Piekło zamarzło – Internet Explorer coraz bezpieczniejszy
Internet Explorer idzie w ślady swoich konkurentów i od 12 sierpnia zaczyna blokować niezaktualizowane wtyczki. Wszystko to w „trosce” o użytkownika, gdyż zgodnie z raportami do większości infekcji dochodzi poprzez nieaktualną wtyczkę Javy.
Czy wyjdzie to na dobre przeglądarce która obecnie posiada 56% rynku, czas pokaże. Z pewnością ociepli to jej „bezpieczny” wizerunek, który do pozytywnych nie należy (choć niesłusznie).
Dobry pomysł
Dwa dni temu na na IEBlogu pojawiła się informacja, że wraz z następnym „łatkowym wtorkiem” do Internet Explorera zostanie opublikowana aktualizacja która blokuje nieaktualne wtyczki ActiveX. Zadaniem wtyczki będzie:
- Informowanie kiedy Internet Explorer powstrzyma ładowanie zaktualizowanej kontrolki.
- Poprawne wyświetlenie pozostałej części witryny, która nie jest powiązana z zablokowanym dodatkiem.
- Obsługa niezaktualizowanego oprogramowania (m.in. możliwość aktualizacji czy zdalnej inwentaryzacji tego typu zdarzeń (przydatne dla firm)).
Średnie wykonanie
Aktualizacja Microsoftu działać będzie w Windows 7 SP1 (Internet Explorer w wersji 8 do 11) oraz wszystkich wersjach Windows 8. Dodatek będzie obsługiwał wszystkie strefy bezpieczeństwa poza zaufaną (Zaufane witryny) i Intranetową (Lokalny intranet). Użytkownicy objęci aktualizacją zobaczą komunikaty informujące o zablokowaniu wtyczki.
Internet Explorer 11 i zablokowana Java
Z poziomu komunikatu użytkownicy będą mieli możliwość zainstalowania najnowszej aktualizacji (wybór opcji Update/Aktualizuj przeniesie na stronę z aktualizacją).
Internet Explorer 8 i zablokowana Java, dająca możliwość aktualizacji
Dodatkowo wyświetlany będzie komunikat, gdy strona będzie próbowała skorzystać z nieaktualnej wersji dodatku poza przeglądarką.
Zablokowana próba uruchomienia zewnętrznej nieaktualnej wersji oprogramowania Java
Ciężko zarzucić Microsoftowi wspieranie nieaktualnego oprogramowania, ale jeśli już miało być dużo bezpieczniej, warto byłoby pomyśleć o Windowsie XP, czy choćby Windows Vista, których miejsce na rynku wciąż jest znaczące.
Jak to działa
W małym pliku versionlist.xml aktualizacja przechowywać będzie informacje które kontrolki ActiveX powinny być blokowane. Początkowo będzie blokować następujące wersje Javy:
- J2SE 1.4, do aktualizacji 43
- J2SE 5.0, do aktualizacji 71
- Java SE 6, do aktualizacji 81
- Java SE 7, do aktualizacji 65
- Java SE 8, do aktualizacji 11
Lista ta z czasem będzie rozszerzana o najczęściej wykorzystywane podatności. Dodatkowo działy IT mają możliwość skorzystania ze specjalnie przygotowanych schematów , które pozwolą na centralne raportowanie zdarzeń, gdy jakaś wtyczka zostanie zablokowana. Administratorzy będą mogli również pozbawić użytkowników wyboru opcji „uruchom tym razem”.
A może tak krok dalej?
Do pełni szczęścia przydałoby się, aby przeglądarka informowała również o próbie zmiany jej ustawień (strony startowej, instalowaniu dodatków) przez aplikacje zewnętrzne (aby zapobiec np. podmianie tych ustawień przez instalowane aplikacje, które z chęcią wprowadzają zmiany gdy tylko użytkownik nieopatrznie nie odznaczy takiej opcji).
Informacja o dostępności aktualizacji Javy
Z całą pewnością ten pomysł Microsoftowi się udał. Po pierwsze zadowoli po części korporacyjne działy IT, które często ze względu na kompatybilność posiadanych aplikacji muszą używać nieaktualnych wtyczek, a nie koniecznie chciałyby, by wtyczki te były aktywne również podczas surfowania po Internecie (oczywiście, da się to ograniczyć również w inny sposób, ale wraz z aktualizacją będzie zdecydowanie łatwiej). Po drugie gdy użytkownik nie będzie mógł z czegoś skorzystać ze względu na nieaktualną wtyczkę, spojrzy w końcu na pasek zadań i zaktualizuje proszącą go o to od wielu lat Javę, dzięki czemu ogólne bezpieczeństwo się podniesie – a to w dzisiejszym świecie jest bardzo potrzebne.
Podobne wpisy
- Podstawy Bezpieczeństwa: Jak zadbać o swoją prywatność, używając Windowsa
- Wykorzystywanie odcisku palca dokumentu w Microsoft Data Loss Prevention
- Podstawy Bezpieczeństwa: Microsoft Defender – jak go najlepiej skonfigurować
- Kryptografia jest trudna, czyli CVE-2020-0601 aka CurveBall aka ChainOfFools
- Jak uniknąć więzienia za kradzież przedpremierowych danych z Microsoftu i Nintendo
Jak można przyczepić się do nazwy tematu czy coś zasugerować:
„Jak internet-explorer zwiększa swoje/nasze bezpieczeństwo
” internet-explorer czyli jak zrobić duży krok w dobrym kierunku
„internet-explorer stara się zmiejszyć liczbę zainfekowanych przez ich przeglądarke..
„internet-explorer czyli nie tylko przeglądarka do pobrania innych przeglądarek
Zapewne da się jeszcze coś wymyślić ^ ^
Dzięki! Tytuł to tak naprawdę najtrudniejsza część artykułu, zaraz przed zakończeniem.
Nie bo najtrudniejsza rzecz przed napisaniem artykułu to wstanie rano ;s
nie zapominajmy o komentarzach. to też niełatwy kawałek chleba. :D
Komentarze pisze bot zasilany treścią największych polskich portali w połączeniu z łańcuchami Markowa.
do @adam- ależ ja miałem na myśli nas, komentujących! przez myśl mi nie przeszło cokolwiek innego! sorry. :/
Spoko, komentujące boty się nie obrażają :)
@dzk: Ja myślę, że Adam miał nas na myśli :D Wszystko się zgadza :D
„zgodnie z raportami do większości infekcji dochodzi poprzez nieaktualną wtyczkę Javy” czyli użytkownicy sami robią sobie problem, nawet 50 potwierdzeń nie zdoła takich zatrzymać… Już nie raz widziałem wirusy rozsyłające się przez Skype, z ciekawości sam pobrałem i uruchomiłem na VM… i co ujrzałem? Kontrolę konta użytkownika i prośbę o potwierzenie używania api skypa przez „nBYsvYQ.exe”. Po chwili zabawy z Wiresharkiem okazało się, że wirus łaczy sie z IRC, na którym było już 8 tys zainfekowanych kompów… szkoda gadać, poziom dzisiejszego społeczeństwa załamuje…
Dlaczego ludzie nie lubią aktualizować Javy? Przez oracle. Co to za poj…ny update, który instaluje jakieś gówniane toolbary i podmienia strony startowe? O ile bundlowanie takiego badziewia do „świeżych” instalacji jeszcze mogę zrozumieć, to uaktualnienia powinny być pozbawione takich kretyńskich dodatków.
Szczerze, to nie zdarzyło mi się, by update doinstalowywał cokolwiek ponad to – na co wyraził zgodę użytkownik przy pierwotnej instalacji (czyli jeśli na początku wyraził zgodę na toolbary, to update to kontynuował).
Nie rozumiem natomiast, dlaczego Oracle, nie pójdzie w ślady Adobe we Flashu, który od pewnej wersji, przy instalacji – pyta, czy ma się w przyszłości sam aktualizować bez akceptacji użytkownika. To rozwiązałoby większość problemów z nieaktualną Javą, bo działy IT, które często wymagają konkretnej – sobie z takim czymś z pewnością poradzą.
Moim zdaniem to już sama firma Oracle słabo sobie radzi z Javą…
Jeśli klikniesz w dymek „Java update is available”, ściąga się normalny instalator z oracla zawierający te badziewne dodatki (ask toolbar i ask homepage/search provider). Checkboxy są domyślnie zaznaczone niezależnie od tego, jaką instalację miałeś wcześniej.
„Po drugie gdy użytkownik nie będzie mógł z czegoś skorzystać ze względu na nieaktualną wtyczkę, spojrzy w końcu na pasek zadań i zaktualizuje proszącą go o to od wielu lat Javę, dzięki czemu ogólne bezpieczeństwo się podniesie – a to w dzisiejszym świecie jest bardzo potrzebne.”
Zwykłego Użytkownika to jedynie doprowadzi do szewskiej pasji. Bo kliknięcie tej wspomnianej ikonki spowoduje w większości… wyświetlenie monitu o hasło administratora. A że go nie zna (bo od aktualizacji to jest dział IT a nie ZU), to kliknie przycisk „Anuluj” i będzie jeszcze bardziej zdenerwowany, że nie dość, że mu to ciągle wyskakuje i jęczy o aktualizacji, to jeszcze blokuje swoje działanie.