Firefox pievienos jaunu diska lejupielādes aizsardzību

Mozilla pievienos jaunu drošības līdzeklis oktobrī pārlūkprogrammā Firefox, kas apgrūtinās ļaunprātīgu tīmekļa lapu automātiskas lejupielādes sākšanu un ar ļaunprātīgu programmatūru saistīto failu ievietošanu lietotāja datorā.

Sauc a lejupielāde ar braucienu, šāda veida uzbrukumi pastāv jau divus gadu desmitus un parasti notiek, kad lietotāji apmeklē vietni, kurā ir uzbrucēja ievietots ļaunprātīgs kods.

Ļaunprātīgā koda uzdevums ir ļaunprātīgi izmantot likumīgās funkcijas pārlūkprogrammās un tīmekļa standartos, lai sāktu automātiska failu lejupielāde vai lejupielādes uzvedne, cerot pievilt lietotāju palaist ļaunprātīgu failu.

Atkarībā no pārlūkprogrammas funkcijas, ko uzbrucēji nolemj izmantot, pastāv vairāki tūlītējas lejupielādes veidi.

Pārlūkprogrammām patīk Chrome, Firefox, un Internet Explorer gadu gaitā ir pakāpeniski ieviesuši dažādus aizsardzības veidus pret automātiskām lejupielādēm, taču 100% aizsardzību nevar nodrošināt pilnībā. Tas tiek panākts, jo pārlūkprogrammu veidotāji nevar pilnībā bloķēt likumīgas tīmekļa funkcijas, kā arī tāpēc, ka tīmekļa uzbrukumu ainava ir mainīga, uzbrucējiem vienmēr atrodot jaunu caurumu. bakstīt.

Jaunākā aizsardzības kārta, ko pārlūkprogrammu ražotāji ir nolēmuši nodrošināt pret lejupielādēm, ir paredzēta tehnoloģijai, ko sauc "smilškastes iframe", ko bieži izmanto, lai ielādētu reklāmas un iegultos logrīkus (videoklipus, mūzikas ierakstus, aplādes) trešās puses ierīcēs. vietnes.

Ideja ir tāda, ka vietnes reti sāk lejupielādi, izmantojot smilškastes iframe, jo lielāko daļu šo logrīku parasti izmanto satura iegulšanai.

Chrome pirmais bloķēja lejupielādes, kas tika uzsāktas no "smilškastes iframe", izlaižot Chrome 73, 2019. gada martā, un opcija tika pilnībā noņemta Chrome 83, 2020. gada maijā.

Šonedēļ, Firefox paziņoja par līdzīgiem plāniem. Sākot ar Firefox 82, kuru paredzēts izlaist nākamajā mēnesī, 2020. gada oktobrī, Firefox bloķēs visas failu lejupielādes, kuru izcelsme ir smilškastes iframe.

Vienīgās situācijas, kad lejupielādes tiks ievērotas, ir tad, ja vietnes īpašniekam vai tīmekļa logrīku nodrošinātājam iframe ir karodziņa “atļaut lejupielādēt”; tomēr lielākā daļa to nedara, jo tas ir drošības risks un iemesls, kāpēc viņi to izmanto smilškastes iframe pirmajā, nevis klasiskajā iframe.

Pārlūkprogrammas ir sarežģītas koda kaudzes, un tas ir neliels atjauninājums lielajā lietu shēmā, taču tas parasti ir kā jūs izveidojat drošu produktu, reaģējot uz draudiem, kad tie nāk, un veicot nelielas korekcijas šeit un tur, laiks.

Līdzīga iezīme bija ierosināja Safari WebKit komandai, taču pagaidām nav izstrādāti plāni tās īstenošanai.