Hamis biztonságérzetet ad az Internet Explorer?

[TechWeb/HWSW] A brüsszeli székhelyű ScanIT adatvédelmi tanácsadó cég állítása szerint a Microsoft hivatalos közleményeiben, fejlesztői pedig személyes blogjaikban hiába ágálnak az ellen, hogy az Internet Explorer (IE) riválisainál súlyosabb biztonsági hiányosságokkal küszködik, a valóság mégis ez. A ScanIT jelentése azt állítja, hogy 2004 során a világ legelterjedtebb böngészője az év 98 százalékában védtelenül állt az aktuálisan felszínre került réseket kihasználó támadásokkal szemben -- még akkor is, ha a frissítések telepítésre kerültek.

Egy hét nyugalom

Az egyetlen időszak, mikor nem volt ismert biztonsági rés a szoftveren, hét napot tett ki, október 12. és 19. között -- írja a jelentés. Ezzel szemben a Firefox és más Mozilla-alapú böngészők összesen mindössze 56 napig, vagyis az év 15 százalékában voltak kitéve olyan ismert fenyegetésnek, amely a támadóknak lehetőséget nyújtott tetszőleges kód végrehajtására. Tavaly azonban egyszer sem fordult elő, hogy olyan vírusok vagy férgek ütötték volna fel fejüket, amelyek kifejezetten a Firefoxot támadták volna, ezzel szemben az IE esetében 200 napig állt fenn ilyen veszély.

A belga cég mindazonáltal felhívja a figyelmet arra, hogy alacsony penetrációja miatt a Firefoxot és a többi Mozilla-böngészőt eddig nem igazán vették célba a támadók, azonban a szoftver egyre szélesebb tömegeket nyer meg magának és így válik egyre általánosabb célponttá is. A gazdaságosság törvényei, a hatékonyság és eredményesség összefüggése a számítógépes bűnözés terén is működik: adott energiabefektetéssel a lehető legnagyobb eredményt kell elérni. Ezt pedig egyelőre pedig csak az IE nyújtja a kiberbűnözőknek, a maga 90 százalék körüli piaci részesedésével.

Na, akkor ki a király?

A Mozilla Foundation vezetői természetesen üdvözölték a jelentés konklúzióját, viszont visszautasították, hogy a jövőben az elterjedtség várható növekedésével egyre kevéssé lenne biztonságos a nyílt forráskódra épülő Firefox. Az egyik vezető mérnök, Chris Hofmann szerint az IE biztonsági problémái elsősorban a Microsoft saját készítésű bővítményeire vezethetők vissza, nem pedig a böngésző általános felépítésére.

A ScanIT megemlíti, hogy a Firefox esetében sokkal gyakoribb, hogy a hibát felfedezők először értesítik a fejlesztőgárdát, majd azt követően hozzák nyilvánosságra a problémát. Ez valószínűleg annak köszönhető -- írja a jelentés --, hogy a Firefox nyílt forráskódú szoftverként lényegesen szimpatikusabb a legtöbb szakember számára, mint az Internet Explorer, ezenkívül a fejlesztésért felelős alapítvány 500 dollárt fizet egy-egy kritikus hiba megtalálásáért.

Az IE termékmenedzsere, Dave Massy blogjában megvédte a böngészőt. Mint írja, fejlesztés közben nagyon szigorú biztonsági szempontokat alkalmaznak, hogy biztosak lehessenek abban, a változtatások biztonságosak és nem teszik ki a felhasználót támadásnak. Cáfolta továbbá azt a feltételezést, miszerint a Windowsnak köze lenne az IE biztonsági kérdéseihez.

Csak ne olyan nyugodtan

Egy biztos, a böngészők a jövőben egyre nagyobb intenzitású fenyegetéseknek lesznek kitéve, hiszen egy-egy elterjedt böngészőre szabott eljárással nagyon hatékonyan és eredményesen lehet felhasználók ezreit vagy akár millióit megtámadni. A böngészők kínálják a legnagyobb tömeget. Ez a kulcs a bűnözők aktivitásához.

A Symantec biztonsági kutatócsoportjáért felelős alelnöke, Alfred Huger a TechWeb magazinnak elmondta, hogy idén az eddigieknél is nagyobb intenzitás várható a böngészőket célzó támadások terén. Bár a ScanIT szerint a számok egyelőre a Firefoxot igazolják, figyelemreméltó, hogy a Symantec mérései szerint az ellene intézett támadások az utóbbi időben nagymértékben nőttek. Továbbá hiába jelenik meg átlagosan alig kevesebb mint négy héten belül a biztonsági foltozás (hála a nyílt forráskódnak) és telepítjük szorgalmasan, a támadók egy nyilvánosságra került hibát átlagban 6 nap alatt aknáznak ki. Az időbeli rés tehát így is körülbelül húsz nap. Résen kell lenni...