Nebezpečné weby vs. moderní prohlížeče

Přestože velkým tématem pro tvůrce všech mainstreamových webových prohlížečů je dnes především výkon, jak jsme si rozebrali v minulém díle seriálu Moderní webové prohlížeče,  oblast bezpečnosti je pochopitelně nadále velmi důležitá. Právě bezpečnost byla jedním z pádných argumentů, které v prvním polovině první dekády tohoto století znovu rozhýbaly trh s webovými prohlížeči.

Ten do té doby ovládal Internet Explorer od společnosti Microsoft, která ovšem u šesté generace vývoj svého prohlížeče zastavila na několik let. Přitom Internet Explorer 6 minimálně do vydání druhého servisního balíčku pro Windows XP byl z bezpečnostního hlediska nevyhovující. Kulantně řečeno. Nyní Microsoft tvrdí, že jeho prohlížeč je tím nejbezpečnějším na trhu.

Microsoft se odvolává na studie respektovaných výzkumníků z NSS Labs, ovšem ty v žádném případě nezkoumají bezpečnost prohlížeče jako celku. V NSS Labs pravidelně testují, jak jsou jednotlivé prohlížeče schopné zablokovat přístup na webové stránky, které jsou známy svou nebezpečností. V této oblasti, alespoň podle testů NSS Labs, již delší dobu Internet Explorer exceluje díky svému ochrannému filtru SmartScreen.

Filtr SmartScreen prohlížeče Internet Explorer v nezávislém testu NSS Labs vykazuje téměř 100% schopnost zablokovat přístup na nebezpečné webové stránky.

Podle zatím poslední studie NSS Labs zkoumají schopnost prohlížečů blokovat přístup na webové stránky, které šíří malware (resp. slouží k jeho šíření), probíhající v období od 7. do 26. září 2012, byl Internet Explorer 10 úspěšný v ochraně uživatele z 99,1 %. Na druhém místě skončil Google Chrome 21 s úspěšností 70,4 %. Mozilla Firefox 15 s úspěšností pouze 4,2 % skončil na čtvrtém místě, když jej o jednu desetinu procentního bodu přeskočilo Safari 5 od Applu.

Prohlížeče Maxthon a Opera, kterým se v rámci seriálu věnujeme dlouhodobě, do testu vůbec zahrnuty nebyly. Každopádně podle této nezávislé studie má Internet Explorer nejlepší schopnost blokovat přístup na weby šířící malware. Tedy alespoň na jejich vybraný vzorek. Testováno bylo 913 URL každých šest hodin po dobu dvaceti dnů. Lze tedy oprávněně tvrdit na základě této studie, že Internet Explorer je nejbezpečnějším webovým prohlížečem?

Určitě ne. Google a Mozilla tradičně proti výsledkům testů NSS Labs a především jejich nesprávné interpretaci protestují. Pravdivě argumentují, že schopnost zablokovat přístup na nebezpečný web není alfou a omegou bezpečnosti webového prohlížeče. Rozhodující je, jestli prohlížeč dokáže odolat útoku, do čehož promlouvá řada dalších atributů. Google například vyzdvihuje svůj sandbox, který ostatní prohlížeče nenabízejí, což je z hlediska bezpečnosti klíčová výhoda.

Drive-by útoky a ochrana před nimi

Velkou hrozbou jsou tzv. drive-by útoky, které mohou být realizovány už pouhým načtením webové stránky a jejích prvků. Není třeba žádná přímá součinnost uživatele. Stačí jej třeba za přispění trochy toho sociálního inženýrství přilákat na web s nastraženou pastí. Případně úspěšně kompromitovat legitimní webové stránky.

Teoreticky by se dalo říci, že by právě výše zmiňované blokování přístupu na nebezpečné weby mohlo být dostatečnou ochranou, ale to je opravdu jen čirá teorie. V praxi jsou žádoucí další ochranné prvky. Drive-by útoky dnes nejsou vedeny přímo přes webový prohlížeč, ale plug-iny v něm nainstalované: Java, Flash Player, Silverlight, Adobe Reader a podobně.

Když společnost Kaspersky Labs, výrobce antivirových řešení, zkoumala malwarové útoky během třetího čtvrtletí loňského roku, došla k závěru, že zřejmě nejlákavější cestou pro zdárnou infiltraci je Java. Skrze ni útočilo 56 % zkoumaných záškodnických programů. Na druhém místě skončil PDF prohlížeč Adobe Reader, jehož zranitelností využívala rovná čtvrtina ze zkoumaného malwaru.

Zranitelností v operačních systémech MS Windows a prohlížeči Internet Explorer zneužívala pouhá 4 % ze záškodnických programů, které experti z Kaspersky Labs zkoumali. Bezpečnostní nedostatky plug-inu Flash Player zneužívala 3 % ze zkoumaného malwaru. Snad není nutné připomínat, že vedle plug-inu Flash Player z dílny  Adobe mají svůj vlastní a hojně rozšířený plug-in pro webové prohlížeče i Java od firmy Oracle a Adobe Reader opět od Adobe.

Ochrana před drive-by vedené skrze plug-iny je přitom jednoduchá: aktivovat konkrétní plug-in až na přání uživatel pro zpracování konkrétního prvku. Tedy například pro přehrání videa ze všech plug-inů spustit na přání uživatele pouze Flash Player. Tím se výrazně sníží pravděpodobnost úspěšného útoku. Ovšem taková funkce není v nabídce současných prohlížečů zdaleka samozřejmostí. Z prohlížečů, kterým se v seriálu dlouhodobě věnujeme, ji má plně rozvinutou pouze Google Chrome a Opera.

V případě prohlížeče Googlu je funkce pro aktivaci konkrétního plug-inu až na přání uživatele funkcí volitelnou. Ve výchozím nastavení jsou plug-iny povoleny a toto nastavení je v konfigurační sekci prohlížeče označeno za doporučené. Prohlížeči Google Chrome lze ale k dobru přičíst to, že se sám stará o automatickou tichou aktualizaci plug-inu Flash Player.

Google Chrome doporučuje  ponechat plug-iny aktivní, ale podporuje aktivaci potřebného plug-inu až na přání uživatele.

Dále pak plug-in programu Adobe Reader pro prohlížení PDF dokumentů v okně prohlížeče nahrazuje předinstalovaným plug-inem založeným na technologii společnosti Foxit Software. Ten je opět aktualizován přímo aktualizačním mechanismem prohlížeče. Mozilla se rozhodla vytvořit své vlastní řešení pro zobrazování PDF dokumentů v okně prohlížeče.

Namísto plug-inu problematického programu Adobe Reader nabízí Mozilla Firefox vlastní PDF prohlížeč založený čistě na webových technologiích. Je však na něm co zlepšovat.

Mozilla Firefox má integrovaný vlastní PDF prohlížeč založený čistě na webových technologiích, který se tedy logicky aktualizuje spolu s prohlížečem. Nicméně mnozí uživatelé si stěžují na malou rychlost vykreslování obsahu dokumentů a četné chyby při této činnosti. Vestavěný prohlížeč lze jednoduše nahradit plug-inem některého z klasických programů pro prohlížení PDF dokumentů, případně nekorektně vykreslený dokument otevřít přímo v externím PDF prohlížeči.

Nicméně Mozilla má jistě co zlepšovat, přinejmenším na výkonu. Ale jak je na tom Firefox s aktivací plug-inů až na přání uživatele? Elementární podpora této funkce je v prohlížeči zahrnuta mnoho měsíců, ovšem funkce je už nezdravě dlouho v rozpracovaném stavu. Je nutné ji aktivovat přes about:config nebo prostřednictvím rozšíření, ale pořád jde jen o počáteční podporu.

Mozilla pracuje na kompletně nové správě plug-inů. Po jejím dokončení počítá, že by Firefox měl ve výchozím nastavení zakázané veškeré plug-iny kromě nejnovější verze stále často potřebného Flash Playeru. Ostatní plug-iny by se aktivovaly až na přání uživatele s možností přípravy výjimek pro konkrétní plug-iny a konkrétní weby. Firefox by zároveň varoval před zastaralými verzemi alespoň těch nejvíce rozšířených a potažmo nejrizikovějších plug-inů. Zatím však jde o hudbu budoucnosti.

Opera disponuje podporou aktivaci plug-inů až na vyžádání, která se svou úrovní velmi blíží té z prohlížeče Google Chrome. Je to tedy opět volitelná funkce, ovšem oproti Mozilla Firefoxu je dostupná z běžného nastavení prohlížeče a podporuje nastavovat výjimky pro jednotlivé weby. Opera pak má navíc vlastní funkci pro blokování libovolného obsahu, díky které si může uživatel zablokovat načítání jakéhokoliv obsahu dle libosti.

Opera podporuje aktivaci potřebného plug-inu až na přání uživatele podobně jako konkurenční Google Chrome.

Maxthon má totožnou funkci bez jakéhokoliv ostychu rovnou prezentovanou jako blokování reklamy, ovšem využít ji lze nejen k tomuto účelu. Nechme stranou, do jaké míry je nebo může být širší uživatelské veřejností zřejmé, že blokování obsahu v Opeře lze využít k blokování reklam a blokování reklam v Maxthonu pak k blokování jakéhokoliv obsahu. Podstatnější je, že Maxthon nyní nemá moderní správu plug-inů. Umí je pouze generálně zakázat nebo povolit. 

Webový prohlížeč Maxthon aktivaci potřebného plug-inu až na přání uživatele (click-to-play) bohužel nepodporuje.

Pokud jde o Internet Explorer, tak možnosti nastavení podpory plug-inů, resp. ActiveX, jsou dosti široké, ovšem zároveň uživatelsky nepřívětivé a rozeseté do mnoha oken, tudíž si dovolím odhadnout, že málokdo z širší uživatelské veřejnosti dovede nastavení práce s nimi dostatečně vyladit s ohledem na bezpečnost při zachování uživatelského komfortu. Jako jednoduché řešení Internet Explorer nabízí filtr ActiveX. 

Ten ovšem například pro využití Flash Playeru vyžaduje spustit podporu všech povolených ActiveX, přičemž provede opětovné načtení stránky, takže o účinnou ochranu proti drive-by útokům ze strany plug-inů resp. ActiveX rozhodně nejde. K dobru nelze přičíst ani nově zavedenou aktualizaci Flash Playeru skrze Windows Update, protože to je specifická funkce jen ve Windows 8. 

Který z prohlížečů tedy chrání nejlépe?

Z hlediska ochrany před drive-by útoky je si nejlépe vede Google Chrome, který k blokování přístupu na nebezpečné weby s vysokým procentem úspěšnosti (70 %) přidává plnou podporu aktivace plug-inů až na vyžádání se vším, co je k tomu potřeba, byť má ve výchozím nastavení plug-iny povolené. Google Chrome ale používá sandbox, což je jeho velké plus.

Prohlížeč od Googlu si pak sám aktualizuje rizikový plug-in Flash Player díky svému vlastnímu a vysoce efektivnímu aktualizačnímu mechanismu. Jeho stinné stránky protentokrát nechme stranou, ale určitě se k nim v seriálu ještě dostaneme. V neposlední řadě velmi problémový plug-in programu Adobe Reader prohlížeč Google Chrome nahrazuje předinstalovaným a automaticky aktualizovaným plug-inem založeným na technologii společnosti Foxit Software.

Pomyslná stříbrná medaile sluší Opeře, která vedle podpory aktivace plug-inů až na vyžádání má ještě samostatnou funkci pro blokování libovolného obsahu. Opera má rovněž ochranu před podvodnými weby, ovšem v posledním testu NSS Labs tento prohlížeč nefiguroval. Zajímavé je, že v něm Opera figurovala v době, kdy žádnou podobnou ochranu neměla, takže končívala na chvostu výsledkové listiny…

Mozilla Firefox je zatím třetí, ale po dokončení nové správy plug-inů zřejmě ostatní prohlížeče přeskočí, pokud ty do té doby nepřijdou také s nějakými novinkami. Vlastní PDF prohlížeč založený na čistě webových technologiích je z principu dobrý nápad, ale provedení vykazuje rezervy. Minimálně co se výkonu týče. Očekávat stoprocentní kompatibilitu by bylo asi naivní. 

Na konci žebříčku zůstávají dnes Internet Explorer a Maxthon. Ani jeden prohlížeč nemá podporu aktivace plug-inů na vyžádání v tom moderním slova smyslu (click-to-play).  Maxthon si může připsat plusové body za funkci pro blokování reklamy, kterou lze využít i pro uživatelské blokování dalšího obsahu, byť to není funkce primárně vytvářená jako ochrana před drive-by útoky. 

Stejné plusové body si ovšem může připsat také Internet Explorer, protože též má funkci pro blokování obsahu, byť prezentovanou primárně jako ochranu před nástroji (skripty) sloužícími ke stopování a sledování uživatelů. Ve prospěch prohlížeče od Microsoftu pak hovoří téměř plná účinnost filtru SmartScreen v testu NSS Labs.

Také Internet Explorer má integrovanou funkci pro uživatelské blokování obsahu, ovšem primárně je navržena jako ochrana před sledováním pro blokování monitorovacích skriptů.

Nicméně dle mého názoru ani tento úspěch nemůže vyvážit chybějící moderní a jednoduchou správu plug-inů (ActiveX), protože je možné, že by účinnost na jiném vzorku nebezpečných webů vypadala diametrálně odlišně. Flash Player je pak skrze Windows Update aktualizován jen uživatelům prohlížeče Internet Explorer 10 ve Windows 8, přestože samotný Internet Explorer 10 po několikaměsíčním čekání vyšel alespoň pro Windows 7.

Bezpečnost prohlížečů však není jen o úspěšnosti blokování přístupu na weby šířící malware nebo připravenosti na éru drive-by útoků vedených skrze bezpečnostní skulinky v plug-inech. Proto se bezpečnosti a potažmo ochranou soukromí uživatelů v nejrůznějších oblastech a ohledech budeme věnovat i v dalšch dílech seriálu. 

Poznámka: Pokud není výslovně uvedeno jinak, jsou v článku zohledněny ostré verze prohlížečů a jejich funkce aktuální k datu vydání článku, tedy: Internet Explorer 10, Mozilla Firefox 20.0.1, Google Chrome 26, Opera 12.15 a Maxthon 4.0.5.