Безопасный Firefox латает «дыры»

В пятницу Mozilla выложила пакет обновлений, позволяющий устранить уязвимости в браузерах Firefox 1.5.0.10 и 2.0.0.2. Выпуск патчей неоднократно откладывался, поскольку добровольные «доброжелатели» постоянно находили в программе новые дыры. Особенно преуспел в этом деле поляк Михал Залевски (Michal Zalewski), который помещал информацию в рассылку, прежде чем предоставить ее разработчикам браузера. Одна из последних уязвимостей позволяет злоумышленникам устанавливать и редактировать cookies, манипулировать пользовательскими паролями к различным веб-ресурсам и менять настройки программы. Mozilla настоятельно рекомендует юзерам установить патчи, которые доступны через внутренний механизм обновлений в Firefox.

«Браузер – это одна из программ, которая привлекает особое внимание атакующих, - отмечает Виндоу Снайдер (Window Snyder), отвечающая за безопасность Firefox. – Атаки постоянно эволюционируют, и каждому вендору приходится сталкиваться с новыми угрозами по мере их появления, но в этом нет ничего нового, ведь безопасность всегда имела для нас высочайший приоритет». По ее словам, взаимодействие с независимыми экспертами и аналитиками, а также рядовыми пользователями, обнаруживающими потенциальные уязвимости, продолжает оставаться неотъемлемой частью ее работы. В последнее время обратная связь по вопросам безопасности альтернативного браузера стала более активной. Для Виндоу Снайдер было бы предпочтительнее, если бы «борцы за безопасность» передавали новые находки только разработчикам, а не публиковали их в Сети. Она надеется, что в скором времени Mozilla сможет реагировать на информацию об очередных «дырах» намного быстрее, и исследователи станут более охотно сотрудничать с компанией.

По данным IBM, развитие рынка «эксплойтов», позволяющего злоумышленникам «арендовать» вредоносный код у вирусописателей, только подольет масла в огонь. Около половины браузерных атак, зафиксированных подразделением ISS в прошлом году, использовали шифрование для того, чтобы замаскировать собственное присутствие и кражу данных. В 2007 году эта тактика будет набирать популярность. Как утверждает директор по стратегической безопасности в IBM ISS Гюнтер Оллманн (Gunter Ollmann), программные средства, использующие уязвимости, не только продаются и покупаются, возможна их установка на серверы для организации персонализированных браузерных атак. Специальный «софт» позволяет определять используемую версию браузера и автоматически подбирать «ключи» к той или иной программе.

По мнению Ченкси Ванг (Chenxi Wang), аналитика “Forrester Research”, борьба между вирусописателями и производителями браузеров еще только началась и в дальнейшем будет только разгораться. «Это будет «гонка вооружений», которая охватит ближайшее будущее, - прокомментировал аналитик в интервью изданию “InfoWorld”. – Тем, кто на стороне разработчиков, не будет пощады, им придется предвидеть угрозы и совершенствовать цикл разработки, чтобы защититься от будущих атак, но хакеры постоянно будут изобретать что-нибудь новенькое».