IE8 najlepiej wykrywa niebezpieczne strony?

Microsoft pochwalił się właśnie, że najnowsza wersja jego przeglądarki - IE8 - znacznie lepiej niż konkurencyjne aplikacje radzi sobie z wykrywaniem złośliwych stron. Przy okazji opublikowania raportu na ten temat postanowiliśmy zadać przedstawicielowi koncernu kilka pytań odnośnie bezpieczeństwa IE...

 

Z raportu przygotowanego przez niezależną firmę badawczą NSS Labs wynika, że IE8 wykrywa potencjalnie niebezpieczne strony o 56% lepiej niż Firefox 3.5 i Safari 4 (które w zestawieniu uplasowały się ex aequo na drugim miejscu).

 

Precyzyjnie rzecz ujmując, celem NSS Labs było zbadanie, jak poszczególne przeglądarki radzą sobie z wykrywaniem szkodliwych stron - np. zawierających złośliwe oprogramowanie, automatycznie infekujące komputery internautów. Na liście analizowanych aplikacji znalazły się Internet Explorer 8, Firefox 3, Safari 4, Chrome 4 oraz Opera 10.10 (niektóre z nich są już dostępne w nowszych wersjach - ale dane do raportu gromadzono w styczniu 2010).

 

Microsoft na czele, Opera na końcu

 

W testach faktycznie najlepiej wypadł Internet Explorer - zaimplementowany do przeglądarki Microsoftu mechanizm wykrywania złośliwych stron w 58% przypadków był w stanie wykryć niebezpieczną witrynę już w chwili pojawienia się jej w Sieci (po dobie od powstania wykrywanych było 86% wszystkich niebezpiecznych witryn). Konkurenci wypadali pod tym względem znacznie gorzej - Firefox (korzystający z listy niebezpiecznych stron prowadzonej przez Google) w "godzinie zero" wykrywał zaledwie 28% niebezpiecznych witryn, zaś po dobie - 31%). Dodajmy, że na kolejnych miejscach uplasowały się przeglądarki Safari, Chrome oraz Opera (ta ostatnia - z ogromną stratą do pozostałych konkurentów).

 

Czas wykrywania niebezpiecznych stron

 

Opera kiepsko wypadła też w zestawieniu ilustrującym jak szybko od momentu pojawienia się złośliwej witryny zostawała ona dodana do "czarnych list niebezpiecznych stron" wykorzystywanych przez poszczególne przeglądarki. W przypadku Opery były to ponad 82 godziny - wyniki konkurentów to: IE - 5,7 h, Firefox - 6,7 h, Safari - 9 h, Chrome - 14,7 h. Dziwi nieco rozbieżność wyników Firefoksa i Chrome, bo obie przeglądarki korzystają z tej samej "czarnej listy" (usługi Safe Browsing Google'a).

 

Tak naprawdę pierwsza pozycja Microsoftu i ostatnie miejsce Opery nie są jakimś szczególnym zaskoczeniem - tworzenie listy czarnych stron to dość żmudna, a także bardzo czasochłonna i "zasobożerna" praca. Nic więc dziwnego, że ogromny Microsoft jest w stanie oddelegować do takiego zadania znacznie więcej pracowników, niż stosunkowo niewielka (szczególnie w zestawieniu z konkurentami - Microsoftem, Google i Apple) Opera Software.

 

Warto jednak pamiętać, że zdolność wykrywania potencjalnie niebezpiecznych witryn jest tylko jedną z cech przeglądarki internetowej świadczących o jej bezpieczeństwie - niemniej ważna jest np. liczba wykrywanych w jej zabezpieczeniach błędów oraz szybkość ich łatania. Nie dalej jak dwa tygodnie temu, podczas konkursy hakerskiego Pwn2Own, dobitnie wykazali to hakerzy, którzy bez problemów zdołali włamać się do IE (gwoli sprawiedliwości dodajmy, że to samo spotkało Firefoksa oraz Safari). Postanowiliśmy więc przy okazji zadać przedstawicielowi Microsoftu kilka pytań na temat bezpieczeństwa IE - odpowiedział na nie Patryk Góralowski, piastujący w polskim oddziale koncernu z Redmond stanowisko Windows Consumer Business Group Lead.

 

Microsoft o bezpieczeństwie IE

 

Patryk Góralowski

 

Gazeta.pl: Większość ataków wymierzonych w IE skierowanych jest przeciwko starej wersji (IE6), jednak ostatnio odnotowano też przypadki atakowania najnowszego wydania, IE8. Czy Microsoft dysponuje statystykami, z których można by się dowiedzieć, jak często atakowane są poszczególne wersje?

 

Patryk Góralowski: Atak z reguły nie jest atakiem na konkretnego użytkownika (czy konkretną wersję przeglądarki) tylko atakiem na przeglądarkę jako taką, dlatego też nie dysponujemy odrębnymi statystykami dotyczącymi IE8.

 

Podczas konkursu hakerskiego PWN2Own IE8  padł już pierwszego dnia (inna sprawa, że pokonano też Safari i Firefoksa). Co sądzicie o tegorocznych wynikach PWN2OWN?

 

Śledzimy takie wydarzenia na bieżąco, zwłaszcza jeśli są one tak medialnie nagłośnione. W wypadku Windows 7 i IE8 które były najbardziej interesującym celem po prostu pierwszego dnia uruchomiono przygotowany przed dwa tygodnie exploita, wykorzystującego wcześniej nieznaną lukę w przeglądarce.

Aktualizacja usuwająca ten problem jest już w trakcie tworzenia i po przetestowaniu będzie udostępniona poprzez Windows Update.

 

Microsoft ma problem z IE6 - wydaje się, że chcecie o nim zapomnieć, ale użytkownicy nie pozwalają, bo wciąż z jakiegoś powodu się upierają przy tym wydaniu. Na całym świecie organizowane są najróżniejsze akcje "antyIE6" - a Wy tak naprawdę do tej pory jedynie zachęcacie do migracji. Nie myśleliście o jakichś bardziej radykalnych działaniach?

 

Jak najbardziej zależy nam na tym, aby przekonać użytkowników do aktualizacji przeglądarki do najnowszej wersji. Pod koniec kwietnia rusza pierwsza, duża akcja wraz z jednym z najpopularniejszych portali w Polsce, podczas której będziemy namawiali do aktualizacji. 

 

Według specjalistów ds. bezpieczeństwa najlepiej zabezpieczoną przeglądarką jest obecnie Chrome Google'a - głównie za sprawą świetnie zaimplementowanego sandboksa. Nie myśleliście o zastosowaniu w swoim programie podobnego rozwiązania?

 

Internet Explorer również implementuje mechanizm podobny do sandboksa, mający na celu wyizolowanie kodu strony aby nie mogła ona wykonać niedozwolonych operacji na komputerze użytkownika. Sposób realizacji tego mechanizmu jest nieco inny - w Internet Explorer jest to tak zwany "protected mode".

 

Zarówno jedno podejście jak i drugie ma swoje wady i zalety. Cechą Google Chrome jest uruchamianie domyślnie pluginów poza sandboxem (w tym technologii Flash, z której korzysta wiele serwisów). W Internet Explorer, pomimo pozornie mniejszych ograniczeń na kod, pluginy (w tym Flash) uruchamiane są również pod określonymi restrykcjami.

 

Jeśli chodzi o poziom ogólnego bezpieczeństwa przeglądarki, wystarczy spojrzeć w wyniki najnowszego raportu NSS Labs, gdzie znajdujemy się na pierwszym miejscu jeśli chodzi o przeglądarki najmniej podatne na atak.

 

Ostatnio głośno się zrobiło o IE9 - pojawił się pierwsza wersja testowa . Czy wiadomo już może jakie nowości z zakresu bezpieczeństwa pojawią się w tym wydaniu?

 

Na razie jeszcze opublikowano wyłącznie wersję "developer preview", która ma na celu udostępnić programistom możliwość zapoznania się ze sposobem realizacji standardów HTML 5 i CSS 3 oraz umożliwić zgłaszanie uwag - każdy może zgłosić je przez stronę ietestdrive.com. Co około 8 tygodni na podstawie otrzymanych uwag będzie wypuszczana kolejna wersja testowa. W tej chwili nie można jeszcze mówić o szczegółach z zakresu bezpieczeństwa - pojawią się w kolejnych wersjach próbnych.

 

Pobierz przeglądarkę IE8

 

Daniel Cieślak

Więcej o: