Μελέτη: Unpatched Web Browsers Παλιό στο Διαδίκτυο

Μόνο το 59,1% των ανθρώπων χρησιμοποιεί ενημερωμένους, πλήρως ενημερωμένους φυλλομετρητές ιστού, θέτοντας το υπόλοιπο σε κίνδυνο από αυξανόμενες απειλές από επιμελή χάκερ, σύμφωνα με νέα μελέτη που δημοσιεύτηκε από ερευνητές στην Ελβετία

Η μελέτη, που δημοσιεύθηκε την Τρίτη, είναι μια από τις πιο ολοκληρωμένες αναλύσεις για τις εκδόσεις των browsers που χρησιμοποιούν οι χρήστες στο διαδίκτυο. Η έρευνα διεξήχθη από ερευνητές του Ελβετικού Ομοσπονδιακού Ινστιτούτου Τεχνολογίας, της Google και της IBM Internet Security Services.

Οι περιηγητές ιστού είναι συχνά ένας ασθενής σύνδεσμος στην αλυσίδα ασφαλείας, καθώς τα τρωτά σημεία του λογισμικού μπορούν να διευκολύνουν τους χάκερς να αποκτήσουν τον έλεγχο ενός PC. Όταν συμβαίνει αυτό, οι χάκερ μπορούν να εκτελέσουν κακόβουλες πράξεις, όπως κλοπή προσωπικών δεδομένων ή μετατροπή υπολογιστών σε σκάλες που εκπέμπουν ανεπιθύμητα μηνύματα.

Αυτό που διαπίστωσαν οι ερευνητές είναι ότι αν και λογισμικό οι πωλητές παρέχουν ενημερώσεις για προβλήματα ασφαλείας, μπορεί να χρειαστούν ημέρες, εβδομάδες ή μήνες πριν οι χρήστες να ενημερώσουν τις εφαρμογές τους. Εν τω μεταξύ, οι χρήστες αυτοί βρίσκονται σε κίνδυνο.

Ωστόσο, δεν είναι εξ ολοκλήρου η υπαιτιότητα των χρηστών, καθώς οι πωλητές του προγράμματος περιήγησης στο διαδίκτυο δεν έχουν καταστήσει ακριβώς εύκολο το patching, δήλωσε ο Stefan Frei, διδακτορικός φοιτητής στο ινστιτούτο, Ζυρίχη και ένας από τους συγγραφείς της έκθεσης. Το πρόγραμμα περιήγησης στο Web εξακολουθεί να είναι αρκετά νεαρή τεχνολογία και η βιομηχανία δεν έχει ακόμα επιλύσει ένα δεσπόζοντο, δοκιμασμένο σχέδιο.

Η μελέτη εξέτασε τα αρχεία καταγραφής διακομιστή εφαρμογών αναζήτησης και Web που παρέσχε η Google για να δει ποιες εκδόσεις οι χρήστες του Firefox, Opera ή Safari χρησιμοποιούν, δήλωσε ο Frei

Ο Internet Explorer της Microsoft, ωστόσο, λέει στους διακομιστές Web μόνο ποια σημαντική έκδοση χρησιμοποιεί ένα άτομο, όπως το IE 6 ή το IE 7. Οι ερευνητές βασίστηκαν σε δεδομένα από ανθρώπους οι οποίοι έχουν εγκαταστήσει ένα εργαλείο στον υπολογιστή τους που ονομάζεται Personal Software Inspector, από τη δανική εταιρεία ασφάλειας Secunia που μπορεί να ανιχνεύσει τις αυξανόμενες εκδόσεις του IE, δήλωσε ο Frei.

Οι χρήστες του Firefox ήταν οι καλύτεροι στην αναβάθμιση: 83,3% χρησιμοποιούν την τελευταία έκδοση μελέτη έβλεπε μόνο τον Firefox 2.0). Για το Safari της Apple, το 65,3% χρησιμοποιεί την τελευταία έκδοση. 56,1% για την Opera και 47,6% για τον Internet Explorer της Microsoft.

Ο Firefox του Mozilla βγήκε στην κορυφή λόγω της δυνατότητας αυτόματης ενημέρωσης, η οποία λέει σε έναν χρήστη ότι είναι διαθέσιμη μια νέα ενημερωμένη έκδοση κώδικα και προσφέρει έναν τρόπο κλικ για αναβάθμιση με ένα κλικ. Μέσα σε τρεις ημέρες, οι περισσότεροι χρήστες του Firefox είναι ενημερωμένοι, σύμφωνα με τη μελέτη.

Η Frei συνιστά ότι όλοι οι κατασκευαστές περιηγητών θέτουν σε λειτουργία αυτόματης ενημέρωσης, καθώς η διαδικασία είναι πλέον δυσκίνητη και αργή. υπάρχει μια νέα έκδοση, αλλά πρέπει να μεταβούν στην τοποθεσία Web της Opera και να περάσουν από την ίδια διαδικασία εγκατάστασης σαν να είχαν αρχικά κατεβάσει το πρόγραμμα περιήγησης για πρώτη φορά, δήλωσε ο Frei.

Το Safari χρησιμοποιεί ένα εξωτερικό updater, ενημερώσεις σε ορισμένα χρονικά διαστήματα. Οι ενημερώσεις της Microsoft διανέμονται τη δεύτερη Τρίτη του μήνα. Αυτά τα κενά στο χρονικό διάστημα μεταξύ της στιγμής κατά την οποία ένα θέμα ευπάθειας αποκαλύπτεται δημόσια και οι επιθεωρήσεις ενός ατόμου είναι κρίσιμης σημασίας, καθώς είναι ένα ανοιχτό παράθυρο για μια επίθεση.

Το πρόβλημα με χαλαρή επιδιόρθωση πέφτει ακριβώς στους ώμους των πωλητών εφαρμογών - απλά δεν μπορεί να πει οπτικά αν χρειάζεται να αναβαθμιστεί ο browser τους, δήλωσε ο Frei.

Υποστηρίζει ότι οι πωλητές λογισμικού παίρνουν ένα σύνθημα από τη βιομηχανία τροφίμων και βάζουν μια "ημερομηνία λήξης" ακριβώς επάνω στο πρόγραμμα περιήγησης, κατάσταση. Για παράδειγμα, μια προειδοποίηση θα μπορούσε να εμφανιστεί δίπλα στη γραμμή διευθύνσεων: "145 ημέρες έληξαν, τρία μπαλώματα λείπουν"

"Είναι μια μη τεχνική πρόταση", δήλωσε ο Frei. "Πώς μπορείτε να περιμένετε από τους ανθρώπους να τρέξουν την ενημέρωση εάν δεν γνωρίζουν καν;" Πιστεύουμε ότι είναι το ίδιο με το όριο ταχύτητας σε μια εθνική οδό. "

Ακόμη και εταιρείες μηχανών αναζήτησης όπως το Google θα μπορούσαν να εμφανίσουν την ίδια προειδοποίηση τα αποτελέσματα αναζήτησης, καθώς η έκδοση του προγράμματος περιήγησης μεταδίδεται στους διακομιστές της όταν κάποιος πραγματοποιεί ένα ερώτημα, δήλωσε ο Frei

Εναλλακτικά, οι εταιρείες ασφάλειας θα μπορούσαν να κάνουν την εφαρμογή να σαρώνουν μέρος των καταναλωτικών προϊόντων τους, κάτι που έκαναν για κάποιο λογισμικό επιπέδου επιχείρησης, δήλωσε ο Frei.

Αλλά το πρόβλημα των ξεπερασμένων φυλλομετρητών παραμορφώνεται σε σύγκριση με το ακρωτήριο του βύσματος -In, οι οποίες προσθέτουν επιπλέον λειτουργίες στο πρόγραμμα περιήγησης, όπως το Adobe Flash και το πρόγραμμα πολυμέσων QuickTime της Apple.

Κατά μέσο όρο οι χρήστες έχουν έξι έως δέκα προσθήκες, πολλά από τα οποία προέρχονται από διαφορετικούς προμηθευτές με διαφορετικά καθεστώτα και προγράμματα προγραμματισμού, Δήλωσε ο Frei

"Το πρόγραμμα περιήγησης είναι το ψωμί και ακόμα κι αν το ψωμί είναι καλό, αν το ζαμπόν είναι σάπιο, έχετε κάποιο πρόβλημα", δήλωσε ο Frei

Μόνο ένα ευπάθεια λογισμικού σε ένα plug-in θέσει σε κίνδυνο έναν προσωπικό υπολογιστή. Ο Frei προτείνει ότι ένας οργανισμός, όπως μια εθνική ομάδα για την αντιμετώπιση έκτακτης ανάγκης από υπολογιστές, να δημιουργήσει μια υπηρεσία όπου οι φυλλομετρητές μπορούν να επαληθεύσουν εάν έχει την τελευταία έκδοση μιας προσθήκης.

Εκτός από τον Frei, η μελέτη διεξήχθη επίσης από τον Thomas Dübendorfer της Google, Ο Gunter Ollmann των IBM Internet Security Systems και ο Martin May από την ETH. Η μελέτη θα παρουσιαστεί στη διάσκεψη ασφαλείας της Defcon τον επόμενο μήνα στο Λας Βέγκας.