تبلیغات
Mrghanbari - بررسی امنیت در مرورگر IE نسخه 9
Mrghanbari
___***وبلاگ تخصصی کامپیوتر و فناوری اطلاعات***___
گروه طراحی قالب من گروه طراحی قالب من گروه طراحی قالب من گروه طراحی قالب من گروه طراحی قالب من
درباره وبلاگ



مدیر وبلاگ : محمد قنبری
نویسنده
نظرسنجی
از کدوم بخش وبلاگ بیشترخوشتون میاد؟









مایكروسافت در ماه مارس سال جاری آخرین نسخه از مرورگر وب خود، یعنی IE نسخه 9 را عرضه كرد. این مرورگر محیطی زیبا و شفاف دارد و نسبت به نسخه های قبلی از سرعت بیشتری برخوردار است، ولی آیا از امنیت بیشتری هم برخوردار است؟

چرا امنیت مرورگر نسبت به گذشته اهمیت بیشتری دارد؟
دو جزء برای امنیت وب وجود دارد: امنیت وب سایتها و سرورهایی كه این سایتها روی آنها قرار دارند، و امنیت نرم افزارهای كلاینت، یعنی همان مرورگرهای وب كه این وب سایتها توسط آنها مشاهده میشوند. زمانی مرورگر وب فقط یك برنامه در میان تعداد زیادی از برنامه های كاربردی اینترنتی بود، ولی اكنون اینگونه نیست.
در حالیكه ما زمانی از كلاینتهای پست الكترونیكی، كلاینتهای FTP، كلاینتهای IRC، خوانندگان گروه خبری و ... به صورت مجزا استفاده میكردیم، امروزه بسیاری از كاربران كامپیوتر اكثریت كارهای محاسباتی خود را توسط مرورگرها انجام میدهند.
اكنون مرورگر وب در كانون توجهات قرار گرفته و شامل گزینه هایی است كه بیشتر كاربران از این گزینه ها در كامپیوتر خود استفاده میكنند. این موارد باعث میشود كه امنیت مرورگر اكنون از هر زمانی مهمتر باشد. مرورگر باید نه تنها برای گشت و گذار در سایتها برای كسب اطلاعات، بلكه برای انجام فعالیتهای حساس، یك محیط امن را فراهم كند. مرورگر وب یكی از برنامه های كاربردی است كه اغلب مورد سوء استفاده قرار میگیرد. در مسابقات سالانه هك مرورگرهای Pwn2Own، پژوهشگران امنیتی برای شكست دادن مرورگرهای محبوب وب باهم به رقابت میپردازند. در رقابت سال گذشته، IE نسخه 8 و Safari نسخه 5.0.3 با موفقیت هك شدند.

تحول در امنیت IE
نسخه 1.0مرورگر وب مایكروسافت اولین بار در بسته ویندوز 95 عرضه شد. در آن روزها و در اوایل ظهور تجارت اینترنتی، امنیت موضوع چندان مهمی نبود. اگرچه در پایان سال 1995 و هنگامیكه نسخه 2.0 این مرورگر عرضه شد، مایكروسافت قابلیت پشتیبانی ازلایه سوكتهای امن ((SSL را به آن اضافه كرد، اما نسخه های بعدی این مرورگر بیشتر بر روی اضافه كردن قابلیتهایی مانند پیشرفت­های چند رسانه ای، افزایش عملكرد و پایداری تمركز كردند. با این حال عملكرد پیشرفته تر مرورگر، به معنای ایجاد ویژگیهایی بود كه میتوانستند مورد سوء استفاده قرار بگیرند و به همین دلیل IE از مفهوم مناطق امنیتی استفاده كرد.
مرورگر IE نسخه 6.0 كه به صورت پیش فرض بر روی ویندوز XP وجود داشت، اولین نسخه از IE بود كه با استفاده از یك ابزار جدید مدیریت كوكی، شروع به عرضه امكانات امنیتی و حفظ حریم خصوصی كرد و اولین پیاده سازی پروتكل P3P را برای كنترل تنظیمات خصوصی ارائه داد. جالب اینجاست كه IE نسخه 6.0 در حال حاضر یك خطر امنیتی بزرگ محسوب میشود و همه از جمله مایكروسافت، به كاربران هشدار داده اند كه دیگر از این نسخه IE استفاده نكنند.
اِعمال واقعی امنیت در این مرورگر، با IE نسخه 7 شروع شد كه با استفاده از فیلتر سرقت هویت با وب سایتهای خرابكار مقابله می­كرد؛ البته این قابلیت بر روی كامپیوترهایی كه ویندوز XP داشتند پشتیبانی نمیشد. به علاوه گزینه Active X كمك میكرد كه در مقابل برخی خطرات ناشی از كنترلهای Active X، سیستم را محافظت نماید. IE نسخه 7 این امكان را به شما می داد كه كنترل­های Active X را مبتنی بر هر منطقه امنیتی فعال كنید و هر یك از مناطق امنیتی به صورت پیش فرض قفل شده بودند. یكی دیگر از توسعه های امنیتی كه در IE نسخه 7 طراحی شده بود، محافظت در برابر اسكریپتهای بین دامنه ای بود. اخطار بهتر در پروتكل SSL/TLS نیز باعث شد كه كاربران راحتتر آگاهی یابند كه آیا یك ارتباط وب امن است یا خیر. همچنین وب سایتهایی كه مطمئن بوده و حائز گواهینامه اطمینان بودند (برای سایتهایی كه نیاز به پردازش تایید هویت دارند)، توسط نوار آدرس دارای كد رنگ (رنگ سبز) معرفی میشدند. كلیدهای جدید رجیستری نیز برای جلوگیری از دسترسی HTML به اطلاعات شخصی كاربران اضافه شد. حتی یك "حالت بدون افزونه" ایجاد شد تا اطمینان دهد كه تهدیدها نمیتوانند از طریق افزونه های مرورگر مطرح گردند. مرورگر IE نسخه 7 یك قدم بزرگ و رو به جلو برای مایكروسافت محسوب میشد كه از امنیت خوب و معقولی برخوردار بود.
مرورگر IE نسخه 8 در سال 2009 عرضه شد و توسعه های امنیتی بیشتری به آن اضافه شده بود. از جمله این توسعه ها میتوان به برجسته كردن دامنه و فیلتر smartscreen اشاره كرد. برجسته كردن دامنه به شما این امكان را می دهد كه به سادگی مشاهده كنید كه به كدام دامنه دسترسی دارید، و فیلتر smartscreen نیز یك قابلیت جدید و نسخه پیشرفته فیلتر سرقت هویت در IE نسخه 7 است كه علاوه بر حمایت كاربر در مقابل سایتهای سرقت هویت، از كاربر در برابر سایتهایی كه به ارائه بدافزارها میپردازند نیز حمایت میكند. اگرچه این مرورگر به كاربران این امكان را میدهد كه هشدارهای مرورگر را نادیده بگیرند، ولی مدیران شبكه میتوانند از سیاست گروهی برای جلوگیری از این كار استفاده كنند. علاوه بر لیست سیاه، فیلتر این مرورگر از یك فن آوری هوشمند نیز برای شناسایی سایتهای خطرناك استفاده میكند. مرورگر IE نسخه 8 نیز تغییراتی در Active X ایجاد كرده است. در این نسخه كنترل­ها به صورت پیش فرض به ازای هر كاربر نصب میشوند و همچنین میتوانند به ازای هر سایت نیز نصب گردند. Active X killbits در بسته به روز رسانی ویندوز عرضه شد. به این ترتیب هنگامیكه یك سوء استفاده كشف میشد، كنترلها میتوانستند به طور خودكار غیر فعال گردند. علاوه بر اینها در IE نسخه 8 جلوگیری از اجرای داده ها (DEP) به صورت پیش فرض فعال بود و فیلتر XSS برای حفاظت در برابر اسكریپتهای بین سایتی، محافظت بهتری را اعمال میكرد. همچنین ویژگیهای درخواست بین دامنه ای و پیغام بین سندی، برای سایتهایی كه اطلاعاتشان را با سایتهای دیگر به اشتراك میگذاشتند، مرورگر را امنتر میكردند.

قابلیتهای مرورگر IE نسخه 9
مرورگر IE نسخه 9 بر اساس همه ویژگیهایی كه در IE نسخه 7 و 8 وجود دارد، ساخته شده است. علاوه بر اینها، مایكروسافت حفاظتهای امنیتی بیشتری از قبیل ویژگیهای محافظت از حافظه كه در پیشگیری از اجرای كدهای مخرب در هنگام كشف یك آسیب پذیری مرتبط با حافظه موثر است، به آن اضافه كرده است. DEP/NX پایه و اساس حفاظت از حافظه است و باعث میشود كه پردازنده هنگامیكه یك بلوك از حافظه علامت مناسبی برای نمایش اجرایی بودن یك كد ندارد، به كار آن پروسه پایان دهد. این بدان معناست كه اگر یك مهاجم اطلاعاتی را در حافظه قرار دهد، پردازنده یك استثنا تولید میكند كه به جای اجرای دستورات بالقوه خطرناك، صرفا منجر به ایجاد یك اختلال امن در كار سیستم میشود.
مرورگر IE نسخه 9 همچنین یكی دیگر از قابلیتهای نسخه 8 را اصلاح كرده است. قابلیت ASLR ( تخصیص تصادفی فضای آدرس)، با تضمین اینكه فضای حافظه یك پردازه طوری تخصیص داده شده است كه قابل پیش بینی نباشد، از عبور مهاجمان از حفاظتهای DEP/NX جلوگیری میكند. پردازش تصادفی در IE نسخه 9 بهبود یافته است تا بتواند نگاشت حافظه قابل پیش بینی را از بین ببرد. این مرورگر همچنین یك قابلیت جدید با نام SEHOP را پشتیبانی میكند كه تمامیت و درستی زنجیره مدیریت استثنا را میسنجد تا از اینكه مدیریت استثناء ساخت یافته مورد سوء استفاده قرار بگیرد، جلوگیری كند. این قابلیت بر برخی محدودیتهای SafeSEH غلبه كرده است. SafeSEH (مدیریت استثنای ساخت یافته امن) بدین منظور طراحی شده بود تا از مطرح شدن ساختارهای مخرب مدیریت استثناء در زنجیره جلوگیری كند.
یكی دیگر از تمركزهای امنیتی IE نسخه 9، محافظت در برابر حملات مهندسی اجتماعی است. بسیاری از كارشناسان معتقدند كه مهندسی اجتماعی یكی از مهمترین تهدیدات برای زیربنای فناوری اطلاعات محسوب میشود.
رقابتهای مهندسی اجتماعی در ماه سپتامبر سال گذشته نشان داد كه اطلاعات اساسی بیشتر سازمانها به راحتی در اختیار مهندسان اجتماعی قرار میگیرد.
مهندسی اجتماعی برای مهاجمان جذاب است، زیرا آنها به مهارتهای عمیق فنی برای انجام یك حمله نیاز ندارند. تمام كاری كه این افراد باید انجام دهند این است كه كاربر كامپیوتر را متقاعد كنند كه كاری را انجام دهد كه به مهاجم اجازه ورود به سیستم را بدهد. مرورگر IE نسخه 9، با اضافه كردن ویژگیSmartScreen Application Reputation، كه با بررسی خوش نامی یك URL برای بهبود حفاظت در برابر حملات مهندسی اجتماعی كار میكند، فیلتر SmartScreen را بهبود بخشیده است. Application Reputation تلاش میكند تا بین دانلودهای معتبر و آنهایی كه بالقوه مخرب هستند، تمایز قائل شود. همچنین در مدیریت جدید دانلود در IE نسخه 9، فیلتر SmartScreen یكپارچه شده است.
یكی دیگر از قابلیتهای امنیتی/حفظ حریم خصوصی كه در IE نسخه 9 ساخته شده است، قابلیت حفاظت در برابر پیگیری است. این ویژگی با استفاده از لیستهای حفاظت در برابر پیگیری از سازمانهای قابل اعتماد، مسدود كردن یا اجازه دادن به محتوای دیگر سایتها را برای كاربران راحتتر میكند.
در نهایت، قابلیت سایتهای ثابت (Pinned Sites) در IE نسخه 9 كه ممكن است ساده و راحت به نظر برسد، امكانات امنیتی خوبی را فراهم میكند. با ثبت سایتهایی كه بیشتر از آنها استفاده میكنید -مانند سایت بانكی- در نوار ابزار خود، میتوانید به راحتی به آن سایت مراجعه كنید. مزیت دیگر این است كه چون سایتهای ثابت در نشستهای جداگانه در IE نسخه 9 اجرا میشوند، كوكی­هایی كه از آن سایتها استفاده میكنند قابل دسترسی نیستند. یكی دیگر از مزایای خوب سایتهای ثابت این است كه بدون نوار افزونه یا اشیاء كمكی اجرا میشوند، بنابراین مهاجمانی كه از یك بردار حمله استفاده میكنند نمیتوانند به نشستهای سایتهای ثابت شما حمله كنند. همچنین شما میتوانید مطمئن شوید كه همیشه به نسخه های امن سایتها(https) وصل میشوید و هیچگاه به سمت نسخه نا امن سایتها هدایت نمیشوید. شما توسط پروتكل https مورد حمله man-in-the-middle قرار نمیگیرید، زیرا اگر مشكلی با مجوز سایت و اعتبار آن وجود داشته باشد، نشست پایان می یابد.

بیش از این چه میخواهید؟
بحثهایی وجود دارد مبنی بر اینكه تنظیمات امنیتی پیش فرض به اندازه كافی سخت گیرانه نیست، و تمامی محتواهای فعال باید به صورت پیش فرض به طور كامل قفل شده باشند، و پس از آن كاربران بتوانند سایتهای مطمئن را اضافه كنند.
در كنار این مسائل، افراد حساس در مورد امنیت ممكن است با روش لیست سیاه استفاده شده توسط SmartScreen، مخالفت كنند. این كار میتواند به سایتها اجازه دهد كه به عنوان سایت خرابكار شناخته نشوند. این گروه از كاربران روش لیست سفید را ترجیح میدهند كه همه سایتها را غیر فعال میكند، مگر آنهایی كه به عنوان سایت مطمئن شناخته شده اند. بدیهی است كه این رویكرد امنتر است، ولی در عین حال احتمالا خشم خیلی از كاربران را بر می انگیزد.
یكی دیگر از شكایاتی كه درباره IE نسخه 9 شنیده میشود این است كه با اینكه این مرورگر كنترل خیلی دقیقی را فراهم میكند، اما برای كاربران متوسط خیلی پیچیده است.




نوع مطلب : فناوری اطلاعات(IT)، 
برچسب ها :
لینک های مرتبط :
محمد قنبری
دوشنبه 28 شهریور 1390
شنبه 25 شهریور 1396 10:04 ق.ظ
What's up, I check your blogs on a regular basis.

Your writing style is awesome, keep doing what you're doing!
شنبه 14 مرداد 1396 03:00 ب.ظ
Thank you for another magnificent post. The place else may anyone get that kind of info in such a perfect method of
writing? I've a presentation subsequent week, and I am at the look for such information.
جمعه 13 مرداد 1396 07:40 ب.ظ
It's very trouble-free to find out any topic on web as compared to textbooks,
as I found this article at this web site.
 
لبخندناراحتچشمک
نیشخندبغلسوال
قلبخجالتزبان
ماچتعجبعصبانی
عینکشیطانگریه
خندهقهقههخداحافظ
سبزقهرهورا
دستگلتفکر




آمار وبلاگ
  • کل بازدید :
  • بازدید امروز :
  • بازدید دیروز :
  • بازدید این ماه :
  • بازدید ماه قبل :
  • تعداد نویسندگان :
  • تعداد کل پست ها :
  • آخرین بازدید :
  • آخرین بروز رسانی :
امکانات جانبی