Selv om Microsofts Internet Explorer (IE) har tabt markedsandele til værdige konkurrenter de seneste år, så er den stadig førende på markedet.
IE har mange rigtig gode sikkerhedsfeatures, men dens mange brugere har også måttet sande, at Internet Explorers dominans og kompleksitet har gjort den til et oplagt mål for angreb.
Samtidig er IE den eneste browser, der som udgangspunkt er sårbar over for angreb på ActiveX-kontrolkomponenter.
Ud fra et sikkerhedssynspunkt betaler det sig ikke at være populær. IE har haft mindst 70 kendte sårbarheder de sidste to år. Det er kun Mozilla Firefox, der kan gøre IE rangen stridig på det område.
Firefox 3.0 har haft mindst 39 sårbarheder på seks måneder. Derimod er Opera 9.x kun noteret for 45 på to år, mens Apples Safari og Googles Chrome har haft henholdsvis 26 og 10 sårbarheder i deres korte levetid.
Til denne gennemgang har jeg testet IE 8 Beta 2. Når man installerer IE, kører et anti-malware sporingsværktøj (den eneste browser, der gør det) og downloader de seneste opdateringer.
På Vista kører alle IE 8-processerne virtualiseret med DEP (data execution prevention) og ASLR (address space layout randomization) slået til. Opsætningsprocessen startes i Protected Mode som default for alle websites bortset fra dem i Trusted Sites-sikkerhedszonen.
Protected Mode tilfører browseren mange ekstra beskyttelseslag, blandt andet at den kører alle default browser-komponenter (værktøjsbjælke, historie, foretrukne, midlertidige download-områder og browser hjælpeobjekter) med begrænsede privilegier og lavere integritet.
De kan ikke tilgå kommando-prompten eller skrive til systemområder. Googles Chrome har en mere restriktiv basis-sikkerhedsmodel til den primære browser instance, men giver ikke nær samme beskyttelse for andre komponenter og tillægsudstyr.
Behov for sund fornuft
IE har alle de sædvanlige sikkerhedsfeatures: Anti-phishing, blokering af pop-up-vinduer, privat browsing-mode (kaldet Inprivate Browsing), cookie-sikkerhed, MIME indholds-sniffing, anti-XSS (cross-site scripting) og så videre.
IE tillader ikke, at filer bliver dowloadet automatisk eller at hjælpeprogrammer initieres automatisk, og den kan forhindre, at billeder, lydfiler, animerede billeder og andre objekter bliver downloadet. Det er kun Opera, der kan hamle op med denne form for indholdsblokering.
IE 8's opdaterede antiphishing-filter, SmartScreen, kan nu også blokere sites, som ifølge Microsoft hoster malware, uanset om der er tale om phishing eller ej. Men SmartScreen er, som de antiphising-features, der er i Firefox og Opera, endnu ikke præcis nok, til at man helt kan stole på den. Der er stadig behov for anti-malware-software og sund fornuft.
En af de mindre, men bedste forbedringer i IE 8 er highlight af domænenavne i adresselinjen, når navnet ligger lejret i en meget længere URL. Phishere indlejrer ofte det spoofede måls domænenavn inde i en meget længere, falsk streng.
Denne lille ændring gør det markant lettere at genkende phishing-sites, som Microsoft endnu ikke har bekræftet. Chrome har denne feature, men ud over domænenavnet highlighter Chrome også webserver-navnet, som også ofte spoofes af phishere.
Internet Explorer har altid haft en god beskyttelse af privatlivet og håndtering af cookies. Som default tillades alle førsteparts-cookies og også tredjeparts, hvis det site, de kommer fra, har en klar og tilgængelig politik for privatlivsbeskyttelse (det har de færreste).
Uanset hvad, så begrænser IE personlige informationer opsamlet af både første- og tredjeparts-cookies. Politikker for cookies anvendes enten pr. sikkerhedszone eller opsættes på individuelle sites.
IE 8's nye Inprivate Blocking-feature forsøger at forhindre andre typer af trejedeparts-tracking ud over de normale cookie-sporingsteknikker. Hvis IE 8 bemærker en specifik tredjepart, der følger dig over 10 websider, får du mulighed for at blokere for sporingen.
Man kan også aktivere Inprivate Subscription, der implementerer Inprivate Blocking-lister opdateret af Microsoft.
Tilføjelser og ActiveX
Det er kun IE og Firefox, der har en add-on-manager, og IE's er den bedste. Som i Firefox kan tilføjelserne aktiveres og deaktiveres ved at klikke på en knap. Men IE 8 giver mulighed for, at tilføjelsesprogrammer kan begrænses til kun at køre på et enkelt site, eller de kan bruges af ethvert website.
Den første beslutning træffes ved første download af et tilføjelsesprogram, men den kan ændres senere. IE's add-on-manager viser, hvilke tilføjelser der er loadet, hvilke der har været brugt, og hvilke der ikke er blevet brugt.
IE-brugere har altid kunnet deaktivere ActiveX-kontroller eller tillade, at det kun er signerede ActiveX-kontroller, der bliver kørt. (Java og JavaScript kan også aktiveres og deaktiveres zone for zone).
Microsoft giver nu leverandører mulighed for at begrænse brugen af deres ActiveX-kontroller til visse websites, via en feature der hedder SiteLock ATL.
En ny feature, som har forårsaget en del kontroverser, er, at IE 8 understøtter Activex-kontroller pr. bruger. Hidtil har de fleste ActiveX-kontroller krævet, at slutbrugeren skulle logge på som administrator for at installere dem.
Nu kan leverandører ompakke deres eksisterende ActiveX-kontroller (eller kode nye) og give adgang til installation i den nuværende brugeres profil, uden at der er behov for en ændring i sikkerhedsniveauet.
Microsoft forsøger at markedsføre flere software-produkter, der kan installeres uden administratorrettigheder, hvilket igen betyder, at det vil blive sværere for uautoriserede applikationer og malware at ændre den underliggende OS-kerne.
Denne form for systemadgangskontrol har været tilgængelig på andre browsere i mange år (f.eks. i Firefox-extensions) og styresystemer (Linux, BSD osv.), men er nu også nået til Windows-verdenen.
Mange sikkerhedsadministratorer betragter ActiveX-kontroller pr. bruger som yderligere et sikkerheds- og styringsproblem. Uanset så tillader Microsoft, at man kan frakoble dem på normal vis, og det er svært at argumentere mod fleksibilitet.
IE er en af de få browsere, der har indbygget forældrekontrol, så anstødeligt indhold kan blokeres ud fra en forud defineret liste. Disse opsætninger er password-beskyttede og gælder alle brugere, men man kan også indføre et master-password midlertidigt for at gå uden om default-opsætninger.
Der er flere forskellige kategorier af potentielt anstødeligt indhold, og administrator kan vælge, om alt relateret indhold (for eksempel al nøgenhed) skal blokeres, eller der skal være undtagelser (for eksempel undervisningsmæssig eller kunstrelateret nøgenhed). Man kan vælge fra forskellige systemer, og man kan hvidliste specifikke websider.
Sikkerhedszoner
Den bedste virksomhedsfeature i Internet Explorer er uden tvivl muligheden for at skifte browser-funktionalitet og sikkerhedsopsætninger baseret på fem forskellige sikkerhedszoner:
Internet, lokalt intranet, Trusted Sites-sikkerhedszonen, forbudte sites og lokal computer. Alle ikke-lokale websites køres i internet-zonen som default, med mindre brugeren placerer sitet i en mere sikker zone.
Hver sikkerhedszone kan parres med et specifikt sikkerhedsniveau (høj, mellemhøj, mellem, mellemlav, lav og brugerdefineret). Visse zoner kan ikke parres med et specifikt sikkerhedsniveau. Således kan man ikke placere internet-zonen på et sikkerhedsniveau under "mellem".
Zonerne giver ikke alene mulighed for brugerdefineret kontrol over en lang række sikkerhedsopsætninger, men spiller også en rolle i at forhindre internet-indhold i at udnytte et system. Som standard kan eksekverbare download fra internet-zonen ikke automatisk køre i "lokal computer" (den sikreste zone).
ActiveX-kontroller, der er beregnet til kun at blive startet i browseren, kan kun eksekveres i browseren. På samme måde kan ActiveX-kontroller, der er beregnet til at køre i "lokal computer", ikke startes via browseren. Det forhindrer ondsindede websider i at benytte installerede ActiveX-kontroller på en ondsindet måde.
Internet Explorer har altid haft god understøttelse af kryptering. IE's oprindelige SSL/TLS-kodning (secure sockets layer/transport layer security) er ikke lige så stærk som den i Firefox og Opera, men IE var en af de første browsere, der understøttede AES (advanced encryption standard), EV (extended validation) certifikater, ECC (elliptical curve cryptography) og OCSP (online certificate status protocol).
Ikke alene er Internet Explorer meget direkte, når det kommer til certifikat-fejl, men administratorer kan også forhindre slutbrugere i at besøge websider uden gyldige, digitale certifikater.
IE bestod alle min webbrowser-sikkerhedstest og scorer middelkarakter i fjern-håndtering af password.
Håndtering af lokale password var glimrende; password bliver aldrig afsløret, og de opbevares på en sikker måde.
Som de andre førende browsere, jeg har testet (Firefox, Chrome, Opera og Safari), giver IE heller ikke lov til, at malware bliver installeret fra ondsindede sites, og hvis der var en webside, der forsøgte at installere malware, gjorde den højlydt opmærksom på det.
Men desværre blev den også overvældet af det mest ondsindede DoS-website i mine test, og browseren skulle genstartes.
Det skal dog bemærkes, at IE holdt over et minut, før den bukkede under for DoS-angrebet. Til sammenligning klarede de fleste andre browsere under 30 sekunder, og med nogle af dem var det nødvendigt med en komplet systemgenstart.
Ved hjælp af Internet Explorer & Deployment Guide kan administratorer indsætte og konfigurere over 1.300 IE-relaterede opsætninger via Active Directory Group Policy eller Internet Explorer Administration Kit. Her er den uovertruffen og den eneste browser i min gennemgang, der understøtter Kerberos-autentificering via web.
Internet Explorers popularitet gør den til den hidtil mest angrebne webbrowser. Men IE's modne, sikre, fintmaskede sikkerhedszoner og grundige virksomhedsfeatures forklarer dens udbredelse i virksomhedsregi.
Oversat af Birte Matsen
