أمان المتصفح

أمن المتصفح هو تطبيق مبادئ أمن الإنترنت على متصفحات الويب لحماية البيانات المتصلة بالشبكة وأنظمة الحاسوب من انتهاكات الخصوصية أو البرامج الضارة . غالبًا ما تستخدم ثغرات أمن المتصفحات لغة جافا سكريبت ، وأحيانًا تقنية البرمجة النصية عبر المواقع (XSS) مع حمولة ثانوية تستخدم أدوبي فلاش . كما يمكن لهذه الثغرات استغلال نقاط الضعف (الثغرات الأمنية) الشائعة في جميع المتصفحات .

كان أول متصفح ويب، WorldWideWeb ، الذي ابتكره السير تيم بيرنرز لي عام 1990 ، بدائيًا، إذ استخدم بروتوكول HTTP للتنقل بين الصفحات. أما متصفح Mosaic ، الذي صدر في أبريل 1993، فقد تميز بواجهة مستخدم رسومية سهّلت الوصول إلى الويب، مما أدى إلى طفرة الإنترنت في التسعينيات. وأدت هذه الطفرة إلى منافسة شرسة بين متصفح Netscape Navigator ، الذي طوره مبتكرو Mosaic، ومتصفح Internet Explorer من مايكروسوفت . واتسمت هذه المنافسة الشرسة بسباق محموم لإضافة ميزات جديدة، غالبًا على حساب خصوصية المستخدم وأمانه . ^{[ 1 ] [ 2 ]} أُضيفت ميزات إلى لغة HTML لدعم التوافق مع أنظمة احتكارية مثل VBScript وتطبيقات Java الصغيرة ، وسعى الموردون إلى ضمان قدرة متصفحاتهم على التعامل مع مواقع الويب المُحسّنة للمنافسين. أدى ذلك إلى مجموعة متزايدة التعقيد من الثغرات غير الموثقة وهياكل مقاومة للأعطال يصعب توحيدها غالبًا بسبب تضارب المصالح. ^{[ 3 ]} بعد انتهاء هذه الفترة، المعروفة شعبياً باسم حرب المتصفحات الأولى ، استحوذ متصفح إنترنت إكسبلورر على أكثر من 80% من السوق. ومع ذلك، ورغم هيمنته، لم تستثمر مايكروسوفت، الشركة المطورة لإنترنت إكسبلورر، بشكل كبير في المتصفح بعد هذه الفترة. ^{[ 4 ]} أدى ذلك إلى انتشار المشكلات الأمنية، وثغرات المتصفح، وبرامج التجسس الخبيثة ، مما أدى في النهاية إلى ظهور متصفحات حديثة مثل موزيلا فايرفوكس ، وسفاري ، وجوجل كروم . ^{[ 3 ]}

يمكن اختراق متصفحات الويب بواحدة أو أكثر من الطرق التالية:

• تم اختراق نظام التشغيل ، وتقوم البرامج الضارة بقراءة/تعديل مساحة ذاكرة المتصفح في وضع الامتيازات ^{[ 5 ]}
• يحتوي نظام التشغيل على برنامج خبيث يعمل كعملية خلفية، يقوم بقراءة/تعديل مساحة ذاكرة المتصفح في وضع مميز.
• يمكن اختراق الملف التنفيذي الرئيسي للمتصفح
• قد تتعرض مكونات المتصفح للاختراق
• يمكن اختراق إضافات المتصفح
• يمكن اعتراض اتصالات شبكة المتصفح خارج الجهاز ^{[ 6 ]}

قد لا يكون المتصفح على دراية بأي من الاختراقات المذكورة أعلاه وقد يُظهر للمستخدم أنه تم إنشاء اتصال آمن.

عندما يتواصل متصفح مع موقع ويب، يقوم الموقع، كجزء من هذا التواصل، بجمع بعض المعلومات عن المتصفح (لغرض معالجة تنسيق الصفحة المراد عرضها، على الأقل). ^{[ 7 ]} إذا تم إدخال شيفرة خبيثة في محتوى الموقع، أو في أسوأ الأحوال، إذا صُمم الموقع خصيصًا لاستضافة شيفرة خبيثة، فإن الثغرات الأمنية الخاصة بمتصفح معين قد تسمح لهذه الشيفرة الخبيثة بتشغيل عمليات داخل تطبيق المتصفح بطرق غير مقصودة (تذكر أن إحدى المعلومات التي يجمعها الموقع من اتصال المتصفح هي هوية المتصفح، مما يسمح باستغلال ثغرات أمنية محددة). ^{[ 8 ]} بمجرد أن يتمكن المهاجم من تشغيل عمليات على جهاز الزائر، فإن استغلال الثغرات الأمنية المعروفة قد يُمكّنه من الحصول على صلاحيات وصول مميزة (إذا لم يكن المتصفح يعمل بالفعل بصلاحيات وصول مميزة) إلى النظام "المصاب" لتنفيذ مجموعة أكبر من العمليات والأنشطة الخبيثة على الجهاز أو حتى على شبكة الضحية بأكملها. ^{[ 9 ]}

عادة ما تكون خروقات أمان متصفح الويب بهدف تجاوز الحماية لعرض الإعلانات المنبثقة ^{[ 10 ]} وجمع معلومات التعريف الشخصية (PII) إما للتسويق عبر الإنترنت أو سرقة الهوية ، أو تتبع مواقع الويب أو تحليلات الويب حول المستخدم ضد إرادته باستخدام أدوات مثل أخطاء الويب ، وClickjacking ، وLikejacking (حيث يتم استهداف زر الإعجاب على فيسبوك ) ، ^{[ 11 ] [ 12 ] [ 13 ] [ 14 ]} وملفات تعريف الارتباط HTTP ، وملفات تعريف الارتباط الزومبي ، أو ملفات تعريف الارتباط Flash (الكائنات المشتركة المحلية أو LSOs)؛ ^{[ 15 ]} وتثبيت برامج الإعلانات المتسللة ، والفيروسات ، وبرامج التجسس مثل أحصنة طروادة (للوصول إلى أجهزة الكمبيوتر الشخصية للمستخدمين عن طريق القرصنة ) أو غيرها من البرامج الضارة بما في ذلك سرقة الخدمات المصرفية عبر الإنترنت باستخدام هجمات رجل في المتصفح .

تشير دراسة معمقة لثغرات متصفح الويب Chromium إلى أن التحقق غير السليم من صحة المدخلات (CWE-20) والتحكم غير السليم في الوصول (CWE-284) هما السببان الرئيسيان الأكثر شيوعًا للثغرات الأمنية. ^{[ 16 ]} علاوة على ذلك، من بين الثغرات التي تم فحصها وقت إجراء هذه الدراسة، وُجد أن 106 ثغرات في Chromium ناتجة عن إعادة استخدام أو استيراد إصدارات ضعيفة من مكتبات خارجية.

يمكن تقليل الثغرات الأمنية في برنامج متصفح الويب نفسه عن طريق تحديثه باستمرار، ^{[ 17 ]} لكن هذا لن يكون كافيًا إذا تم اختراق نظام التشغيل الأساسي، على سبيل المثال، بواسطة برنامج خبيث من نوع روتكيت. ^{[ 18 ]} بعض المكونات الفرعية للمتصفحات، مثل البرمجة النصية والإضافات وملفات تعريف الارتباط ^{[ 19 ] [ 20 ] [ 21 ]} ، معرضة للخطر بشكل خاص (" مشكلة النائب المرتبك ")، ويجب معالجتها أيضًا.

انطلاقًا من مبدأ الدفاع المتعدد الطبقات ، قد لا يكون المتصفح المُحدّث بالكامل والمُهيّأ بشكل صحيح كافيًا لضمان عدم حدوث مشكلات أمنية متعلقة به. على سبيل المثال، يمكن لبرنامج خبيث مُتخفٍّ (Rootkit) التقاط ضغطات المفاتيح أثناء تسجيل دخول المستخدم إلى موقع مصرفي، أو تنفيذ هجوم وسيط ( Man-in-the-Middle) عن طريق تعديل حركة مرور الشبكة من وإلى المتصفح. كما يُمكن استخدام اختطاف نظام أسماء النطاقات ( DNS) أو انتحاله لإظهار نتائج خاطئة لأسماء مواقع ويب مكتوبة بشكل خاطئ، أو للتلاعب بنتائج البحث في محركات البحث الشائعة. ببساطة، يقوم برنامج خبيث مثل RSPlug بتعديل إعدادات النظام لتوجيهه إلى خوادم DNS وهمية.

يمكن للمتصفحات استخدام أساليب اتصال شبكي أكثر أمانًا للمساعدة في منع بعض هذه الهجمات:

• نظام أسماء النطاقات (DNS) : DNSSec و DNSCrypt ، على سبيل المثال مع خوادم DNS غير الافتراضية مثل Google Public DNS أو OpenDNS .
• HTTP : HTTP Secure و SPDY مع شهادات المفتاح العام الموقعة رقميًا أو شهادات التحقق الموسعة .

تُعتبر دفاعات المحيط، التي تتم عادةً من خلال جدران الحماية واستخدام خوادم الوكيل التي تقوم بتصفية المواقع الإلكترونية الضارة وإجراء عمليات فحص مكافحة الفيروسات لأي تنزيلات ملفات، من الممارسات الشائعة في المؤسسات الكبيرة لحظر حركة مرور الشبكة الضارة قبل وصولها إلى المتصفح.

لقد نما موضوع أمان المتصفح إلى درجة أدت إلى إنشاء منظمات كاملة، مثل مشروع إطار عمل استغلال المتصفح، ^{[ 22 ]} الذي أنشأ منصات لجمع الأدوات اللازمة لاختراق أمان المتصفح، ظاهريًا من أجل اختبار المتصفحات وأنظمة الشبكة بحثًا عن نقاط الضعف.

محتوى صفحة الويب عشوائي ويخضع لسيطرة الجهة المالكة لاسم النطاق الظاهر في شريط العنوان. في حال استخدام بروتوكول HTTPS ، يُستخدم التشفير لحماية محتوى الصفحة من المتسللين الذين لديهم إمكانية الوصول إلى الشبكة. عند ظهور حقل كلمة المرور في صفحة الويب، يُفترض بالمستخدم التحقق من شريط العنوان للتأكد من أن اسم النطاق الظاهر فيه هو المكان الصحيح لإدخال كلمة المرور. ^{[ 31 ]} على سبيل المثال، في نظام تسجيل الدخول الموحد من جوجل (المستخدم في مواقع مثل YouTube.com)، يجب على المستخدم دائمًا التأكد من أن شريط العنوان يُظهر " https://accounts.google.com " قبل إدخال كلمة المرور.

يضمن المتصفح السليم صحة شريط العنوان. وهذا الضمان هو أحد أسباب عرض المتصفحات عادةً تحذيراً عند الدخول إلى وضع ملء الشاشة، فوق مكان شريط العنوان المعتاد، حتى لا يتمكن موقع الويب الذي يعمل بوضع ملء الشاشة من إنشاء واجهة مستخدم متصفح وهمية بشريط عنوان مزيف. ^{[ 32 ]}

يحد تصفح الإنترنت باستخدام حساب مستخدم ذي صلاحيات محدودة (أي بدون صلاحيات المسؤول) من قدرة استغلال ثغرة أمنية في متصفح الويب على اختراق نظام التشغيل بأكمله. ^{[ 33 ]}

يسمح Internet Explorer 4 والإصدارات الأحدث بحظر ^{[ 34 ] [ 35 ] [ 36 ]} والسماح ^{[ 37 ] [ 38 ]} لعناصر تحكم ActiveX والإضافات وملحقات المتصفح بطرق مختلفة.

أضاف متصفح إنترنت إكسبلورر 7 "الوضع المحمي"، وهي تقنية تُعزز أمان المتصفح من خلال تطبيق ميزة الحماية الأمنية في نظام التشغيل ويندوز فيستا، والتي تُسمى "التحكم الإلزامي في سلامة البيانات" . ^{[ 39 ]} يوفر متصفح جوجل كروم بيئة حماية لتقييد وصول نظام التشغيل إلى صفحات الويب. ^{[ 40 ]}

يتم تصنيف المواقع المشتبه في احتوائها على برامج ضارة والتي تم الإبلاغ عنها إلى جوجل، ^{[ 41 ]} والتي أكدتها جوجل، على أنها تستضيف برامج ضارة في متصفحات معينة. ^{[ 42 ]}

تتوفر إضافات وملحقات من جهات خارجية لتعزيز أمان حتى أحدث المتصفحات، ^{[ 43 ]} وبعضها للمتصفحات وأنظمة التشغيل القديمة. يمكن لبرامج تعتمد على القوائم البيضاء، مثل NoScript، حظر جافا سكريبت وأدوبي فلاش، المستخدمين في معظم الهجمات على الخصوصية، مما يسمح للمستخدمين باختيار المواقع الآمنة فقط. يستخدم AdBlock Plus أيضًا اشتراكات قواعد تصفية الإعلانات القائمة على القوائم البيضاء ، على الرغم من أن البرنامج نفسه والقائمين على قوائم التصفية قد أثاروا جدلاً بسبب سماحهم افتراضيًا لبعض المواقع بتجاوز المرشحات المُعدّة مسبقًا. ^{[ 44 ]} توصي US -CERT بحظر فلاش باستخدام NoScript . ^{[ 45 ]}

تخضع متصفحات الويب الحديثة لاختبارات مكثفة للكشف عن الثغرات الأمنية. يقوم فريق أمان جوجل كروم باختبار كود كروميوم الخاص به باستمرار باستخدام 15000 نواة معالجة. ^{[ 46 ]} أما بالنسبة لمتصفحي مايكروسوفت إيدج وإنترنت إكسبلورر ، فقد أجرت مايكروسوفت اختبارات مكثفة استغرقت 670 سنة حاسوبية خلال مرحلة تطوير المنتج، مما أدى إلى توليد أكثر من 400 مليار عملية معالجة لنموذج كائن المستند (DOM) من مليار ملف HTML. ^{[ 47 ] [ 46 ]}

• رجل في المتصفح
• اختطاف الجلسة
• السلامة على الإنترنت
• تطبيق حراري

• سيسترهين، إريك؛ ويفر، بيريند جان؛ أورو، ميشيل؛ فيرفييه، ماركوس (19 سبتمبر 2017). "الورقة البيضاء لأمن المتصفح" (PDF) . X41D سيك المحدودة.
• هايدريش، ماريو. إنفور، أليكس؛ فاسلر، فابيان. كريين، نيكولاي. كينوجاوا، ماساتو (29 نوفمبر 2017). "الورقة البيضاء لأمن متصفح Cure53" (PDF) . علاج53.