Есть ли у Firefox что-то похожее на ActiveX с точки зрения уязвимостей безопасности?

Люди всегда говорят, что Linux более безопасен, чем Windows. Основной причиной, по-видимому, является общая философия проектирования системы и тот факт, что пользователи являются пользователями, а не root.

Одна из основных проблем безопасности при использовании Windows и Internet Explorer - это ActiveX. Каждые несколько дней я читал о другом типе эксплойта с использованием ActiveX, и почти всегда обходной путь заключается в деактивации ActiveX. Я так часто читаю, что удивляюсь, почему люди вообще вообще не хотят активировать ActiveX. (Одной из причин может быть то, что имя содержит «active»; другой может быть функция обновления Windows.)

Используя Ubuntu и Firefox, я всегда чувствую себя в безопасности, когда читаю об эксплойтах ActiveX. Я знаю, что есть много других уязвимостей безопасности, которые используют JavaScript и / или Adobe Flash, но, насколько я понимаю, такие уязвимости безопасности могут нанести только столько ущерба, сколько позволяют мои права пользователя. Конечно, это мало помогает, когда вредоносная программа хочет уничтожить все мои данные - но большинство вредоносных программ сегодня хотят использовать мой компьютер только как дрон ботнета и поэтому не заинтересованы в уничтожении моих данных.

Итак, вопрос снова: Firefox, работающий под Ubuntu, имеет что-то похожее на ActiveX с точки зрения уязвимостей безопасности?

Другой вопрос, который может быть идентичным: можно ли «легко» использовать уязвимость безопасности, связанную с Adobe Flash и / или JavaScript, чтобы нанести такой же ущерб, как эксплойт ActiveX?

Когда я говорю «легко», я имею в виду, что для атаки не нужно использовать другой компонент системы для повышения прав пользователя. Например, эксплойт с использованием Adobe Flash получит доступ к моему ПК с использованием моих прав пользователя, а затем перейдет к использованию известной уязвимости Xдля получения root-доступа. Это не "легко".

Firefox под Ubuntu имеет что-то похожее на ActiveX, с точки зрения уязвимости безопасности?

«ActiveX» можно рассматривать в двух частях: объектную модель и метод установки. В Firefox есть нечто подобное - и кросс-платформенное, Ubuntu или другое - для обоих.

Объектная модель ActiveX - Microsoft COM ; Эквивалентом Firefox является XPCOM . Многие другие функции и приложения Windows, которые не имеют ничего общего с просмотром веб-страниц, используют MS COM, и традиционно существуют бесконечные проблемы, когда элементы управления COM, которые не были написаны для безопасного использования в Интернете, тем не менее были доступны для веб-страниц. Это вызвало много компромиссов. Firefox здесь лучше, поскольку XPCOM не используется совместно с остальной системой. Более новые версии IE имеют улучшенные элементы управления для смягчения того, какие сайты могут использовать какие элементы управления.

(В качестве дополнительной проблемы, поскольку многие надстройки для Firefox написаны на JavaScript, языке сценариев высокого уровня, они часто более защищены от переполнения буфера и ошибок обработки строк, чем расширения для IE, которые обычно пишутся на C [ ++].)

Часть ActiveX, связанная с загрузкой элементов управления, также была немного очищена с тех пор, когда в зону «Мой компьютер» можно было устанавливать любое понравившееся программное обеспечение, а агрессивные сценарии загрузчика могли замять вас в ловушку, alertпока вы не согласились утвердить ActiveX. незамедлительный. Эквивалент Firefox, XPInstall , ведет себя в основном одинаково, с «информационной панелью» на всех сайтах, кроме сайтов Mozilla, по умолчанию и подходящим предупреждением / подсказкой перед установкой.

Существует еще один встроенный способ компрометации себя в Mozilla: подписанные скрипты . Я никогда не видел, чтобы это использовалось на самом деле, и наверняка появится еще одно окно с предупреждением, прежде чем скрипт получит дополнительные права, но меня это беспокоит, что это вообще доступно для веб-страниц.

например, эксплойт через flash получит доступ к моему компьютеру под моими правами пользователя

Да, большинство веб-эксплойтов сегодня происходят в плагинах. Adobe Reader, Java (*) и QuickTime являются самыми популярными / уязвимыми. IMO: избавьтесь от них и используйте FlashBlock, чтобы показывать Flash только тогда, когда вы этого хотите.

(*: и диалоги Java до того, как они позволят вам отказаться от всей безопасности для некоторого ненадежного апплета, тоже немного скучны.)

Ubuntu по умолчанию предоставляет вам несколько сомнительных плагинов, в частности плагин для медиаплеера, который сделает каждую уязвимость в любом из ваших медиакодеков доступной для использования через Интернет (аналогично плагину для Windows Media Player, потенциально только со многими другими форматами). Хотя мне еще предстоит встретить эксплойт, нацеленный на Linux, подобный этому, на самом деле это только безопасность через неизвестность.

Обратите внимание, что сам ActiveX ничем не отличается. Компрометация веб-браузера, основанная на ActiveX, по-прежнему дает доступ только на уровне пользователя; только из-за того, что до Vista каждый обычно управлял всем от имени Администратора, это переросло в полноценный рутинг.

а затем следуйте инструкциям, чтобы использовать известную уязвимость в X для получения прав root. это не "легко".

Может быть, а может и нет. Но я думаю, что ущерб, который некоторые вредоносные программы могут причинить даже обычной учетной записи пользователя, достаточно серьезен. Скопируйте все свои личные данные, соблюдайте нажатия клавиш, удаляйте все свои документы ...

Это зависит от характера уязвимости. Иногда вам «везет», а уязвимость «просто» допускает некоторое ограниченное раскрытие, но часто уязвимости допускают выполнение произвольного кода. В этот момент вы находитесь в глубоком замешательстве, столь же глубоком, как проблемы с ActiveX. И эти дыры могут быть в обработке файлов изображений (вредоносных изображений) или звука, или почти чего-либо еще.

ActiveX был хуже, потому что он предоставил авторам кода возможность заявить: «Если он установлен, ссылки на него безопасны с веб-страницы», и многие кодеры включили его, не понимая последствий, поэтому было много целей. и было бы легко выбраться. Но вы так же подвержены плохой обработке странных чисел в файлах изображений. Просто проблемы с файлами изображений решаются путем обновления браузера.

Единственная защита от всего этого - использование песочницы, которая ограничивает возможности процесса, выполняемого пользователем. OpenBSD впервые сделал это популярным с разделением привилегий различных демонов (особенно OpenSSH, так что вы сейчас используете это в Ubuntu). Chrome популяризировал это для веб-браузеров, но имеет лишь песочницу на некоторых платформах. По иронии судьбы, возможно, какое-то время вы были в большей безопасности с Chrome для Windows, чем с любым графическим браузером в Linux. К счастью, это меняется. Я считаю, что некоторая частичная защита теперь есть в версиях Linux.

http://www.cl.cam.ac.uk/research/security/capsicum/ - это хорошо, если вы хотите изучить системы возможностей для песочниц и посмотреть, как все может стать лучше.

AFAIK Эксплойт ActiveX также не может нанести вред вне прав вашего пользователя (без использования других эксплойтов, как вы указали). Основная проблема в Windows заключалась в том, что почти все работали администратором большую часть времени ...

Я просто хочу упомянуть, что Linux теоретически менее безопасен, чем Windows 7, которая имеет некоторые интересные функции безопасности.

Причина, по которой нет Linux-вирусов, заключается в том же, почему почти нет коммерческих Linux-игр: производители идут с массами, а массы используют Windows.

Поэтому наиболее безопасный способ - использовать альтернативные продукты (как Firefox был несколько лет назад, сегодня эксплойты Firefox используются довольно часто).

Теперь отвечу на ваши вопросы: насколько я знаю, ActiveX-эксплойты не имеют отношения к Firefox.

Я чувствую себя в безопасности при просмотре в Linux и Firefox, однако использование Opera может быть более безопасным, так как Opera гораздо менее популярна.

Вам следует иметь надежный пароль, если ваш SSH открыт для Интернета, так как существует множество сканеров, которые пытаются взломать ваш ssh, чтобы установить странные вещи на вашем компьютере (отключите прямой доступ с правами root в / etc / ssh / sshd_config).

Я думаю, что большинство других атак относятся только к одному пользователю, поэтому, если у вас нет секретов или врагов компании, ваш компьютер должен быть в полной безопасности.