Pertanyaan Apakah Firefox kurang rentan untuk dieksploitasi ketika menjalankan NoScript?


Artikel berjudul "iPhone, IE, Firefox, Safari mendapatkan menginjak kontes hacker" di situs web The Register Membahas bahwa Firefox dapat dieksploitasi.

Saya ingin tahu apakah NoScript melindungi terhadap jenis eksploitasi yang ditulis tentang; atau apakah browser dapat dieksploitasi tanpa harus memuat ekstensi.

Ada pendapat? Mungkin ini menjadikan komunitas wiki karena itu bukan masalah sederhana / pos solusi.


2
2018-03-29 08:59


asal




Jawaban:


Situs ini tidak menjelaskan secara rinci tentang apa eksploit yang digunakan, sehingga tidak mungkin untuk mengetahui apakah mereka akan digagalkan oleh NoScripts.

NoScripts memblokir eksekusi semua JavaScript dan scripting pihak ketiga (seperti flash / sliverlight), jadi cukup banyak meninggalkan Anda dengan HTML biasa. Meskipun mungkin saja bug rendering di browser dapat mengekspos kerentanan dalam HTML murni, itu sangat kecil kemungkinannya karena tidak ada kode yang dieksekusi secara khusus dengan cara yang sama seperti dengan mesin JavaScript. Area permukaan yang dapat diserang secara drastis berkurang sehingga kemungkinan menemukan serangan yang berhasil lebih rendah.

Area lain yang perlu dipertimbangkan tentu saja adalah bahwa serangan itu bisa menargetkan NoScripts itu sendiri. Ada kemungkinan bahwa NoScripts memiliki bug yang memungkinkan eksekusi kode jauh.

Akhirnya, Anda perlu mempertimbangkan tindakan pengguna. Seberapa ketatnya pengguna untuk memeriksa apakah sebuah situs dapat dipercaya sebelum memasukkannya ke daftar putih. Apakah Anda melakukan tinjauan kode mendalam tentang situs dan semua skripnya sebelum Anda memasukkannya ke daftar putih, atau apakah Anda hanya menekan memungkinkan ketika Anda melihat "Situs ini memerlukan javascript". Saya menduga itu mungkin tidak sulit untuk mendapatkan sebagian besar pengguna untuk daftar putih situs Anda, dan segera setelah ini selesai Anda mungkin juga tidak menjalankan NoScripts.


4





Saya melihat sekilas Penasihat Keamanan untuk Firefox 3.6. Meskipun saya bisa melewatkan beberapa, 6 dari 13 penasehat pada halaman itu dapat dihindari dengan menonaktifkan JavaScript. Juga, salah satu yang tersisa tergantung pada font yang dapat diunduh, yang juga NoScript blok secara default (itu adalah opsi "Forbid @ font-face" dalam dialog konfigurasinya).

Lain kali saya melihatnya, itu tentang proporsi yang sama: sekitar 50% dari kerentanan pada Firefox tergantung pada JavaScript.

Menonaktifkan JavaScript juga dapat mengeksploitasi kerentanan lainnya lebih sulit, karena penyerang harus membuat serangan yang tidak memerlukan JavaScript. Juga cukup mungkin bahwa penyerang tidak akan peduli dan menggunakan JavaScript meskipun tidak diperlukan; setelah semua, orang yang menggunakan NoScript cenderung menjadi tipe yang sadar keamanan dan meningkatkan peramban segera setelah kerentanan keamanan diumumkan.

Dan, akhirnya, dengan NoScript Anda dapat mengizinkan JavaScript dari situs web sementara tetap menonaktifkan skrip dari domain lain yang disertakan di dalamnya. Ini termasuk server iklan pihak ketiga, kode pelacakan pihak ketiga, dan mengeksploitasi JavaScript dalam iframe tersembunyi di bagian bawah halaman yang berasal dari domain lain (yang terakhir ini adalah hal yang umum dilakukan pada situs yang disusupi).


2