Java

یک زبان برنامه نویسی شیءگرا است که می تواند برای ساختن محتوای پویای وب سایتها مورد استفاده قرار بگیرد. ماشین مجازی جاوا یا Java virtual Machine(JVM) برای اجرای کدهای جاوا یا java applet ها مورد استفاده قرار می گیرد. کدهای جاوا مستقل از سیستم عامل هستند و معمولاً لازم است ماشین مجازی جاوا بر روی سیستم نصب شود. اغلب بسته کدهای جاوا درون یک sandbox اجرا می شوند تا دسترسی آنها به دیگر قسمتهای سیستم محدود شود. اما برخی از نسخه های JVM دارای آسیب پذیری می باشند به طوری که به کدهای جاوا اجازه تجاوز از حدود sandbox را می دهند.

Plug-ins

نوعی از برنامه های کاربردی هستند که برای استفاده در مرورگرها طراحی می شوند. plug-in ها بسیار شبیه ActiveX ها هستند، با این تفاوت که در خارج از محیط مرورگر قابل اجرا نیستند. Adobe Flash یکی از نمونه های Plug-ins است. این برنامه ها ممکن است شامل نقصهای برنامه نویسی مانند سرریز بافر یا دارای نقصهای طراحی مانند cross domain violation باشند. این حالت زمانی رخ می دهد که دوطرف از سیاستهای یکسانی استفاده نکنند.

Cookies

فایلهایی هستند که توسط برخی از وب سایتها برای ذخیره کردن پاره ای از اطلاعات بر روی سیستم شما قرار می گیرند. کوکی ها می توانند شامل هرگونه اطلاعاتی که وب سایت در آن قرار می دهد، باشند. کوکی ها ممکن است شامل نشانی صفحات وبی باشد که بازدید کرده اید یا اجازه نامه هایی برای دسترسی به وب سایت باشند. کوکی ها معمولاً طوری طراحی می شوند که فقط توسط وب سایتی که آنها را ایجاد کرده است، قابل خواندن باشند. بعضی از آنها Session Cookies هستند و زمانی که مرورگر بسته می شود، از بین می روند و برخی دیگر Persistent Cookies یا دائمی هستند و تا زمانی که توسط پروسه ای از بین نروند، در سیستم باقی می مانند. کوکی ها برای تعیین هویت یکتای کاربران وب سایت مورد استفاده قرار می گیرند. اگر وب سایتی از کوکی ها برای تعیین هویت استفاده کند، آنگاه مهاجم می تواند با دستیابی به کوکی ها، دسترسی های غیرمجاز به وب سایت مزبور پیدا کند. کوکی های دائمی ریسک بیشتری دارند، زیرا مدت زمان بیشتری در رایانه باقی می مانند.

JavaScript

یک زبان اسکریپت نویسی است که با نام ECMAScrip نیز شناخته می شود و برای فعال تر کردن وب سایت ها در تعامل با کاربران مورد استفاده قرار می گیرد. در استاندارد جاوااسکریپت، خصوصیاتی وجود دارد که برخی از دسترسی ها مانند دسترسی به فایلهای محلی را محدود می سازد.

VBScript

زبان دیگری برای اسکریپت نویسی است که مختص به مرورگر مایکروسافت بوده و شبیه به جاوااسکریپت است، ولی به علت سازگاری محدود آن با دیگر مرورگرها، به گستردگی جاوااسکریپت مورد استفاده قرار نمی گیرد. توانایی اجرای زبانهای اسکریپتی مانند جاوا اسکریپت یا VBScript دست نویسندگان صفحات وب را در مورد امکانات و تعامل با دیگر وب سایتها بسیار باز می کند. البته این امکانات توسط مهاجمان نیز مورد استفاده قرار می گیرد. بسیاری از امکانات فوق که به صورت پیش فرض در مرورگرها تنظیم شده اند، در واقع تهدیداتی برای کاربران به شمار می روند و احتمال به وجود آمدن آسیب پذیری هایی مانند آنچه در زیر آورده شده است، را افزایش می دهند:

• Cross-Site Scripting
  این نوع آسیب پذیری را که معمولاً با نام XSS می شناسیم، یک آسیب پذیری در وب سایتها است که امکان سوءاستفاده از اعتمادی را که بین کاربر و وب سایت است، برای مهاجمان فراهم می کند.
• Cross-Zone and Cross-Domain Vulnerabilities
  اغلب مرورگرها از مدلهای امنیتی استفاده می کنند تا از دسترسی اسکریپت ها به دامنه های دیگر ممانعت به عمل آورند. آسیب پذیری هایی که در این مدلها وجود دارند، ممکن است منجر به اجرای کارهایی شوند که وب سایت در حالت عادی قادر به انجام آن نبوده است و اثر آن مشابه آسیب پذیری XSS است. اگر آسیب پذیری طوری باشد که مهاجم بتواند وارد محدوده سیستم محلی یا دیگر محدوده های محافظت شده شود، آنگاه می تواند کد دلخواه خود را بر روی سیستم قربانی اجرا کند.
• فرار از تشخیص
  آنتی ویروسها، سیستمهای تشخیص نفوذ (IDS) و سیستمهای ممانعت از نفوذ (IPS) معمولاً به دنبال الگوهای مشخصی در محتوای برنامه ها می گردند. اگر یک الگوی بد شناخته شده تشخیص داده شود، اقدامات تدافعی لازم انجام خواهد شد. از آنجایی که طبیعت برنامه نویسی پویا است، همواره اسکریپتهایی وجود دارند که از زیر دست ابزارهای محافظتی فرار کرده و شناسایی نمی شوند.

چگونه مرورگر خود را ایمن کنیم؟

همانطور که در بالا توضیح دادیم برخی از امکانات مرورگرها مانند ActiveX، Java و زبانهای اسکریپتی ممکن است منجر به ایجاد آسیب پذیری هایی در سیستمهای رایانه ای شوند. این مشکلات احتمالاً از طراحی ضعیف، پیاده سازی ضعیف یا تنظیمات ناایمن نشأت می گیرند. به همین دلیل باید بدانیم چه مرورگرهایی چه امکاناتی را پشتیبانی می کنند و هر امکان منجر به چه آسیب پذیری هایی می شود. برخی از مرورگرها امکان غیرفعال کردن تکنولوژیهای مذکور را به صورت کلی فراهم می کنند و برخی دیگر اجازه می دهند امکانات را به ازای وب سایتهای مختلف فعال یا غیر فعال سازیم. در قسمتهای دوم و سوم این مبحث در مورد خصوصیات و طریقه ایمن سازی مرورگرهای رایج در ایران، یعنی IE و Firefox توضیحات بیشتری را ارائه خواهیم کرد.
مرجع:
http://www.cert.org/tech_tips/securing_browser