In de Security Tip van de week geeft elke week een andere professional, expert, onderzoeker of lezer een security tip. Persoonlijke tips, variërend van het veilig configureren van Windows, een handige security tool of het juist instellen van een firewall, waarmee de tipgever zijn systeem, applicatie of netwerk veiliger maakt.

Heb jij ook een leuke, originele, maar bovenal goede security tip die niet mag ontbreken, stuur dan een mail naar redactie@security.nl.

Deze week de tip van Jim Manico

Gebruik Google Chrome met Click-to-Play
Ik gebruik Google Chrome, één van de best beveiligde browsers vanuit een sandbox standpunt bekeken. Daarnaast gebruik ik een plug-in die na afloop alles in de browser wist. Chrome houdt zichzelf up-to-date en met de plug-in wis ik elke dag alle data die door de browser is opgeslagen. De voornaamste reden dat ik Chrome gebruik is dat het over een sandbox beschikt, het heeft een beter security proces, het heeft een betere security-geschiedenis, en het laat me op een gerichte manier bepaalde plug-ins uitschakelen.

Click-to-Play, waarmee een extra klik voor plug-ins is vereist, was al vroeg in Chrome ingeschakeld. Ik heb mijn Google Chrome zo ingesteld dat alle plug-ins zijn uitgeschakeld. Als ik Flash Player op YouTube wil laden verschijnt er een melding dat ik moet 'klikken' om Flash in te schakelen. Dus ik speel alleen Flash en andere plug-ins als ik dat wil en niet automatisch zoals meestal het geval is.

Als je dit strenger wilt instellen ga je naar 'Instellingen' en kies daar 'Geavanceerde instellingen weergeven'. Ga dan naar 'Instellingen voor Inhoud' en ga naar het submenu 'Plug-ins'. Normaal staat het op 'Automatisch uitvoeren'. Ik heb 'Klikken om te spelen' ingeschakeld. En het is ook mogelijk om uitzonderingen toe te voegen, bijvoorbeeld als ik de conferentietool van mijn bedrijf gebruik, maar alleen voor die ene specifieke URL.

Ook kan ik afzonderlijke plug-ins uitschakelen, dus ik heb al mijn plug-ins uitgeschakeld en sta alleen Flash toe. Als ik voor een specifieke reden Java nodig ik heb schakel ik het in en kan het dan via Click-to-Play activeren. Als ik klaar ben schakel ik de Java plug-in weer uit. Ik wil niet dat mijn browser Java kan uitvoeren. Java is een groot gat in de browser. Het is een fantastische programmeertaal voor server side programmeren, maar het is op dit moment een probleem in de browser.

Eraser
De History Eraser plug-in laat me heel gericht alle cookies, tracking cookies en andere rotzooi uit mijn browser verwijderen. Het voordeel is minder tracking en het zorgt ervoor dat de sessie-cookies die ik heb gebruikt om in te loggen worden verwijderd, het verwijdert daarnaast rotzooi in mijn cache en geeft mee een geheel schone browser. Als ik ga internetbankieren leeg ik eerst mijn browser, vervolgens doe ik mijn transacties, log uit en verwijder daarna weer alles uit mijn browser.

Firefox heeft soortgelijke manieren, maar Chrome heeft een betere sandbox dus verkies ik het boven Firefox. Het is daarnaast sneller, maar de sandbox geeft echt de doorslag. Als een exploit in Chrome wordt uitgevoerd, wordt het alleen in de sandbox uitgevoerd. Er zijn mensen geweest die er wisten uit te breken, maar niet veel. Het is een erg goede bescherming.

Jim Manico is VP Security Architecture bij WhiteHat Security en is Global Board Member bij OWASP.

Dit artikel is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.