Микрософтын интернет хөтөч болох Internet explorer бол худалдаан дах хамгийн түгээмэл хөтөч юм, гэвч аюулгүй байдал маш эмзэг бөгөөд Микрософт үүнийгээ залруулж чадахгүй бол хүмүүс үүнийг хэрэглэхээ болино.
Dr E.Eugene Schultz, University of California/Berkeley Lab 2005
World Wide Web (WWW) нь интернетед шилжсэнээр хувь хүн болоод албан байгууллагуудын хэрэглээ нь маш ихэссэн. Веб серверүүд ялангуяа Microsoft-н интернет үйлчилгээ ил гарч байгаа юм. Веб бол аюултай газар хэвээрээ байгаа. Үүний улмаас веб хөтчүүдэд маш их аюул тулгарч байгаа, ялангуяа Микрософтын Internet Explorer (IE). Suricana байгууллага IE-г сүүлийн 2 жилийн турш судлаад 1 сард дунджаар 3н эмзэг байдал илэрч байгааг тогтоожээ. Хамгийн санаа зовоосон зүйл нь эдгээр эмзэг байдлуудын 14н хувь нь туйлын аюултай, 34н хувь нь өндөр аюулын зэрэгтэй байгаа юм. Хэдийгээр IE бол одоогоор хамгийн их тархсан Веб хөтөч боловч Микрософт болон бусад газраас IE гийн аюулгүй байдлын эмзэг байдлын талаар албан ёсны мэдэгдэл хийхгүй байна. Эдгээр мэдээлэл нь IE-н нэр төрд муугаар нөлөөлөх болно. IE ийн эмзэг байдлыг ашиглаж системд халдах нь маш хурдацтай өсч байна. Зарим эмзэг байдал нь спам тараагчдад хэрэглэгчдийн компьютерт цонх гаргаж ирэх боломжийг олгодог. Үүнд hard-to-kill DSO exploit мэтийн Spyware багтдаг ба энэ нь компьютерт баталгаагүй ActiveX удирдлагыг суулгахаар аюулгүй байдлын тохиргоог өөрчилдөг. DSO exploit ашиглан алсын зайнаас компьютерүүдэд бэлдсэн зар сурталчилгаа гэх мэт материалуудаа харуулдаг. Бусад эмзэг байдлуудын талаар товчхон хэлэлцэхэд, IE ажиллаж буй системийг халдагч бүрэн удирдах боломжийг олгодог байна. Ихэнх IE ийн эмзэг байдал нь IE н Windows т суурилсан(Windows-based) хувилбарт тулгуурладаг. IE тэй холбоотой хэд хэдэн эмзэг байдлуудаас болоод CERT/CC IE г хэрэглэхгүй байхыг зөвлөсөн. Зарим байгууллагууд ажилчиддаа IE хэрэглэхийг нь хориглосон. Хачирхалтай санагдавч IE зарим талаараа аюулгүй мэт санагдана. Энэхүү хөтөч хэрэглэгчийн аюулгүй байдал нууцлалтад хамгаалах маш их онцлогуудтай. Жишээ нь IE хэрэглэгчид аюулгүй байдлын маш олон бүсээс хүссэнээ сонгож болно – Internet, дотоод intranet, итгэмжлэгдсэн сайт(trusted site) болон хязгаарласан сайтууд (restricted sites) гэх мэт (зураг 1). Энэ нь хөтөч ажиллаж буй системд хортой код ажиллахаас сэргийлж байх ёстой(наад зах нь онолын хувьд). IE жишээ нь веб сайтуудын JavaScript үүдийг internet zone-доо хадгалж байхаар загварчлагдсан. Локал хатуу дискээс файлтай ажиллах эрх нь итгэмжлэгдээгүй бүс-н (untrusted zone) файлтай ажиллах эрхээс бага хязгаарлалттай. Жишээ нь: Интернет бүсээс татсан файлтай ажиллах үед IE нь аюултай файл байж болзошгүй гэсэн сануулга гарч ирдэг. Цаашлаад IE сертификат шалгах, файлын сигнатурыг шалгах, Secure Sockets Layer (SSL) бий болгох болон бусад хөрвүүлэлтийг ашиглах гэх мэт дэвшилтэт удирдлагын функциудтай. (Зураг 2).
IE ийн гол эмзэг байдал
Өнгөц харахад мэдэгдэхгүй боловч IE нь аюулгүй байдлын маш том дутагдалтай. Хэсэг хэсгээр нь харуулъя. Эдгээр эмзэг байдлууд нь хүсээгүй үр дүнг авирдаг. Эдгээрийн талаар одоо хэлэлцэнэ.
Cross domain/zone vulnerabilities
IE хөтчийн фреймийг өөр өөр сурвалжаас ялгахын тулд cross-domain аюулгүй байдлын загварыг ашигладаг. Энэ нь нэг домэйнээс нөгөөд хандахад урьдчилсан сэргийлэх код юм. The Internet Security Manager Object (ISMO) нь URL-ын тухайн бүс эсвэл домэйн (zone or domain) дэх зөвшөөрөгдсөн үйлдлүүдийг тодорхойлно. Энэхүү загварын дагуу бол домэйнүүд өөр өөр IE бүст байж болно; Local Machine Zone (LMZ) бол хамгийн итгэмжтэй (trusted) бүс юм. Cross-domain эмзэг байдал нь нэг домэйн эсвэл бүсээс өөр нэгт ажиллахыг зөвшөөрдөг. IE дэх cross-domain-ы хэрэгжүүлэлтийн аюулгүй байдалтай холбоотой асуудлуудад дараах зүйлс багтана.
· Дахин чиглүүлэгдсэн фреймүүд нь нэг бүсээс өөр бүсэд шилжиж байгаа эсэхийг шалгаж чадахгүй.
· Домэйн эсвэл бүсэд зөвшөөрөлгүй хэрэглэгчийг ялгаж чадахгүй.
· Муу нөхцөлд script ажиллуулах чадвар, script үүд нь cookies гэх мэт объектод суулгагдаж өгсөн байсан ч гэсэн
LMZ дэх Cross-domain нь халдагчид эмзэг байдал бүхий IE г ажиллуулж буй хэрэглэгчийн хийж чадах бүх үйлдлийг хийх боломжийг олгоно. Хамгийн муу тохиолдол бол хэрэглэгч Админ эрхээр нэвтэрсэн байх тохиолдол юм, яагаад гэвэл cross domain руу халдагч хэрэглэгчтэй ижилхэн түвшний эрхтэй болох юм. Энэ нь зөвшөөрөлгүй хүнд системийн бүх эрхийг өгч байгаа юм. Хамгийн муу нь cross domain ы эмзэг байдлыг ашиглах програм кодууд интернетэд дүүрэн байна.
MIME-type determination flaws
MIME гэдэг нь Multipurpose Internet Mail Extensions гэсэн үгний товчлол юм. MIME төрөл тодорхойлолт нь файлыг хэрхэн удирдах вэ гэдгийг харуулна. Сонголтуудад зураг үзэх эсвэл MHTML эсвэл Multipart HTML ашиглан HTML-ыг задлах, Download-г эхлүүлэх эсвэл гадны програм ажиллуулах зэрэг багтана. IE файлд байгаа 256 байтыг хэвийн уншиж файлын агуулгыг тодорхойлсон төрлийн жагсаалттай харьцуулалт хийдэг. Хэрвээ харьцуулалт амжилтгүй болвол серверийн дамжуулсан өгөгдлийн төрөл эсвэл файлын өргөтгөл оронд нь ашиглагдаж болно. Хэрвээ өгөгдлийн төрөл эсвэл файлын өргөтгөл мөн амжилтгүй болвол нэрийн өргөтгөл хэрэглэгдэж болно. HTTP (Hypertext Transfer Protocol) бол хүсэлтэд хариулдаг протокол. Хэрэглэгч сервер лүү хүсэлт явуулбал, хүсэлтийн арга, URI (Uniform Resource Identifier эсвэл URL) болоод протоколын төрлийг тодорхойлно. Мөн энэ нь хүсэлт өөрчлөх, client-ийн мэдээлэл зэрэг MIME төст зурвасыг агуулдаг. Сервер мессежийн протоколын төрөл болон амжилттай болсон эсэх, алдааны код зэргийг агуулсан MIME-төст мессежийг хариу явуулна. Медианы төрөл (Media type) мэдэгдэхгүй байвал хүлээн авагч тал нь агуулгад үндэслэж төрлийг таамаглана. MIME төрөл тодорхойлолтын эмзэг байдал нь хэрэглэгч http://www.somesites.com/image.jpg гэсэн веб рүү хандахад image.jpg нь зураг биш, үүний оронд HTML агуулсан хортой код ажиллаж байдаг. IE хөтөч файлыг уншаад HTML байна гэж таниад MHTML ашиглан задлаад ажиллуулах болно. Энэ нь гэмт этгээд хэрэглэгчийн системд нэвтрэх боломж олгож байгаа юм.
GUI (Graphical User Interface) удирдлагын асуудал
IE хулгана ашигласан үзэгдлүүдээр цонхны объектуудыг удирдах боломж олгодог (жишээ нь: дараад зөөх үйл явц (drag and drop operation)). IE халдагчид цонх объектыг удирдах аргаар удирдлагаа нэмэгдүүлэх боломж олгодог, үүний нэг нь window.moveBy юм.
GUI –ийн өөр нэг алдаа нь ShellNameSpace нэртэй ActiveX зүйлийг ашиглаж өөр хэрэглэгчийн хавтасд хандах боломжийг олж авах аргыг дууддаг скрипт функцийг дуудахын тулд mouse-initiated ашиглаж болно.
Скрипт харьцахтай холбоотой эмзэг байдал
Скрипттэй холбоотой эмзэг байдлын хэд хэдэн төрөл илэрсэн байна. Нэг эмзэг байдал хаяглагдсан болон зохицуулагдсан ActiveX хяналттай холбоотой. Скриптын аюулгүй байдлын хяналт нь IE дуудагдсан байх боломжтой. Гэхдээ скриптын хязгаарлалт нь аюулгүй байх ёстой. Хоёр activeX хяналт нь Eyedog ( windows-ийн программ хангамжийн холболтуудыг шалгахад ашигладаг) болон scriptlet.typelib (windows-ийн скриптын хэрэгслүүдэд сан бий болгох боломжуудыг хөгжүүлэгчдэд олгодог хяналт) скрипт аюулгүй хаяглагдсан байдаг тул IE-аас дуудаж болно. Гэхдээ Eyedog нь эрхгүй хэрэглэгч эсвэл программд бүртгэл болон түүнийг ажиллуулж байгаа системийн шинж чанарыг тухай мэдээллийг хайх боломж олгодог. Энэ нь overflow үүсэх нөхцлийг брдүүлж байгаа нь бас нэг эмзэг байдал юм. Scriptlet.typelib эрхгүй хэрэглэгчид эсвэл программ нь IE ажилладаг системийн файлуудыг өөрчлөх бий болгох боломжийг олгодог. Үүнээс гадна Microsoft-ын виртуал машин нь Вэб хуудас, эсвэл HTML и-мэйл мэдээнд скрипт код нь хүрч, ActiveX хяналтыг гүйцэтгэх боломжийг олгодог нь аюулгүй байдалд өртөж байна. A гэмт этгээд, IE хортой хуудсыг очиж ашигладаг бөгөөд дээр нь системийн бүрэн хяналт олж, энэ алдааг ашиглана. Энэ маягаар вирустай вэб хуудсыг тохируулах болно.
HTML элементүүд буферд overflow үүсэх эмзэг байдал
IE дахь замаар эмзэг байдлын зарим шинж чанаруудыг зохицуулдаг <IFRAME> болон <Frame> HTML элемент нь саяхан илэрсэн байна. Buffer –д overflow үүсэх нөхцөл нь IE өмнө дурдсан элементийн SRC, нэр шинж нь хэтэрхий урт тэмдэгтүүдтэй мөн вирустай HTML файлыг боловсруулж байх үед тохиолдож болно.
Эмзэг байдал нь IE д ихэвчлэн тулгарч байна.
Эмзэг байдалыг нь IE хөтөч ашиглаж хэрэглэгч вирустай HTML агуулсан вэб хуудсанд хөтчийг чиглүүлэх, и-мэйл-д агуулагдах Вэб сайтын холбоос дээр дарах үед ашиглаж байна.
Бусад эмзэг байдлууд
Microsoft-ийнхон MS04-038 (MIC04b) саяхан IE хэд хэдэн эмзэг байдлыг тодорхойлжээ. Эдгээр эмзэг байдлаас заримыг дурьдвал:
CSS -ийн санах ойн эмзэг байдал. Халдагч вэб руу орсон бол хэрэглэгчтэй нэгэн адил түвшинд хүрч хэрэггүй кодыг ажиллуулж вирустай вэб хуудсыг үүсгэх боломжтой. Нэг тохиолдол хэрэглэгч Administrator зөвшөөрөлтэйгээр нэвтэрч байхад энэ эмзэг байдлыг ашиглаж болно. Ижил арга нэрийг дахин чиглүүлж байгаа Cross domain эмзэг байдал. Энэ нь ижил нэртэй функцуудыг ашиглан навигацийн аргаар шийддэг. Хэрэглэгч LMZ ажилллаж байгаа вирустай вэб хуудсанд зочилж болно. Энэ код нь IE ажиллаж байгаа систем дээр хэрэглэгчийн эрхийг өгч болох юм. Хэрэглэгч нь вирустай вэб хуудас руу холболт хийх холбоос дээр дарна байна. Код нь хэрэглэгчийн давуу эрхийн түвшинд ажилладаг; Хэрэглэгчид Administrator давуу эрх олгосон бол, кодыг ижил түвшинд ажиллуулж болно. Вирустай вэб сайт руу хандсан бол таны хувийн мэдээлэл алдагдах боломжтой.
Шийдлүүд
IE –ийн томоохон аюулгүй байдлын асуудал дээр тулгуурлан гаргасан Windows-д суурилсан browser-ын хувилбаруудад байдаг. IE –ийн нэг эмзэг байдал нь Macintosh систем дээр ажилладаг IE-ийн хувилбарууд хучилттай (surfaced) байна. Macintosh дээр IE ажиллуулах нь нэг шийдэл юм. Ердөө л Вэб браузер нь аюулгүй хувилбарыг олж авах . Аж ахуйн нэгжийн хэмжээнд үйл ажиллагаа явуулж буй системийг өөрчлөх шийдвэр нь илүү ашигтай. IE хөтөч аюулгүй байдлын асуудлуудыг шийдвэрлэх хэд хэдэн, бодитой шийдэлтэй. Эдгээр шийдлүүд IE ээс зайлсхийх ашиглахаасаа өмнө аюулгүй байдлын тохиргоо хийх шаардлагатай үедээ л IE ашиглах юм.
Internet explorer - just say no
Эхний боломжит шийдэл бол CERT/CC-ээс browser дээр санал болгосон “just say no” юм. Бодит байдар дээр IE-г uninstall хийх болон ашиглаж болохгүй байх энэ шийдлийн хоёр гол шалтгаан буюу хувилбар байдаг. IE нь Windows үйлдлийн системүүдийг маш нягтаар нэгтгэсэн, тэдгээрийн ажиллагаануудын ихэнх нь IE-д хамааралтай учраас эхний сонголт нь нэн тохиромжгүй юм. Жишээ нь: Хэрвээ IE-г устгачихвал Windows Explorer, Windows системийн анхдагч шельд удаан хугацаагаар ажиллахгүй. Хоёр дахь сонголт, IE-г хэрэглэхээс зайлсхийх нь илүү дээр юм. Тэдгээр нь вэб хөтөчтэй маш сайн ажиллах хэд хэдэн эмзэг байдлын шүүлтүүр, харьцангуй бага. Үүнд Opera, Mozilla, Safari мөн Netscape багтдаг. Эдгээр хөтчүүд нь үнэгүй биш бөгөөд маш боломжийн үнэтэй байдаг. IE хэрэглэхээс бүрмөсөн татгалзах гол шалтгаан буюу сул тал нь ямар нэгэн вэбсайт болон програмууд зөвхөн IE-тэй хамт байж ажилладагт байгаа юм. Энэ нь хэрэглэгчдэд бага сонголтыг үлдээдэг. Гэсэн хэдий ч, олон хэрэглэгч, ялангуяа хамгийн сүүлийн үеийн хувилбарууд, вэбсайтын дийлэнхтэй төгс зохицож ажилладаг Mozilla гэх хөтчийг олсон байна.
IE-ийн хэрэглээ
Мэдээж хэрэг, өөр нэг шийдэл нь IE-г үргэлжлүүлэн хэрэглэх, гэхдээ аль болохоор аюулгүй байдлыг хангах нь чухал юм. Идэвхтэй скрипт болон ActiveX хяналт зэрэг олон чадамж, боломжуудыг идэвхгүй болгох шаардлагатай. Энэ нь ямар ч бүсэд хэрэгжүүлэх ёстой (интернэт болон хязгаарлагдмал сайтын бүс гэх мэт) найдваргүй HTML агуулгыг үзүүлж байна. Хэрвээ IE-г илүү найдвартай байхаар ажиллуулах гэж байгаа бол URL хөтлөгч, агуулга хөтлөгч болон бусад тохиргоог идэвхгүй болгох хэрэгтэй. Нэн даруй IE-д тодорхой үйлчилгээний багц (SPs) болон hotfixes-ийг суулгах нь маш чухал юм. S2 нь хэрэглэгчдийг мэдэгдэх бүрт болон хөтөч нь вэб сайт руу холбогдох үед дотоод файлд хандахыг хориглодог. Exe файлуудыг татаж авах, ажиллуулах тухай мэдэгддэг. SP2-д Windows XP нь сайн биш. Гэсэн хэдий ч мэдэгдэж байгаа нэг зүйл нь бүх IE-ийн эмзэг байдлыг засдаггүй. Мөн SP2 суулгасны дараа бусад вэб сайттай удаан хугацаагаар хамтарч ажилладаггүй. Энэ SP-ийн алдаатай зүйл нь хуурамч код гүйцэтгэх, тодорхой аюулгүй байдлын боломжуудаас зайлсхийхийн тулд вирус бичихийг зөвшөөрч болох юм. Түүнээс гадна, SP2-д Windows XP нь Windows XP үйлдлийн системээс хамаарч байгаа ингэснээр Windows NT болон Windows 2000 зэрэг Windows-ийн бусад үйлдлийн системд IE-ийн эмзэг байдлыг засах боломжгүй юм. Хамгийн сайн хөрвүүлэгч байж магадгүй ч SP2 нь Windows XP-д (EDWA04) сүүлийн үеийн тайлангаар багадаа 10 алдаатай зүйлсийг дагуулж байна. Энд авч үзэх хамгийн эцсийн шийдэл нь IE-г зөвхөн зайлшгүй шаардлагатай тохиолдолд ашиглах юм. Жишээлбэл вэб сайт нь ямар ч хөтөчтэй харьцах үед IE эсвэл Opera, Mozilla зэрэг бусад хөтчүүдийг ашиглаж болно. Энэ нь IE-тэй холбоотой аюулгүй байдлын эрсдэлийг багасгах боловч бусад ямар ч хөтөч дээр ажиллахад IE-ийн хэрэглэгчдийг хориглохгүй. IE-г ашиглахгүй байгаа үед File->Close сонгосон бол унтарсан байна. Энэ нь IE-д ашиглагдаж байгаа маш олон эмзэг байдлын заримыг багасгах магадлалтай.
Дүгнэлт
IE-д эмзэг байдлын sheer number нь санаа зовох асуудлын гол шалтгаан болж байна. IE-ийн ActiveX хяналтад Outlook, Outlook express зэрэг бусад програмууд, аюулгүй байдлын гажилт зэрэг эмзэг байдлууд нөлөөлснөөр асуудлын түвшинг мэдэгдэхүйц нэмдэг. Бодит байдал дээр тэдгээр Windows үйлдлийн системүүд болон IE-ийн хоорондох маш олон хамаарлууд нь байдлыг улам дордуулдаг. Үнэндээ, энэ нь ойлгоход маш хэцүү яагаад гэхээр үйлдлийн системийг үйлдвэрлэгчийн вэбтэй холбоотой аюулгүй байдлын эрсдэлүүдийг тооцоолсноор үйлдлийн системийн ажиллагаатай вэб хөтчийн ажиллагааг нэгтгэх хэрэгтэй болдог. Microsoft-ийн амласан хүчтэй гэм хорыг арилгах SP2-ийн алдаа нь зөвхөн галруу түлш л нэмдэг. Аюулгүй байдлыг бодолцолгүйгээр байгууллага интернетийг хязгаарлалтгүй ашиглах нь хэтэрхий эрсдэлтэй юм. IE ашиглаж байгаа бол маш хязгаарлагдмал түвшинд хэрэглэх ёстой бөгөөд зөвхөн энэ нь зөв тохируулагдсан үед л байнга шинэчлэгдэж байдаг.
No comments:
Post a Comment