sábado, agosto 11, 2007

En lo que a seguridad se refiere, usar el navegador X en lugar del navegador Y influye más bien poco

En diversos foros de Internet hay abiertos muchos debates sobre si Internet Explorer es menos seguro que cierto navegador X, y se suele acabar recomendando usar ese navegador X en lugar de Internet Explorer. A decir verdad, ante un ataque malicioso, el usar el navegador X o el navegador Y no influye apenas en nada, y sólo genera una sensación de falsa seguridad. Quizá lo más influyente en esa situación de ataque es de qué privilegios disponga el navegador en ese momento. Si dispone de privilegios administrativos, está perdido.

Cuando un usuario ejecuta cierta aplicación -o el propio sistema operativo- con privilegios administrativos, automáticamente está diciendo que confía plenamente en esa aplicación que va a abrir y que le dejará hacer lo que le plazca con el sistema. Cuando se instala y se ejecuta un juego, es de esperar que ese juego se limite a "mover triángulos" y, si acaso, conectarse a Internet para descargar actualizaciones o poder jugar en red. Pero ciertamente ese juego es un potencial vector de ataque, por haber sido ejecutado con privilegios administrativos (cuando no se requieren). Simplemente cualquier usuario malicioso podría tomar el control del sistema al aprovecharse de una vulnerabilidad de ese programa.

El ejecutar un navegador aparentemente muy seguro en un entorno con privilegios administrativos, no sirve casi para nada. Al navegar por algún sitio infectado, si el sistema operativo no está actualizado o el sitio web intenta aprovechar alguna vulnerabilidad no corregida del navegador (cosa que todos tienen), se instalarán, sin que el usuario note nada, ficheros en \system32, tareas programadas, procesos residentes, entre otras cosas. Un navegador es una aplicación muy delicada, pues está en contacto con un mundo -Internet- en el que las amenazas de malware y virus están a la orden del día. De nada sirve haber diseñado el navegador más robusto del mundo cuando sus usuarios lo ejecutan con privilegios administrativos. Y navegar por Internet es una actividad que no requiere privilegios administrativos.

En conclusión, si usa Windows Vista debería tener activado Control de cuentas de usuario (UAC) y Modo protegido de IE7. Hay mucha gente que lo desactiva, por resultar demasiado pesado, pero deben ser conscientes de que si lo hacen estarán navegando con privilegios administrativos, y cualquier desarrollador de un sitio malicioso está ansioso por encontrarse con visitantes que le faciliten la instalación automática de adware. Si usa otro navegador distinto de IE, debería ejecutarlo siempre con privilegios limitados. La seguridad de un sistema no consiste nunca en usar únicamente tal o cual producto, sino en seguir unas pautas para reducir la posibilidad de ataque (usar antivirus, cortafuegos y actualizar el software a menudo, por ejemplo), y mitigar las consecuencias en el caso de que ocurra algo malo (ejecutar la aplicación sin privilegios administrativos, por ejemplo).

2 comentarios:

Alguien que no cree todo lo que le dicen dijo...

Te invito, e invito a todos los que quieran creer este artículo, a ver este video. Ah... Eso si su reproductor multimedia predeterminado les reconoce el formato, por cierto de licencia libre.

Está en inglés, y la persona que habla es Asa Dotzler, desarrollador de un navegador web que algunos (afortunados) conocerán.

Habla de algunas cuestiones de seguridad, así que... Algo aporta al tema, no?

Ver Video

akumapunk dijo...

Bueno hay que tener en cuenta que realmente el navegador influye en cierta medida.
Aunque es seria irresponsable decir que el navegador que usas es 100% la causa de infeccion. Por mas seguro que sea, si un usuario inexperto dice que si a cualquier programa este terminara con virus y etc.
Pero tambien, no es lo mismo un colador a un simple agujero.
IE se sabe que tiene MUCHAS vulnerabilidades, lo cual hace mas facil el ingreso de codigo malicioso. En cambio otros navegadores, a pesar de tambien tener vulnerabilidades, son en menor proporcion y esto hace que sean un poco mas seguros.
Tambien es de notar, qué tan rapido se "parchean" esas vulnerabilidades... IE a dejado algunos bugs desatendidos durante mucho tiempo, lo cual quierase o no, deja una puerta abierta.

Asi que una cosa puedo decir, mejor usen el navegador "O" n_o y un usuario poco precavido, por mas que use el navegador mas seguro del mundo, terminara infectado xD