Est-ce que Firefox a quelque chose de similaire à ActiveX en termes de vulnérabilités de sécurité?
Les gens disent toujours que Linux est plus sécurisé que Windows. La raison principale semble être la philosophie générale de conception du système et le fait que les utilisateurs sont des utilisateurs et non des racines.
Un problème de sécurité majeur lors de l'utilisation de Windows et d'Internet Explorer semble être ActiveX. Tous les quelques jours, je lisais un article sur un autre type d’exploit utilisant ActiveX, et la solution de contournement consiste presque toujours à désactiver ActiveX. Je lis cela si souvent que je me demande pourquoi les gens se donnent la peine d'activer ActiveX. (Une des raisons pourrait être que le nom contient "actif"; une autre pourrait être la fonction de mise à jour de Windows.)
En utilisant Ubuntu et Firefox, je me sens toujours très en sécurité lorsque je lis des informations sur les exploits ActiveX. Je sais que de nombreuses autres vulnérabilités de sécurité utilisent JavaScript et/ou Adobe Flash, mais autant que je sache, ces vulnérabilités de sécurité ne peuvent causer que le plus de dommages que les droits de mes utilisateurs me permettent. Bien sûr, cela n’aide pas beaucoup lorsque le logiciel malveillant veut détruire toutes mes données - mais la plupart des logiciels malveillants veulent aujourd’hui utiliser mon PC uniquement en tant que drone de botnet et ne sont donc pas intéressés par la destruction de mes données.
Alors la question encore: Firefox fonctionnant sous Ubuntu a-t-il quelque chose de similaire à ActiveX, en termes de vulnérabilités de sécurité?
Une autre question qui peut être identique: une vulnérabilité de sécurité impliquant Adobe Flash et/ou JavaScript peut-elle être "facilement" exploitée pour causer autant de dégâts qu'un exploit ActiveX?
Quand je dis "facile", je veux dire que l'attaque n'a pas besoin d'exploiter un autre composant du système pour élever les droits des utilisateurs. Par exemple, un exploit impliquant Adobe Flash obtiendra l'accès à mon PC en utilisant mes droits d'utilisateur, puis exploitera une vulnérabilité connue dans X pour obtenir un accès root. Ce n'est pas "facile".
est-ce que Firefox sous Ubuntu a quelque chose de similaire à ActiveX, en termes de vulnérabilité de sécurité?
‘ActiveX’ peut être considéré en deux parties, le modèle d’objet et la méthode d’installation. Firefox a quelque chose de similaire - et compatible multi-plateforme, Ubuntu ou autre - pour les deux.
Le modèle objet d'ActiveX est Microsoft COM ; L'équivalent de Firefox est XPCOM . Beaucoup d'autres fonctionnalités et applications Windows qui n'ont rien à voir avec la navigation Web utilisent MS COM, et il y avait traditionnellement d'innombrables problèmes où les contrôles COM non écrits pour une utilisation Web sécurisée étaient néanmoins disponibles pour les pages Web. Cela a causé beaucoup de compromis. Firefox est mieux ici car XPCOM n'est pas partagé avec le reste du système. Les versions plus récentes de IE disposent de meilleurs contrôles pour limiter les sites autorisés à utiliser quels contrôles.
(De plus, étant donné que de nombreux add-ons pour Firefox sont eux-mêmes écrits en JavaScript, un langage de script de haut niveau, ils sont souvent mieux protégés des erreurs de saturation de mémoire tampon et de manipulation des chaînes que des extensions pour IE sont couramment écrits en C [++].)
La partie contrôle-téléchargement de l’ActiveX a également été légèrement nettoyée depuis l’époque où tout ce qui se trouvait dans la zone Poste de travail pouvait installer le logiciel de son choix, et les scripts de chargement agressifs pouvaient vous piéger dans une boucle alert accepté d'approuver l'invite ActiveX. L’équivalent de Firefox, XPInstall , se comporte généralement de la même manière, avec la "barre d’information" sur tous les sites sauf les sites de Mozilla par défaut et un avertissement/message approprié avant l’installation.
Il existe une autre manière intégrée de vous compromettre dans Mozilla: scripts signés . Je n'ai jamais vu cela réellement utilisé, et il y aura certainement une autre fenêtre d'avertissement avant qu'un script n'obtienne des droits supplémentaires, mais cela m'inquiète un peu que cela soit disponible pour les pages Web.
par exemple, un exploit via flash obtiendra l'accès à mon ordinateur sous mes droits d'utilisateur
Oui, la majorité des exploits Web actuels se produisent dans des plugins. Adobe Reader, Java (*) et QuickTime sont les plus populaires/vulnérables. IMO: débarrassez-vous de ceux-ci et utilisez FlashBlock pour afficher Flash uniquement lorsque vous le souhaitez.
(*: et les dialogues de Java avant qu'il ne vous laisse céder toute la sécurité à une applet non fiable est également un peu dépouillé.)
Ubuntu vous fournit par défaut des plugins douteux, notamment un plug-in de lecteur multimédia qui rendra exploitable par le Web toute vulnérabilité dans l'un de vos codecs multimédias (similaire au plug-in de Windows Media Player, mais potentiellement avec beaucoup plus de formats). Bien que je n'ai pas encore rencontré d'exploit visant Linux comme celui-ci, il ne s'agit en réalité que de sécurité à travers l'obscurité.
Notez qu'ActiveX n'est pas différent. Un compromis de navigateur Web basé sur ActiveX ne donne toujours qu'un accès au niveau utilisateur; C'est uniquement parce qu'avant Vista que tout le monde courait habituellement en tant qu'administrateur que cela se traduisait par un enracinement complet.
puis suivez pour exploiter une vulnérabilité connue dans X afin d’obtenir les droits root. ce n'est pas "facile".
Peut-être peut-être pas. Mais je pense que vous constaterez que les dommages que certains logiciels malveillants peuvent causer même avec un compte utilisateur normal sont assez graves. Copiez toutes vos données personnelles, observez vos frappes au clavier, supprimez tous vos documents ...
Cela dépend de la nature de la vulnérabilité. Parfois, vous êtes "chanceux" et la vulnérabilité "juste" autorise une divulgation limitée, mais souvent les vulnérabilités permettent l'exécution de code arbitraire. À ce stade, vous êtes dans une profondeur de doo-dah, au même titre que les problèmes ActiveX. Et ces failles peuvent être dans la gestion des fichiers d’image (images malveillantes), du son ou presque.
ActiveX était pire car il offrait aux rédacteurs de code le moyen de déclarer "Si ceci est installé, il est sans danger d'être référencé à partir d'une page Web" et beaucoup de développeurs l'ont activé sans comprendre les implications, il y avait donc beaucoup de cibles et il serait facile de sortir. Mais vous êtes tout aussi exposé à la mauvaise gestion des nombres étranges dans les fichiers image. C'est juste que les problèmes de fichier image sont résolus en mettant à jour le navigateur.
La seule défense contre tout cela consiste à utiliser le sandboxing, qui limite ce qu'un processus exécuté en tant qu'utilisateur peut faire. OpenBSD a été le pionnier en rendant populaire cette séparation en séparant les privilèges de différents démons (notamment OpenSSH, vous l'utilisez donc maintenant sur Ubuntu). Chrome a popularisé cette option pour les navigateurs Web, mais ne propose le sandboxing que sur certaines plates-formes. Ironiquement peut-être, vous étiez probablement plus en sécurité avec Chrome sous Windows que n'importe quel navigateur graphique sous Linux. Heureusement, cela change. Je pense qu’une protection partielle est prévue dans les versions Linux. Le projet Capsicum a montré comment cela pourrait être fait de manière plus complète sous FreeBSD (avec un système de capacité) et, espérons-le, à un moment donné, les développeurs du noyau Linux cesseront de se battre pour choisir le modèle de sécurité le mieux adapté et se contenteront de quelque chose qui deviendra disponible presque universellement pour le Web. -browsers à utiliser, plutôt que le marteau émoussé qui est le suid wrapper qui permet chroot pseudo-sandbox.
http://www.cl.cam.ac.uk/research/security/capsicum/ est bien si vous voulez explorer les systèmes de capacité pour les bacs à sable et voir comment les choses pourraient s'améliorer.
Pour autant que je sache, un exploit ActiveX ne peut pas nuire en dehors des droits de vos utilisateurs (sans utiliser d’autres exploits, comme vous l’indiquez). Le principal problème de Windows était que presque tout le monde travaillait comme Administrateur la plupart du temps ...