Sicherheit

Welcher ist der sicherste Browser?

von - 13.12.2011
Welcher ist der sicherste Browser?
Nach einer Studie der Sicherheits-Experten von Accuvant schneidet der beliebte Browser Firefox in punkto Sicherheit nicht gut ab. Google Chrome und der Internet Explorer werden deutlich besser bewertet.
In einer von Google finanzierten Studie hat Accuvant die Methoden von Browsern zur Schadensbegrenzung miteinander verglichen. Im Wettbewerb um die höchste Sicherheit traten Google Chrome, Microsofts Internet Explorer und Mozilla Firefox gegeneinander an.
Die Ergebnisse überraschen auf den ersten Blick ein wenig. Zwar ist es naheliegend, dass Chrome bei der Studie in ein etwas besseres Licht gerückt wird, auch wenn die Studie als unabhängig gilt. Aber dass der gemeinhin als besonders sicher geltende Firefox der unsicherste Browser sein soll, kommt unerwartet.
Bei der Untersuchung wurden nicht real existierenden Sicherheitslücken gezählt. Vielmehr lag das Augenmerk diesmal bei den Methoden, die die jeweiligen Browser benutzen, um Angriffe zu vermeiden. Dabei wurden vor allem folgende Sicherheitstechnologien geprüft: Sandboxing, Plugin-Sicherheit, JIT-Hardening, ASLR, DEP, GS und URL-Blacklisting. Eine kurze Erklärung der Begriffe finden Sie am Ende dieses Artikels.
Accuvant kommt zu dem Ergebnis, dass nur in Google Chrome alle relevanten Sicherheitstechniken nach Industriestandard vorhanden sind. Beim Internet Explorer ist das nur teilweise der Fall. Sandboxing und Plugin-Sicherheit sind sie zwar implementiert, aber nicht in allen Fällen wirksam. In Firefox sind Sandboxing,, Plugin-Sicherheit und JIT-Hardening nicht vorhanden. URL-Blacklisting unterstützt keiner der drei Browser ausreichend. In diesem Punkt schneidet also auch Google Chrome schlecht ab.
Die Reaktion von MozillaJohnathan Nightingale, Chef der Firefox-Entwicklung verteidigte Firefox in einer Erklärung. Seiner Ansicht setzt Firefox ein breites Spektrum an Technologien ein, um Sicherheitslücken einzudämmen oder zu schließen. Allerdings gibt er zu, dass Sandboxing eine durchaus sinnvolle Technologie sei, die Firefox bereits testen würde. Jedoch betont er, dass keine Technologie eine Wunderwaffe sei.
Etwas verwunderlich ist, warum Google in diese Studie nicht auch andere Browser wie Apples Safari und Opera einbezogen hat. Insgesamt kann man die Studie aber als objektiv ansehen, auch wenn sie von Google finanziert wurde. Denn Accuvant dokumentiert lückenlos die eingesetzten Prüftechniken und Tools. Es ist jetzt an Microsoft und Mozilla einen Gegenbeweis vorzulegen - oder die Sicherheit der eigenen Browser zu verbessern.
Sicherheitstechniken für Browser (und andere Software):
Sandboxing: In einer Sandbox werden Prozesse so isoliert, dass sie nur auf bestimmte Bereiche, beispielsweise auf der Festplatte und in der Registry, lesend und schreibend zugreifen können. Damit soll verhindert werden, dass Schadsoftware sich über den Browser-Prozess hinaus ausbreiten kann.
Plugin-Sicherheit: Über Plugins kann die Funktion eines Browsers erweitert werden. In der Regel dienen Plugins zur Darstellung anderer Inhalte, als der Browser von Haus aus anzeigen kann. Bekannte Plug-ins sind der Adobe Flash Player oder Microsoft Silverlight. Durch geeignete Maßnahmen kann sichergestellt werden, dass Fehler in Plug-ins weder den Browser noch das Betriebssystem betreffen.
JIT-Hardening: Browser können Javascript-Code ausführen, der über einen Just-in-time-Compiler in Code für das jeweilige Betriebssystem umgesetzt wird. Hier kann es die gleichen Probleme geben, wie beim Ausführen von anderem Programm-Code. Mit Techniken wie Codebase Alignment Randomization oder Instruction Alignment Randomization kann es Angreifern erschwert werden, Sicherheitslücken auszunutzen.
ASLR: Die Address Space Layout Randomization soll es Hackern erschweren, im Hauptspeicher einen bestimmten Code zu finden. Dazu lädt das Programm beim Start den Programm-Code an ständig wechselnde, zufällige Adressen.
DEP: Mit Data Execution Prevention wird verhindert, dass ein Programm Code in Bereichen des Hauptspeichers ausführen kann, die als nicht-ausführbar gekennzeichnet sind. Wenn Hacker einen Speicherüberlauf provozieren, können sie den eingeschleusten Schadcode dann nicht starten.
GS: Bei den Stack Cookies (/GS) handelt sich um einen Schalter, der eingesetzt werden kann, wenn ein Programm in der Entwicklungsumgebung erstellt wird (compilieren). Bei einem damit erstellten Programm werden Variablen so umsortiert, dass bei einer Überschreitung des Speicherbereichs andere Variablen nicht beeinflusst werden.
URL-Blacklisting: Wenn ein Benutzer gar nicht erst auf eine gefährliche Website gelangen kann, reduziert sich das Sicherheitsrisiko deutlich. Dazu müssen aber Listen geführt werden, die den Nutzer vom Besuch als gefährlich bekannter Websites abhalten. Das funktioniert jedoch nur, wen die Listen so aktuell wie möglich sind. Beim Accuvant-Test boten hier alle Browser nur unzureichende Sicherheit.