Решения от списание pc: по-сигурен ли сте с firefox?

Дали Firefox е по-сигурен уеб браузър от Internet Explorer на Microsoft? Отговорът може да е да, но въпросите са по-сложни, отколкото повечето хора осъзнават. Всъщност Firefox има своя дял от проблемите със сигурността и вероятно до този момент е спасен от атака в реалния свят само чрез едноцифрения си пазарен дял.

В края на февруари организацията Mozilla пусна първата актуализация на Firefox, версия 1.0.1 (www.getfirefox.com). В новата версия няма нови функции на забележка, но тя коригира 17 документирани уязвимости във версия 1.0. (Www.mozilla.org/projects/security/known-vulnerabilities.html). Най-известният беше грешка в подправяне на URL адреси, включваща URL адреси с интернационализирани имена на домейни (IDN - www.mozilla.org/security/announce/mfsa2005-29.html). По принцип един нападател може да създаде сайт, който да има външни изяви, същия URL адрес като друг сайт (например www.ebay.com), но всъщност името на домейна ще бъде в международен набор от знаци, а не на английски. (Mozilla всъщност не отстрани този проблем, който е по-малко грешка в програмата, отколкото проблем с целия подход към IDN; вместо това версия 1.0.1 деактивира поддръжката на IDN по подразбиране.)

Вероятно не сте чели за някоя от тези грешки преди актуализацията. Това е така, защото едва наскоро организацията Mozilla започна да издава препоръки за сигурност от този вид, които Microsoft издава всеки месец (вижте www.mozilla.org/security/announce). В по-голямата си част Mozilla не криеше тези грешки преди публикуването на консултации, но и не ги публикуваше. Ако знаете къде и как да търсите, можете да получите по-добра картина на сигурността (и други) грешки в Firefox и други проекти на Mozilla на bugzilla.mozilla.org, официалната база данни за бъгове за развитие на Mozilla. Но дори и тук организацията не е напълно отворена за грешки в сигурността; когато се съобщават нови, записите в Bugzilla обикновено се правят частни за известно време, докато се разследват и фиксират.

И за разлика от Microsoft, когато Mozilla коригира грешка, тя не освобождава кръпка за потребителите. Ако искате да се придържате към програми на ниво пускане, единствената ви възможност е да изчакате следващото общо издание; надстройката до версия 1.0.1 от 1.0 отне около 3.5 месеца. Можете да инсталирате междинна версия на програмата (нощните надстройки са достъпни на ftp.mozilla. Org / pub / mozilla.org / firefox / nightly / latest-trunk /), но това не са официални версии на изданието и трябва да ги очаквате да има други бъгове; до степента, в която получавате поддръжка за Firefox, тя ще бъде подкопана от използването на междинна версия.

В Firefox за Windows можете да зададете опциите в Tools | Опции | -Advanced- | Актуализация на софтуера, за да проверява периодично сървърите на Firefox за актуализации на програмата. Той ще намери версия 1.0.1, но всичко, което ще направи, е да изтеглите цялата програма и да стартирате инсталатора. В Linux версията можете да актуализирате само разширения и теми, а не програмния код.

И вече има проблеми със сигурността във версия 1.0.1, дори ако все още няма препоръки за тях. Например, на многопотребителска машина, като например Linux система, ако един потребител, работещ като root, стартира Firefox, а друг некоренен потребител стартира Firefox, че не-root потребителският екземпляр на Firefox получава root права (bugzilla.mozilla.org/ show_ bug.cgi? id = 247412).

• Mozilla Firefox 1.0 Mozilla Firefox 1.0
• Топ 15 разширения на Firefox Топ 15 разширения на Firefox
• Firefox печели поддръжка на Yahoo Toolbar Firefox печели поддръжка на Yahoo Toolbar
• Firefox получава основен грим за защита. Firefox получава главен грим за сигурност

Освен това за потребителя е трудно и несъмнено да проверява сертификата за подписано разширение в момент на инсталиране (bugzilla.mozilla.org/show_bug.cgi?id=278629), така че може да има лесен път да се измъкне, като се преструва на доверен източник. Има и редица грешки при сривове, като bugzilla.mozilla.org/show_ bug.cgi? Id = 263609, и те често показват експлоатационна уязвимост зад кулисите.

И накрая, антишпионските компании Webroot и Sunbelt Software заявиха, че очакват специфичен за Firefox шпионски софтуер да започне да се показва тази година и ако пазарният дял на браузъра продължава да се увеличава, лесно е да разберем защо ще стане така. Така че не забравяйте да актуализирате и не почивайте на лаврите си Firefox. Не сте без проблеми със сигурността, просто имате различни.

Лари Селцер, чест сътрудник на списание PC, пише бюлетинът на Security Watch за pcmag.com.