it-swarm-eu.dev

Hat Firefox ähnliche Sicherheitslücken wie ActiveX?

Die Leute sagen immer, Linux sei sicherer als Windows. Der Hauptgrund scheint die allgemeine Philosophie des Systemdesigns und die Tatsache zu sein, dass Benutzer Benutzer und nicht Root sind.

Ein wichtiges Sicherheitsproblem bei der Verwendung von Windows und Internet Explorer scheint ActiveX zu sein. Alle paar Tage lese ich über eine andere Art von Exploit mit ActiveX, und fast immer besteht die Problemumgehung darin, ActiveX zu deaktivieren. Ich lese das so oft und frage mich, warum sich die Leute überhaupt die Mühe machen, ActiveX zu aktivieren. (Ein Grund könnte sein, dass der Name "active" enthält, ein anderer könnte die Windows-Update-Funktion sein.)

Mit Ubuntu und Firefox fühle ich mich immer so sicher, wenn ich über die ActiveX-Exploits lese. Ich weiß, dass es viele andere Sicherheitslücken gibt, die JavaScript und/oder Adobe Flash verwenden, aber soweit ich weiß, können diese Sicherheitslücken nur so viel Schaden anrichten, wie meine Benutzerrechte zulassen. Natürlich hilft das nicht viel, wenn die Malware alle meine Daten zerstören will - aber die meisten Malware-Programme heutzutage wollen meinen PC nur als Botnet-Drohne verwenden und sind daher nicht daran interessiert, meine Daten zu zerstören.

Also nochmal die Frage: Hat Firefox, das unter Ubuntu läuft, in Bezug auf Sicherheitslücken etwas Ähnliches wie ActiveX?

Eine andere Frage, die möglicherweise identisch ist: Kann eine Sicherheitslücke in Bezug auf Adobe Flash und/oder JavaScript "leicht" ausgenutzt werden, um so viel Schaden zu verursachen wie ein ActiveX-Exploit?

Wenn ich "easy" sage, muss der Angriff keine andere Komponente des Systems ausnutzen, um die Benutzerrechte zu erhöhen. Ein Exploit mit Adobe Flash kann beispielsweise mit meinen Benutzerrechten auf meinen PC zugreifen und anschließend eine bekannte Sicherheitsanfälligkeit in X ausnutzen, um Root-Zugriff zu erhalten. Das ist nicht "einfach".

8
lesmana

hat Firefox unter Ubuntu eine ähnliche Sicherheitslücke wie ActiveX?

ActiveX kann in zwei Teilen betrachtet werden, dem Objektmodell und der Installationsmethode. Firefox hat für beide etwas Ähnliches - und plattformübergreifend kompatibles, Ubuntu oder anderes -.

Das Objektmodell von ActiveX ist Microsoft COM ; Das Firefox-Äquivalent ist XPCOM . Viele andere Windows-Funktionen und -Anwendungen, die nichts mit dem Surfen im Internet zu tun haben, verwenden MS COM, und es gab traditionell endlose Probleme, bei denen COM-Steuerelemente, die nicht für die sichere Nutzung des Webs geschrieben wurden, den Webseiten dennoch zur Verfügung standen. Dies verursachte viele Kompromisse. Firefox ist hier besser aufgehoben, da XPCOM nicht mit dem Rest des Systems geteilt wird. Neuere Versionen von IE haben bessere Steuerelemente, um zu verringern, welche Websites welche Steuerelemente verwenden dürfen.

(Da viele Add-Ons für Firefox selbst in JavaScript geschrieben sind, einer Skriptsprache auf hoher Ebene, sind sie häufig vor Pufferüberlauf und Zeichenfolgenbehandlungsfehlern sicherer als Erweiterungen für IE werden üblicherweise in C [++] geschrieben.)

Der Control-Downloader-Teil von ActiveX wurde ebenfalls ein wenig aufgeräumt, da in den schlechten alten Zeiten in der Zone "Arbeitsplatz" beliebige Software installiert werden konnte und aggressive Loader-Skripts Sie in einer alert -Schleife festhalten konnten hat zugestimmt, die ActiveX-Eingabeaufforderung zu genehmigen. Das Firefox-Äquivalent XPInstall verhält sich weitgehend ähnlich, mit der "Informationsleiste" auf allen Websites außer Mozillas und einer geeigneten Warnung/Eingabeaufforderung vor der Installation.

In Mozilla gibt es eine weitere Möglichkeit, sich selbst zu gefährden: signierte Skripte . Ich habe noch nie gesehen, dass dies tatsächlich verwendet wird, und es wird sicherlich ein weiteres Warnfenster angezeigt, bevor ein Skript zusätzliche Rechte erhält, aber es beunruhigt mich irgendwie, dass dies überhaupt für Webseiten verfügbar ist.

zum Beispiel erhält ein Exploit über Flash unter meinen Benutzerrechten Zugriff auf meinen PC

Ja, die meisten Web-Exploits finden heute in Plugins statt. Adobe Reader, Java (*) und QuickTime sind die beliebtesten/verwundbarsten. IMO: Beseitigen Sie diese und verwenden Sie FlashBlock, um Flash nur dann anzuzeigen, wenn Sie es möchten.

(*: und Javas Dialoge, in denen Sie die gesamte Sicherheit für ein nicht vertrauenswürdiges Applet aufgeben können, sind ebenfalls ein wenig kahl.)

Ubuntu stellt Ihnen standardmäßig einige bedenkliche Plugins zur Verfügung, insbesondere ein Media Player-Plugin, mit dem jede Schwachstelle in einem Ihrer Media Codecs über das Web ausgenutzt werden kann (ähnlich dem Windows Media Player-Plugin, möglicherweise nur mit vielen weiteren Formaten). Ich habe zwar noch keinen Exploit für Linux wie diesen gefunden, aber das ist wirklich nur Sicherheit durch Unbekanntheit.

Beachten Sie, dass ActiveX selbst nicht anders ist. Ein auf ActiveX basierender Webbrowser-Kompromiss bietet weiterhin nur Zugriff auf Benutzerebene. Es ist nur so, dass vor Vista jeder gewohnheitsmäßig alles als Administrator ausgeführt hat, was zu einem vollständigen Rooting führte.

und befolgen Sie dann, um eine bekannte Sicherheitsanfälligkeit in X auszunutzen, um Root-Rechte zu erhalten. das ist nicht "einfach".

Vielleicht, vielleicht nicht. Aber ich denke, Sie werden feststellen, dass der Schaden, den manche Malware durch ein normales Benutzerkonto anrichten kann, ziemlich schlimm ist. Kopieren Sie alle Ihre persönlichen Daten, beobachten Sie Ihre Tastendrücke, löschen Sie alle Ihre Dokumente ...

8
bobince

Dies hängt von der Art der Sicherheitsanfälligkeit ab. Manchmal sind Sie "glücklich" und die Sicherheitsanfälligkeit "nur" ermöglicht eine eingeschränkte Offenlegung, aber oft ermöglichen die Sicherheitsanfälligkeiten die Ausführung von willkürlichem Code. Zu diesem Zeitpunkt befinden Sie sich genau so tief im Hintergrund wie bei ActiveX-Problemen. Und diese Lücken können im Umgang mit Bilddateien (böswilligen Bildern), Ton oder fast allem anderen liegen.

ActiveX war schlimmer, weil es Code-Erstellern die Möglichkeit bot, zu deklarieren, dass "Wenn dies installiert ist, kann sicher von einer Webseite aus darauf verwiesen werden", und viele Codierer haben dies aktiviert, ohne die Auswirkungen zu verstehen, sodass es viele Ziele gab und es wäre leicht rauszukommen. Aber Sie haben genauso viel Belichtung durch den schlechten Umgang mit seltsamen Zahlen in Bilddateien. Es ist nur so, dass die Probleme mit Bilddateien durch Aktualisieren des Browsers behoben werden.

Die einzige Verteidigung dagegen ist die Verwendung von Sandboxing, wodurch die Möglichkeiten eines Prozesses, der als Benutzer ausgeführt wird, eingeschränkt werden. OpenBSD hat Pionierarbeit geleistet, um dies mit der Privilegientrennung verschiedener Daemons populär zu machen (insbesondere OpenSSH, also verwenden Sie dies jetzt auf Ubuntu). Chrome hat dies für Webbrowser populär gemacht, auf einigen Plattformen jedoch nur Sandboxing. Ironischerweise waren Sie für eine Weile mit Chrome unter Windows wahrscheinlich sicherer als mit jedem Grafikbrowser unter Linux. Zum Glück ändert sich dies. Ich glaube, dass in den Linux-Releases jetzt ein Teil des Schutzes vorhanden ist. Das Capsicum-Projekt hat gezeigt, wie dies unter FreeBSD (mit einem Capability-System) vollständiger durchgeführt werden kann, und hoffentlich werden die Linux-Kernel-Entwickler irgendwann aufhören, darüber zu streiten, welches Sicherheitsmodell am besten ist, und sich für etwas entscheiden, das für das Web nahezu universell verfügbar wird -Browser, auf die man sich verlassen kann, anstatt auf den stumpfen Hammer, der die suid-Hülle ist, die Chroot-Pseudo-Sandkästen ermöglicht.

http://www.cl.cam.ac.uk/research/security/capsicum/ ist gut, wenn Sie Fähigkeitssysteme für Sandkästen untersuchen und sehen möchten, wie die Dinge besser werden könnten.

4
Phil P

AFAIK, ein ActiveX-Exploit, kann auch außerhalb der Rechte Ihres Benutzers keinen Schaden anrichten (ohne andere Exploits, wie Sie angeben). Das Hauptproblem unter Windows war, dass fast alle die meiste Zeit als Administrator arbeiteten ...

1
JanC