Ασφάλεια στον Firefox

[Alexandros]

@Alexandros , Να σου πω μια ιδέα να τρέχεις οποιονδήποτε browser σε sandbox ; (αν κατάλαβα καλά δλδ τι είναι αυτό το sandbox)
Φτιάξε ένα VirtualBox και τρέχε εκεί μέσα ότι γουστάρεις

Ναι, μέχρι εκεί μου κόβει. Αν υποθέσουμε ότι θέλω να το αποφύγω αυτό...

[Learner]

Ναι, μέχρι εκεί μου κόβει. Αν υποθέσουμε ότι θέλω να το αποφύγω αυτό...

Άλλο τρόπο δεν ξέρω.. ούτε βρίσκω.. (για Ubuntu) . Οι περισσότεροι προτείνουν να χρησιμοποιηθεί το ήδη υπάρχων Apparmor προφίλ του Firefox.

Κώδικας: Επιλογή όλων

sudo aa-enforce firefox

[simosx]

Μισό λεπτό γιατί αυτό δεν το κατάλαβα καλά. Τα tabs μεταξύ τους συνδέονται ; δηλαδή αν έχω ανοίξει το gmail σε ένα tab και εισβάλει Javascript σε άλλο tab , τότε μπορεί να εισβάλει και στο Tab του gmail ;

Αν υπάρχει πρόβλημα ασφάλειας στο π.χ. gmail, τότε ένα κακόβουλο Javascript από άλλο διαδικτυακό τόπο μπορεί να πάρει στοιχεία του λογαριασμού σου.
Ειδικά για το GMail πιστεύω ότι τώρα είναι αρκετά ασφαλές από τέτοιου είδους επιθέσεις. Στις αρχές όταν βγήκε το GMail, ανακαλύφθηκε ένα τέτοιο ζήτημα και κάποιοι σπάμμερ το αξιοποίησαν.
Βλέπω σπαμ από λογαριασμούς yahoo.gr, και μπορεί να είναι τέτοιο είδος προβλήματος (διότι τα μηνύματα αυτά προέρχονται από τον ίδιο το λογαριασμό του yahoo).

Το θέμα είναι ότι δεν μπορείς να τα χρησιμοποιείς παντού. Πολλές φορές δεν λειτουργεί το site ή δεν φαίνεται σχεδόν καμία εικόνα. Οπότε τα απενεργοποιείς.

Αυτό που κάνεις είναι να τα ενεργοποιείς επιλεκτικά. Στην αρχή θα είναι σπαστικό, ωστόσο μετά από λίγο θα έχεις φτιάξει κανόνες για το ποια JS θα φορτώνονται από ποιους διαδικτυακούς τόπους. Και αν για κάποιο λόγο μολυνθεί ένα δημοφιλές website και μπουν αναφορές σε τρίτους επικίνδυνους διαδικτυακούς τόπους, τότε το NoScript/Request Policy θα σε προστατέψουν.

[Alexandros]

Το θέμα είναι ότι δεν μπορείς να τα χρησιμοποιείς παντού. Πολλές φορές δεν λειτουργεί το site ή δεν φαίνεται σχεδόν καμία εικόνα. Οπότε τα απενεργοποιείς.

Αυτό που κάνεις είναι να τα ενεργοποιείς επιλεκτικά. Στην αρχή θα είναι σπαστικό, ωστόσο μετά από λίγο θα έχεις φτιάξει κανόνες για το ποια JS θα φορτώνονται από ποιους διαδικτυακούς τόπους. Και αν για κάποιο λόγο μολυνθεί ένα δημοφιλές website και μπουν αναφορές σε τρίτους επικίνδυνους διαδικτυακούς τόπους, τότε το NoScript/Request Policy θα σε προστατέψουν.

Τα χρησιμοποιώ εδώ και χρόνια. Το πρόβλημα είναι ότι

1)Δεν ξέρω αν το trexagureve.cn site είναι ασφαλές. Αλλά προκειμένου να έχω στοιχειώδη πρόσβαση, αναγκάζομαι να απενεργοποιήσω το ns και το rp. Οπότε σε πολλές περιπτώσεις είναι δώρο-άδωρο.

2)Ας υποθέσουμε ότι το ubuntu.gr και το cnn.com είναι γενικώς ασφαλή (που δεν ξέρω από πού προέρχεται αυτή η υπόθεση). Ποιος μου λέει εμένα ότι κάποιος δεν θα κάνει χρήση ενός άγνωστου κενού ασφαλείας ή ότι κάποιος διαχειριστής δεν θα έχει πάρει άδεια εκείνο το σκ ή οτιδήποτε άλλο και για κάποιες ώρες δεν θα έχει εγκατασταθεί κακόβουλο λογισμικό στο site για να με μολύνει;

Με ένα sandbox όμως θα είχα το κεφάλι μου πιο ήσυχο...

[Γιώργος Φιωτάκης]

1)Δεν ξέρω αν το trexagureve.cn site είναι ασφαλές. Αλλά προκειμένου να έχω στοιχειώδη πρόσβαση, αναγκάζομαι να απενεργοποιήσω το ns και το rp. Οπότε σε πολλές περιπτώσεις είναι δώρο-άδωρο.

2)Ας υποθέσουμε ότι το ubuntu.gr και το cnn.com είναι γενικώς ασφαλή (που δεν ξέρω από πού προέρχεται αυτή η υπόθεση). Ποιος μου λέει εμένα ότι κάποιος δεν θα κάνει χρήση ενός άγνωστου κενού ασφαλείας ή ότι κάποιος διαχειριστής δεν θα έχει πάρει άδεια εκείνο το σκ ή οτιδήποτε άλλο και για κάποιες ώρες δεν θα έχει εγκατασταθεί κακόβουλο λογισμικό στο site για να με μολύνει;

Με ένα sandbox όμως θα είχα το κεφάλι μου πιο ήσυχο...

Απαντήσεις:

1) Μπορείς να δεις τις πληροφορίες του κάθε ιστότοπου και τα πιστοποιητικά του (αν έχει) με ένα απλό κλικ στο favicon. Φυσικά εξαρτάται από τους διαχειριστές το αν θα παρέχουν αρκετές πληροφορίες για να κερδίσουν την εμπιστοσύνη σου (πχ το φόρουμ δεν παρέχει ούτε πληροφορίες ιδιοκτησίας, ούτε ταυτότητας) οπότε από ένα σημείο και μετά θα πρέπει να αποφασίσεις μόνος σου με άλλα κριτήρια ποια σελίδα θα εμπιστευτείς και πόσο και ποια όχι. Προσωπικά σε σελίδες που υπάρχει πιθανότητα να είναι ύποπτες ή που είναι πιθανοί στόχοι και δεν πιστοποιούν κατάλληλα τα παραπάνω στοιχεία επιτρέπω την εκτέλεση javascript μόνο προσωρινά για μια συγκεκριμένη συνεδρία και τους αφαιρώ τα δικαιώματα αμέσως μετά (πχ στο φόρουμ παρόλο που δεν έχω καμία αμφιβολία για τις προθέσεις και την ταυτότητα του, επιτρέπω την εκτέλεση javascript μόνο όταν θέλω να δημοσιεύσω κάτι..). Αν θες να πας ακόμα πιο μακριά, μπορείς να επιτρέπεις μόνο για συγκεκριμένους τομείς την εκτέλεση και όχι για οτιδήποτε φορτώνει (κλασσικό παράδειγμα το osarena που φορτώνει σενάρια εντολών από Χ+1 διαφορετικούς τομείς εκτός του δικού του - πολύ κακή πρακτική κατά την ταπεινή μου άποψη).

2) Στο πρώτο σκέλος απάντησα ήδη, αν δεν μπορείς να δεις πιστοποιητικά, απλά εμπιστεύεσαι τους διαχειριστές και τις προθέσεις τους γενικά ή μέχρι κάποιο σημείο που εσύ θεωρείς ασφαλές.
Το δεύτερο σκέλος ελπίζω να είναι ρητορικό και δεν περιμένεις απάντηση. Κανείς δεν μπορεί να σε προστατέψει από άγνωστα κενά ασφαλείας για τον απλούστατο λόγο ότι αν μπορούσε, ούτε άγνωστα δεν θα ήταν ούτε πολύ περισσότερο κενά ασφαλείας!
Από 'κει και πέρα, αυτό που περιγράφεις είναι γνωστό σαν επιθέσεις XSS και κατά κύριο λόγο αντιμετωπίζονται από τους διαχειριστές με σωστό στήσιμο της σελίδας χωρίς να χρειάζεται να κάνεις εσύ κάτι. Το NoScript παρέχει ικανοποιητικότατη προστασία από τέτοιες επιθέσεις στην περίπτωση που κάποιος διαχειριστής δεν έχει προβλέψει τον κίνδυνο ή το λογισμικό του διακομιστή δεν είναι σε θέση να τον αντιμετωπίσει.

3 -και σπουδαιότερο) Κανένα sandbox δεν θα σε προστατέψει από τέτοιου είδους επιθέσεις και γενικότερα από την πλειοψηφία των σύγχρονων επιθέσεων.
Ο λόγος είναι ότι κατά 90% ο στόχος τους είναι τα δεδομένα σου και όχι το σύστημα σου και η καταστροφή του.
Ο κύριος όγκος των ευαίσθητων δεδομένων (κωδικοί κλπ) σου είναι ήδη μέσα στον περιηγητή και δεν χρειάζεται καν να προσπαθήσουν να παρακάμψουν το sandbox -εκτός του ότι δεν είναι αδύνατο να το παρακάμψουν. Αν καταφέρουν να τρέξουν cross site script (XSS, clickjacking κλπ) στο μηχάνημα σου, μπορούν να πάρουν δεδομένα και με απλές κλήσεις στο DOM του περιηγητή που χρησιμοποιείς - όποιος κι αν είναι αυτός.

Αν η ασφάλεια είναι κάτι που παίρνεις πολύ στα σοβαρά, εγώ θα σου πρότεινα απλά να φτιάξεις διαφορετικά προφίλ του Firefox ώστε να μπορείς να έχεις διαφορετικές ρυθμίσεις του NoScript κι άλλων πρόσθετων και ρυθμίσεων ώστε να τα χρησιμοποιείς αναλόγως για τις πολύ «ευαίσθητες» περιπτώσεις (πχ αγορές).

Τέλος, αν θες κάποιος χρήστης να μην έχει το δικαίωμα να αναβαθμιστεί σε root με τη sudo, νομίζω πως απλά θα πρέπει να τον βγάλεις από τη λίστα με τους sudoers.
Και πάλι, λίγο θα σε προστατέψει κάτι τέτοιο, ο ίδιος ο περιηγητής συνήθως περιέχει πιο πολλά και πιο σημαντικά δεδομένα από οποιοδήποτε άλλο φάκελο του συστήματος σου. Η πιθανότητα να πέσεις σε κάτι που θα μετατρέψει πχ σε zombie το μηχάνημα σου για να στέλνει spam είναι σχεδόν μηδενική και τουλάχιστον σε ένα σύστημα GNU/Linux, η κοινή λογική είναι αρκετή για να σε προστατέψει.

[Alexandros]

@Γιώργος Φιωτάκης

Ευχαριστώ!

[anagnost]

ας μου επιτραπεί να επεκτείνω το θέμα, κάνοντας το όμως λιγάκι off-topic με την πιο κάτω απορία.

Τι γίνεται όταν επισκεφθούμε ένα τέτοιο μολυσμένο site με ένα smart phone για παράδειγμα android? Πως μπορούμε να είμαστε ασφαλείς?

Ευχαριστώ.

[Γιώργος Φιωτάκης]

Καθόλου offtopic, το noscript δουλεύει και στον firefox για κινητά και με το sync μπορείς να έχεις και τις ρυθμίσεις σου όπως τις έχεις κάνει στο desktop.
Το μεγαλύτερο πρόβλημα στο android όμως δεν είναι ο περιηγητής, αλλά οι χιλιάδες ανεξέλεκτες εφαρμογές του που δεν μπορείς ποτέ να είσαι σίγουρος τι ακριβώς κάνουν.

[anagnost]

... και κάπου εδώ επανέρχεται το ερώτημα της αναγκαιότητας χρήσης αντιβιοτικών στο linux. Μήπως θα πρέπει τελικά να χρησιμοποιούμε αντιβιοτικά στο Ubuntu αλλά και στο linux γενικότερα?

Για παράδειγμα τα αντιβιοτικά που τρέχουν στα windows προλαβαίνουν τέτοιου τύπου "εισβολές".

Ευχαριστώ.

[Γιώργος Φιωτάκης]

... και κάπου εδώ επανέρχεται το ερώτημα της αναγκαιότητας χρήσης αντιβιοτικών στο linux. Μήπως θα πρέπει τελικά να χρησιμοποιούμε αντιβιοτικά στο Ubuntu αλλά και στο linux γενικότερα?

Για παράδειγμα τα αντιβιοτικά που τρέχουν στα windows προλαβαίνουν τέτοιου τύπου "εισβολές".

Ευχαριστώ.

Τα antivirus που υπάρχουν δεν νομίζω ότι μπορούν να αντιμετωπίσουν τέτοιου είδους επιθέσεις.
Έχω αρκετά χρόνια να « σερφάρω» από windows και ίσως να έχω χάσει πολλά επεισόδια από την εξέλιξη των προγραμμάτων προστασίας που διαθέτουν αλλά μου φαίνεται λίγο δύσκολο να πιστέψω ότι μπορεί ένα πρόγραμμα που τρέχει σε επίπεδο λειτουργικού να λειτουργήσει όσο αποτελεσματικά λειτουργεί το NoScript.

Και να εξηγήσω τον λόγο:
Οι επιθέσεις αυτού του τύπου, δεν «χτυπάνε» το σύστημα του χρήστη, χτυπάνε σε επίπεδο δικτυακής εφαρμογής/ιστοσελίδας, παρεμβάλλοντας δικά τους σενάρια εντολών μέσα στον κανονικό κώδικα της σελίδας και μετά περιμένουν μέχρι κάποιος να φορτώσει τη σελίδα/δικτυακή εφαρμογή ώστε να εκτελεστούν.
Ακόμα κι αν μια εταιρεία σαν τη symantec πχ διαθέτει μια τόσο μεγάλη βάση δεδομένων με όλες τις ιστοσελίδες που έχουν πέσει θύματα τέτοιων επιθέσεων κι ακόμα κι αν αυτή η βάση ενημερώνεται σε πραγματικό χρόνο κάθε φορά που επισκέπτεσαι μια σελίδα και πάλι δεν θα σε προστατέψει γιατί λειτουργεί ευριστικά. Δηλαδή, ελέγχει αν ο κώδικας που ζητάει να εκτελεστεί είναι παρόμοιος με κώδικα που έχει ήδη αναγνωριστεί σαν κακόβουλος κι αν θεωρήσει ότι πληρεί κάποιες προϋποθέσεις, στερεί το δικαίωμα εκτέλεσης στην εφαρμογή. Όπως καταλαβαίνεις, αυτό μπορεί να σε προστατέψει μόνο από ήδη γνωστές επιθέσεις που έχουν σαν στόχο πχ την καταστροφή αρχείων του συστήματος σε windows, αλλά δεν μπορεί πχ να απαγορεύσει την ανάγνωση ενός cookie και την αποστολή των δεδομένων του σε κάποιον τρίτο αφού το σύστημα θα βλέπει κανονικά σαν http referer του αιτήματος τη σελίδα που το δημιούργησε.

Φυσικά υπάρχει και η βάση δεδομένων της google που χρησιμοποιείται και από τον Firefox και από άλλους περιηγητές για να αποκλείσουν ιστοσελίδες που έχουν ήδη αναφερθεί σαν κακόβουλες (δες το σχετικό άρθρο του φόρουμ για το ελληνικό φόρουμ του Mint), το θέμα είναι όμως ότι αν είσαι ο «τυχερός» που θα προλάβει να τη φορτώσει πριν μπει στη λίστα της google, πολύ απλά θα τρέξεις ό,τι έχουν βάλει να τρέξει.


Το NoScript από την άλλη, προσεγγίζει το πρόβλημα διαφορετικά. Απλά απαγορεύει την εκτέλεση προκαταβολικά στα πάντα και την επιτρέπει μόνο για ό,τι θες εσύ. Την ίδια στιγμή που επιτρέπεις κάτι να εκτελεστεί, λειτουργεί ευριστικά και ανιχνεύει κώδικα που ίσως προσπαθεί να σε ξεγελάσει πως ανήκει στη σελίδα ενώ σου παρέχει και τη δυνατότητα να τρέχεις ένα μίνι τοίχος προστασίας μέσα στον ίδιο τον περιηγητή, όπου μπορείς να ορίσεις τους δικούς σου γενικούς ή εξειδικευμένους κανόνες. Πχ μπορείς να ορίσεις να μην στέλνει δεδομένα πουθενά αν δεν το πεις εσύ.

Γενικότερα τώρα (επειδή το ξεφτίλισα με το NoScript και θα νομίζετε πως παίρνω ποσοστά από τον Maone), το πιο σημαντικό για να είσαι ασφαλής σε ένα σύστημα Linux (βάζω και το android μέσα), είναι να διαθέτεις κοινή λογική και μια μικρή δόση καχυποψίας. Δεν αντιγράφεις στο τερματικό σου οποιαδήποτε εντολή βρεις σε οποιοδήποτε απίθανο ιστολόγιο χωρίς να ψάξεις πρώτα τι κάνει, δεν εγκαθιστάς λογισμικό από το οποιοδήποτε αποθετήριο και δεν επιτρέπεις την εγκατάσταση εφαρμογών που ζητάνε πρόσβαση από τα γενικά αρχεία του κράτους μέχρι το μπουγαδοκόφινο της γειτόνισσας σου, απλά και μόνο για να αλλάζουν κάθε 5 λεπτά χρώμα στο παρασκήνιο...