Browser-(Un)Sicherheit Ein buntes Programm

Transkript

1 Sven Türpe Browser-(Un)Sicherheit Ein buntes Programm Rheinlandtreffen 2009

2

3 Tolle Sachen: Sicherheit als Klassifikationsproblem What is the shape of your security policy? Security as a classification problem (NSPW 09)

4 Was ist eigentlich ein Browser? Fenster ins Netz Tür zum PC Universeller Client Auch für lokale Anwendungen (IE) Datenspeicher Brigitte Zypries Kommunikationsendpunkt Foto: Alexander Klink

5 Bild:

6 Bedrohungen PC Firewall

7 Welcher Browser ist der sicherste? Keiner.

8 Konfigurationskonzepte Globale Einstellungen mit Sitespezifischer Modifikation (z.b. Firefox) Zonen (IE) Erweiterungen (Firefox, Safari, IE) Zentrales Management? IE: Group Policies Andere:???

9 Firefox Sicherheitsoptionen Fragt Google (IE: Microsoft) lokaler Speicher Diebstahl, Trojaner, Forensik Sinnlos. User ignorieren Warnungen.

10 Safari, Firefox, Chrome, Internet Explorer Safe Browsing und Phishing-Filter Ziel: Schutz vor bekannten bösartigen Websites Implementierung Regelmäßiger Download einer Blacklist Zusätzlich Prüfung einzelner URLs Was erfährt Google / Microsoft?

11

12 Firefox Datenschutzoptionen Session Management Tracking Einstellungen lokaler Speicher Diebstahl, Trojaner, Forensik CSS History Hack

13 Safari DOM Storage

14 Firefox Grundlegende Einstellungen Phishing Ohne Belästigung geht nichts. z.b. Cross-Site Scripting Signierte ohne geht Applets fast nichts dürfen alles! Alles verbieten: Manipulation von Fenstern Zugriff auf Kontextmenü, Statuszeile

15 SSL-Zertifikate: Trauen Sie AC Camerfirma SA CIF A ?

16 Internet Explorer Sicherheitszonen Restriktiv konfigurieren Problem: Blacklist

17 Internet Explorer Sicherheitszonen Mehr erlauben Sicherheitsfunktionen abschalten (bei Bedarf) Funktionen mit Datenübermittlung abschalten

18 Internet Explorer Sicherheitszonen Mobile Geräte?

19 Internet Explorer Sicherheitszonen?

20 Internet Explorer ActiveX

21 Internet Explorer 8 InPrivate (»Pornomodus«)

22 Internet Explorer 8 XSS-Filter

23 Firefox NoScript Firefox-Erweiterung Ausführungskontrolle für aktive Inhalte JavaScript, Flash, Java, Silverlight Whitelist Probleme Administration Erweiterungen als Angriffsvektor

24

25

26

27

28

29

30

31 Ein Browser kommt selten allein

32 »Prioritäten? Obwohl Kriminelle fast nur noch Lücken im Adobe Reader, QuickTime, Adobe Flash und Microsoft Office ausnutzen, um Windows-PCs zu infizieren, verstreicht bis zum Installieren von Sicherheits-Updates doppelt so viel Zeit wie für das Schließen von Lücken in den Betriebssystemen.«

33 Sicherer Browser? # NVD- Einträge 10 0 Flash IE Java Quelle: Zeitraum: bis

34 z.b. Flash Player Updates mms.cfg Flash-Cookies Global Settings Panel?

35 z.b. Java Updates Signierte Applets?

36 Radikallösung ReCoBs Browser wegsperren Arbeitsplätze Server Quelle: Common Criteria Protection Profile for Remote-Controlled Browsers Systems (ReCoBS) BSI-PP-0040, Version 1.0

37 Fazit Viele Rädchen, wenig Wirkung Viele Einzelprobleme Wichtig: Updates + Konfiguration für alle Programme mit Netzkontakt Geschmackssache: Privacy-Einstellungen Hohe Sicherheit == hoher Aufwand

38 Ausblick Stand: Windows XP mit aktuellen Browsern Lösungsansätze: Betriebssystem! Feingranulare Zugriffskontrolle Browserarchitektur! auch innerhalb der Anwendung

39 Literatur Browser Security Handbook, Sichere Nutzung von Web-Angeboten (BSI), Chrome mit Kratzern: Google's Webbrowser und der Datenschutz, Browser security: lessons from Google Chrome, Wie ist der Google-Chrome-Browser einzuschätzen? Browser%20einzusch%C3%A4tzen? Einschätzung zum Geheimnis- und Datenschutz bei der Verwendung von Google Chrome, Chrome verkleidet sich als Internet Explorer, Adobe Flash Player Administration Guide for Flash Player 10, Remote-Controlled Browsers System (ReCoBS), iten_node.html Unternehmen setzen bei Sicherheits-Updates die Prioritäten falsch,

40 Fraunhofer SIT Testlabor IT-Sicherheit Sven Türpe