Безопасность, которую видит Mozilla Firefox
Oepn Source Firefox находится на передовой в современной IT-безопасности. Так как он является «каналом» доступа пользователя к интернету, то он частенько является объектом атак.
Mozilla много работает над тем, чтобы сделать свой браузер ещё безопаснее в будущем.
«Мы тщательно работаем над проблемами безопасности в Интернете, знаем, что люди испытывают проблемы с безопасностью и прикладываем все усилия, чтобы снизить уровень риска и угроз», — заявил Джонатан Найтингейл, вице-президент Mozilla Firefox.
Плагины безопасности
Для Найтингейла крупнейшим источником уязвимостей считаются плагины, например, Java и Flash. Mozilla не несёт ответственности за код плагина, но может помочь обезопасить пользователей от вредоностных плагинов в ряде направлений.
Ещё с релиза Firefox 3.6 в 2010 году Mozilla создала все условия, чтобы плагины выполнялись вне основного процесса. Идея такого подхода состоит в том, чтобы ограничить риск для стабильности браузера из-за неустойчивого или вредоносного плагина. Если плагин даёт сбой, то это не приводит к падению браузера.
«Для многих плагином мы по умолчанию сделали так, что если пользователь хочет взаимодействовать с плагином, то он должен самостоятельно активировать его», — сказад Найтингейл.
Смешанная блокировка содержимого
Одна из актуальных проблем на сегодняшний день — смешивание защищённого HTTPS трафика с обычным HTTP. Риск заключается в том, что HTTP может подорвать безопасность страницы, которая предназначалась для безопасной среды.
SSL в целом — одно из ключевых направлений для Mozilla.
Так же Mozilla вводит в работу HSTS (HTTP Strict Transport Security), который принудительно запрашивает SSL протокол для работы.
Хотя до сих пор не понятно, почему Mozilla отказывается внедрять в свой код ГОСТ, хотя все патчи для работы есть.
Use-after-Free
Одна из наиболее распространённых программных уязвимостей, обнаруженных во всех современных браузерах, является использование памяти после освобождения. С использованием уязвимости, злоумышленник может воспользоваться выделенной памятью, чтобы провести атаку.
«Пока люди пишут на С и С++ буддут проблемы с безопасностью памяти «, — сказал Найтингейл. «Mozilla имеет довольно надёжную защиту, чтобы поймать атаку в самом её зародыше, но управление памятью является одной из тех жёстких вещей в области компьютерных наук».
Тем не менее, Mozilla имеет в своих планах проекты по перемещению кода из С/С++ в управляемый код системы, такой как Javascript.
«Javascript не имеет ошибок после освобождения памяти или других ошибок управления памятью, потому что это управляемый язык», — объяснил Найтингейл. «Это даёт устойчивость к целой категории вопросов безопасности».
