elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Sigue las noticias más importantes de seguridad informática en el ttwitter! de elhacker.NET


+  Foro de elhacker.net
|-+  Foros Generales
| |-+  Foro Libre
| | |-+  Noticias (Moderadores: wolfbcn, El_Andaluz)
| | | |-+  La paradoja de la seguridad en los navegadores
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: La paradoja de la seguridad en los navegadores  (Leído 714 veces)
wolfbcn
Moderador
***
Desconectado Desconectado

Mensajes: 53.668



Ver Perfil WWW
La paradoja de la seguridad en los navegadores
« en: 8 Octubre 2012, 21:44 pm »

Hoy nos encontramos ante lo que, a primera vista, se podría considerar una especie de paradoja en la aproximación a la seguridad en navegadores: el navegador con más fallos de seguridad y el más popular, es el más seguro. Sin embargo, se trata en realidad de una evolución natural que demuestra que lo importante es la protección, y no tanto las vulnerabilidades.

Existe una creencia popular: El navegador más popular es el más atacado. Si además es el que mayor número de fallos de seguridad contiene, el círculo se cierra. ¿Quién usaría algo así? Hasta ahora, Internet Explorer honraba esta máxima... pero Chrome la ha desmentido. Desde mediados de año es el más usado y siempre ha sido el que más fallos contabiliza... pero es el más seguro en el mundo real (es un hecho que confirma cualquier creador de exploits).

En los 90

En los 90 los navegadores que se usaban principalmente eran Netscape e Internet Explorer. Los dos un desastre en seguridad (como mandaban los tiempos). Pero no importaba demasiado a los atacantes. La industria del malware no estaba tan desarrollada,no existían kits de explotación tan perfeccionadosy además, se disponían de otros medios para infectar a las víctimas: el email y el ataque directo a los puertos y servicios. Los sistemas y programas de correo no eran tan efectivos contra el malware, los usuarios no estaban tan concienciados y además, muchos se conectaban directamente a Internet sin cortafuegos entrante. Explotar vulnerabilidades en el navegador era sencillo pero no tan necesario.

En los 2000

La guerra la ganó Internet Explorer y se relajó. El cortafuegos se instauró como norma y además los usuarios se conectaban por ADSL, por lo que solían permanecer detrás del cortafuegos del router. El spam se controló en parte y el usuario se concienció. Los atacantes tenían que saltar al navegador y aprovechar las vulnerabilidades si querían infectar. Contaban con una enorme ventaja con Internet Explorer: era ubicuo e inseguro. El problema creció y aparecieron alternativas serias: Firefox y Chrome. La guerra se centró no tanto en la cuota de uso (que también, cómo no) sino en ofrecer elementos diferenciadores: seguridad en profundidad. La cuota llegaría después.

Hoy

Hoy el panorama es curioso. La batalla la ha ganado un "recién llegado" como Chromepor (varias razones, pero principalmente por) centrarse en la seguridad. Pero no cualquier tipo de seguridad (dejemos al margen quién detecta más phishing o malware), sino en la defensiva. Si bien es el navegador con mayor número de fallos, es el más complejo de explotar.

Microsoft tomó otro enfoque. Apostó fuertemente por el Security Development Lifecycle (SDL), que implicaba el desarrollo de sus programas desde cero teniendo en cuenta la seguridad. El resultado es que su número de vulnerabilidades ha descendido considerablemente en los últimos dos años... pero las que hay son muy explotadas. Chrome se centró no tanto por bajar el número de fallos, sino en que estos no fueran explotables. Apostó por separar las pestañas en procesos con bajos niveles de integridad, por el ASLR y el DEP en sus procesos, por meter los plugins en sandbox, por las actualizaciones automáticas "sin permiso" y por motivar fuertemente a los investigadores para que le detectaran los fallos de seguridad (paga bien cada vulnerabilidad encontrada y reportada). De hecho, se atrevió a ofrecer hasta 1.000.000 de dólares por la ejecución de código arbitrario en Chrome bajo Windows 7. Lo consiguieron, pero solo el equipo de Vupen después de 6 largas semanas de trabajo. ¿Están los atacantes a la altura? Por supuesto... pero de lograrlo, se deben plantear si no es mejor reportarlas de forma legítima. Así ha conseguido la "paradoja": que Chrome, siendo el que más fallos de seguridad acumula año tras año, y con una cuota de mercado más que respetable, sea el más seguro "ahí fuera". Tiene el honor de ser aborrecido por una de las mayores amenazas web actuales: el kit de explotación "Blackhole", que no lo intenta atacar.

Internet Explorer por el contrario, encuentra que aunque con menos fallos, su nivel de exposición es mayor: se le acumulan los ataques (a través de 0-day) y aunque ha mejorado el tiempo de respuesta (el último fue corregido en algo más de una semana) sigue siendo lenta para lo que demanda hoy el mercado. Si apuntamos a la "estricta" definición de "0-day", lo que importa es que el navegador esté siendo atacado a través de las vulnerabilidades, no solo que no estén parcheadas. Y ahí, Internet Explorer sale perdiendo. Una buena parte de sus vulnerabilidades críticas se encuentran ya siendo aprovechadas por atacantes, y esto hace que sus usuarios tengan un alto grado de exposición que no se da en otros.

Es cierto que IE también separa las pestañas en procesos con bajos privilegios, aprovecha DEP y ASLR... pero la motivación de los atacantes también es mayor para poder eludir estos problemas (buscan en el mercado negro la recompensa que no ofrece Microsoft) y su sandbox no es la de Chrome. Ha salido perjudicado de esta guerra de la seguridad... y quizás, por esa misma razón,está perdiendo la guerra por la cuota de mercado.

Mientras, Opera, con un número de fallos y una cuota menor, todavía no ha implementado medidas de seguridad modernas (y por ello es atacado). Firefox, en situación parecida, no ha sabido hacer frente a Chrome pese a sus ventajas. Ambos pierden relevancia poco a poco...

En definitiva, tenemos de nuevo que revisar parámetros establecidos. No importa tanto el número de vulnerabilidades y la cuota de uso ya no es excusa. Lo que importa es cómo se gestiona la seguridad a todos los niveles y sobre todo, reconocer que el software tendrá vulnerabilidades y ese factor no va a eliminarse nunca... lo necesario es centrarse principalmente en trabajar para que su impacto sea mínimo y que resulten endemoniadamente complejas de explotar... Ese ha sido el genial movimiento de Chrome.

Más información:

Pwnium: rewards for exploits http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html

FUENTE :http://www.laflecha.net/canales/seguridad/noticias/la-paradoja-de-la-seguridad-en-los-navegadores


En línea

La mayoria pedimos consejo cuando sabemos la respuesta, pero queremos que nos den otra.
Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Paradoja matemática?...
Desafíos - Wargames
Franny 6 4,345 Último mensaje 29 Junio 2010, 23:00 pm
por Novlucker
La paradoja de pinocho « 1 2 »
Foro Libre
Draklit 13 4,173 Último mensaje 23 Septiembre 2010, 05:42 am
por ace332
Seguridad en navegadores, ¿paranoya mental?
Seguridad
DarkItachi 8 3,281 Último mensaje 27 Abril 2011, 09:36 am
por Kase
Reflexiones sobre la seguridad en navegadores: ¿sirven o no las comparativas?
Noticias
wolfbcn 0 1,250 Último mensaje 19 Septiembre 2011, 21:46 pm
por wolfbcn
Seguridad límite en navegadores
Seguridad
Hacklinx 2 1,915 Último mensaje 19 Enero 2014, 00:30 am
por Hacklinx
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines