O Firefox tem algo semelhante ao ActiveX em termos de vulnerabilidades de segurança?

Question

As pessoas sempre dizem que o Linux é mais seguro que o Windows. A principal razão parece ser a filosofia geral de design do sistema e o fato de que os usuários são usuários e não raiz.

Uma preocupação de segurança principal ao usar o Windows e o Internet Explorer parece ser o ActiveX. Todos os dias eu leio sobre outro tipo de exploração usando o ActiveX, e quase sempre a solução é desativar o ActiveX. Eu li que muitas vezes me pergunto por que as pessoas se incomodam em ativar o ActiveX. (Um motivo pode ser que o nome contenha "ativo"; outro pode ser a função de atualização do windows.)

Usando o Ubuntu e o Firefox, sempre me sinto seguro ao ler sobre as explorações do ActiveX. Eu sei que há muitas outras vulnerabilidades de segurança que usam JavaScript e / ou Adobe Flash, mas até onde eu entendo, esse tipo de vulnerabilidade de segurança só pode causar tanto dano quanto os meus direitos de usuário permitirem. É claro que isso não ajuda muito quando o malware quer destruir todos os meus dados - mas a maioria dos malwares de hoje só quer usar o meu PC como um robô de botnets e, portanto, não está interessada em destruir meus dados.

Então, a pergunta novamente: o Firefox rodando no Ubuntu tem algo semelhante ao ActiveX, em termos de vulnerabilidades de segurança?

Outra pergunta que pode ser idêntica: uma vulnerabilidade de segurança envolvendo o Adobe Flash e / ou o JavaScript pode ser "facilmente" explorada para causar tanto dano quanto uma exploração do ActiveX?

Quando digo "fácil", quero dizer que o ataque não precisa explorar outro componente do sistema para elevar os direitos do usuário. Por exemplo, uma exploração envolvendo o Adobe Flash obterá acesso ao meu PC usando meus direitos de usuário e, em seguida, explorará alguma vulnerabilidade conhecida em X para obter acesso root. Isso não é "fácil".

    

Answer 1

  

o firefox do Ubuntu tem algo semelhante ao activeX, em termos de vulnerabilidade de segurança?

"ActiveX" pode ser considerado em duas partes, o modelo de objeto e o método de instalação. O Firefox tem algo semelhante - e compatível entre plataformas, Ubuntu ou outro - para ambos.

O modelo de objeto do ActiveX é Microsoft COM ; O equivalente do Firefox é XPCOM . Muitos outros recursos e aplicativos do Windows que não têm nada a ver com a navegação na Web usam o MS COM, e tradicionalmente existem problemas intermináveis nos quais os controles COM que não foram escritos para uso seguro da Web estavam disponíveis para páginas da web. Isso causou muitos comprometimentos. O Firefox está melhor aqui, pois o XPCOM não é compartilhado com o resto do sistema. As versões mais recentes do IE têm melhores controles para reduzir os sites que podem usar os controles.

(Como um problema secundário, porque muitos add-ons para o Firefox são escritos em JavaScript, uma linguagem de script de alto nível, eles são frequentemente mais seguros de erros de buffer overflow e manipulação de strings do que extensões para IE que são comumente escritas em C [+ +].)

A parte control-downloader do ActiveX também foi limpa um pouco desde os tempos antigos em que qualquer coisa na zona My Computer podia instalar qualquer software que gostasse, e scripts agressivos de loader poderiam prendê-lo em um loop alert até você concordou em aprovar o prompt do ActiveX. O equivalente do Firefox, XPInstall , comporta-se de maneira semelhante, com a 'barra de informações' em todos os sites, exceto o da Mozilla, por padrão, e um aviso adequado / prompt antes da instalação.

Existe uma outra maneira integrada pela qual você pode se comprometer no Mozilla: scripts assinados . Eu nunca vi isso realmente ser usado, e certamente haverá outra janela de aviso antes que um script ganhe direitos extras, mas meio que me preocupa que isso esteja disponível para as páginas da web.

  

por exemplo, uma exploração através do flash terá acesso ao meu pc sob meus direitos de usuário

Sim, a maioria das explorações da Web hoje ocorrem em plug-ins. O Adobe Reader, Java (*) e QuickTime são os mais populares / vulneráveis. IMO: livre-se deles e use o FlashBlock para mostrar apenas o Flash quando quiser.

(*: e os diálogos do Java antes que ele permita que você desista de toda segurança para algum applet não confiável também está um pouco vazio.)

O Ubuntu oferece alguns plugins questionáveis por padrão, em particular um plug-in de mídia que tornará todas as vulnerabilidades em qualquer um dos seus codecs de mídia exploráveis pela web (semelhante ao plugin do Windows Media Player, potencialmente com muitos outros formatos). Embora eu ainda não tenha encontrado um exploit direcionado ao Linux desse jeito, isso é apenas segurança através da obscuridade.

Observe que o próprio ActiveX não é diferente. Um comprometimento de navegador da Web baseado em ActiveX ainda fornece acesso apenas no nível do usuário; é apenas porque antes do Vista todo mundo habitualmente executava tudo como Administrador, o que era escalonado para um enraizamento completo.

  

e, em seguida, siga para explorar algumas vulnerabilidades conhecidas no X para obter direitos de root. isso não é "fácil".

Talvez, talvez não. Mas acho que você descobrirá que o dano que alguns malwares podem causar até mesmo de uma conta de usuário normal é bastante ruim. Copie todos os seus dados pessoais, observe seus pressionamentos de tecla, exclua todos os seus documentos ...

    

Answer 2

Depende da natureza da vulnerabilidade. Às vezes você tem "sorte" e a vulnerabilidade "apenas" permite alguma divulgação limitada, mas muitas vezes as vulnerabilidades permitem a execução de código arbitrário. Nesse ponto, você está no fundo doo-dah, tão profundo quanto os problemas do ActiveX. E esses buracos podem estar no manuseio de arquivos de imagem (imagens maliciosas), ou por som, ou quase qualquer outra coisa.

O ActiveX foi pior porque forneceu uma maneira de os programadores de código declararem "Se isso estiver instalado, é seguro ser referenciado em uma página da web" e muitos codificadores o transformaram sem entender as implicações, então houve um muitos alvos e seria fácil sair. Mas você tem a mesma exposição do mau manuseio de números estranhos em arquivos de imagem. É só que os problemas do arquivo de imagem são corrigidos, atualizando o navegador.

A única defesa contra isso é usar o sandbox, que limita o processo que um usuário pode executar. O OpenBSD foi pioneiro em tornar isso popular com a separação de privilégios de vários daemons (principalmente o OpenSSH, então você está usando isso no Ubuntu agora). O Chrome popularizou isso para navegadores da web, mas só tem sandbox em algumas plataformas. Ironicamente, talvez, por um tempo, você estivesse provavelmente mais seguro com o Chrome no Windows do que com qualquer navegador gráfico no Linux. Felizmente, isso está mudando. Eu acredito que alguma proteção parcial está nos lançamentos do Linux agora. O projeto Capsicum mostrou como isso poderia ser feito de forma mais completa no FreeBSD (com um sistema de capacidade) e esperamos que em algum momento os desenvolvedores de kernel do Linux parem de brigar sobre qual modelo de segurança é o melhor e usar algo que se torne quase universalmente disponível para web -browsers para confiar, ao invés do martelo contundente que é o wrapper suid que permite pseudo-sandboxes chroot.

link é bom se você quiser explorar sistemas de recursos para sandboxes e ver como as coisas pode ficar melhor.

    

Answer 3

AFAIK uma exploração ActiveX não pode causar danos fora dos direitos do usuário (sem usar outras explorações, como você indica). O principal problema no Windows era que quase todo mundo estava trabalhando como Administrador a maior parte do tempo ...

    

Answer 4

Eu só quero mencionar que o Linux é teoricamente menos seguro do que o Windows 7, que possui alguns recursos legais de segurança.

O motivo pelo qual não há vírus Linux é o mesmo, porque não há quase nenhum jogo comercial de Linux: os produtores vão com as massas, e as massas usam o Windows.

Portanto, a maneira mais segura é usar produtos alternativos (como o Firefox há alguns anos, hoje os exploits do Firefox são usados com bastante frequência).

Agora, responda suas perguntas: Até onde sei, o ActiveX-Exploits não diz respeito ao Firefox.

Eu me sinto bastante seguro navegando com Linux e Firefox, no entanto, usar o Opera pode ser mais seguro, pois o Opera é muito menos popular.

O que você deve considerar é ter uma senha strong se o seu SSH estiver aberto à Internet, pois há muitos scanners que tentam hackear o SSH para instalar coisas estranhas em seu PC (desabilite o acesso root direto em / etc / ssh / sshd_config).

Acho que a maioria dos outros ataques são específicos para um usuário, por isso, se você não tem segredos ou inimigos da empresa, em geral, seu computador deve ser bastante seguro.