Microsoft bouwt 'BrowserSchild' voor Internet Explorer
Onderzoekers van Microsoft experimenteren met een tool die automatisch kwaadaardige code op websites tegenhoudt en gebruikers een veilige pagina toont. 'BrowserShield' wordt omgeschreven als een tool om embedded scripts op een pagina te verwijderen voordat die in de browser getoond worden. Ook kan het statische en dynamische content inspecteren en schoonmaken. Dynamische content is een populaire aanvalsvector voor webmalware.
Via BrowserShield zouden in de toekomst WMF aanvallen voorkomen kunnen worden. "Wat we eigenlijk doen is het onderscheppen van de pagina, om hem daarna aan te passen voordat die door de browser getoond wordt. We injecteren onze eigen code om de pagina veiliger voor de eindgebruiker te maken" zegt Helen Wang, de bedenker van het BrowserShield project.
De onderzoekers testte BrowserShield tegen 8 Internet Explorer patches uit 2005 en ontdekten dat als BrowerShield in combinatie met standaard anti-virus en HTTP filtering wordt gebruikt, dezelfde bescherming biedt als de software patches.
Of je kan je bugs fixen..
daar zijn er nu teveel van . .dus komen ze maar met een
soort schild om hun bugs heen :)
Of je kan je bugs fixen..
daar zijn er nu teveel van . .dus komen ze maar met een
soort schild om hun bugs heen :)
tekst.
Alle software dat uitgebracht wordt is per definitie niet perfect. (Volgens
mij kan dit ook nooit bereikt worden)
Je kan nooit 100% voorbereid zijn op toekomstige nadelen. Je kan
uiteraard wel veel dingen van te voren proberen af te vangen door zelf
scenario's te verzinnen, maar er zijn zoveel mogelijkheden om iets kapot
te maken als er mensen op de wereld zijn.
Bijvoorbeeld een Javascript aanval (of zo) zijn misbruikte fouten in het
Javascript zelf ipv bijvoorbeeld IE. Volgens mij liggen 50% van de fouten in
de producten om de browser heen ipv de browser zelf in de fout is. Wat
nu gebeurt is dat de browser de fouten van de randsoftware op moet
lossen...
NoScript-uitbreiding van Firefox denken...
On-line scannen van web-content, doen on-access
malware-scanners (van andere leveranciers) dat ook niet?
randsoftware op moet lossen...
onlosmakelijk met Windows verweven.
Goh, om de een of andere reden moet ik aan de
NoScript-uitbreiding van Firefox denken...
site's die (abusievelijk) zonder Java(Script) volkomen
onbegaanbaar zijn en die je toch wilt bezoeken.
In een ander geval kunnen Java en JavaScript-ondersteuning
uitgeschakeld/verwijderd worden.
de gratis versie van Avast! antivirus (en ook in F-secure en waarschijnlijk
nog wel enkele andere av-producten) zit.
Mooi toch.
Door Sebastián op dinsdag 05 september 2006 13:48
NoScript heb je hoofdzakelijk nodig voor
site's die (abusievelijk) zonder Java(Script) volkomen
onbegaanbaar zijn en die je toch wilt bezoeken.
geen Java(script)-sites kunt bekijken met Firefox.
In Firefox staan Java en Javascript echter standaard aan,
waardoor sites die dit gebruiken standaard volkomen
begaanbaar zijn.
Met de NoScript-uitbreiding zet je Java(script) standaard
uit en sta je het alleen toe voor domeinen (vaak meer dan
een op sites) die je vertrouwt, zodat je ongewenst gebruik
zoveel mogelijk voorkomt.
Daarmee lijkt de werking m.i. dus op dit 'nieuwe' schild van
Microsoft, dat overigens ook weer symptoombestrijding is.
Zoals je het hier zegt lijkt het alsof je zonder NoScript
geen Java(script)-sites kunt bekijken met
Firefox.
jij gegeven hebt voor mensen die dit ook zo begrepen hebben.
schild van
Microsoft, dat overigens ook weer symptoombestrijding
is.
verweven dat wanneer je de bron van het probleem aanpakt dit
andere problemen geeft. Dan zouden Windowsgebruikers
bijvoorbeeld niet kunnen updaten.
code audits uit te voeren, een andere mogelijkheid is het
compleet herschrijven van de code. Het lijkt er sterk op dat
de schrijvers van Internet Explorer nogal onzorgvuldig
tewerk zijn gegaan. Misschien moeten mensen (dus ook ik,
schrijf zelf ook geen perfecte code) per X regels code een
audit uit gaan voeren, of zichzelf aanleren om constant
veiligheid in de gaten te houden. Lastig bij grotere
projecten, helaas. :(
We zijn het dus dik eens. Maja, er moet toch wat te zeiken
blijven? ;)
correct doen.
De problemen die moeten worden opgelost in de randsoftware
(waar komt die in dit geval ook alweer vandaan?) worden met
dit geval door MS opgelost door er nog een schil omheen te
gaan bouwen. Waar houdt t op?
Het is leuk dat ze hier aan werken hoor, heus en het zal
iemand ergens ook wel helpen. Maar een iets proactievere
houding op wat andere fronten mag ook wel.
Nee, "weet u t zeker?" pop ups tellen niet..
Of je kan je bugs fixen..
daar zijn er nu teveel van . .dus komen ze maar met een
soort schild om hun bugs heen :)
Maar dan kun je daaromheen toch weer een schil bouwen
Ik durf zelfs te stellen dat, als je fatsoenlijke content-filtering doet, je die
browsershield ook niet eens nodig hebt.
Content filtering als in: het verwijderen van alle scripting (ook die niet met
<script begint), java en alle verwijzingen naar executables, binaire en
gecodeerde data? Daarmee help je een groot aantal sites mee om zeep.
Het draaien van een virusscanner stelt weinig voor wanneer je weet dat
een groot deel van de malware op het moment van besmetten niet bekend
is bij de anti-virus bedrijven. Het geeft wel een vals gevoel van veiligheid.
Ik durf zelfs te stellen dat, als je fatsoenlijke content-filtering doet, je die browsershield ook niet eens nodig hebt.
Content filtering als in: het verwijderen van alle scripting (ook die niet met <script begint), java en alle verwijzingen naar executables, binaire en gecodeerde data? Daarmee help je een groot aantal sites mee om zeep.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
