IE漏洞不斷 對手瀏覽器看漲

| | | | | | 2則回應

    

微軟IE瀏覽器中的一個重大漏洞在上週變成了其他另類瀏覽器(諸如Mozilla與Opera)的最佳行銷機會。

為了避免遭攻擊導致資料或密碼外洩，部分安全專家建議網友必須關閉部分IE功能，或者乾脆改用其他瀏覽器以求一勞永逸。上週有不明攻擊者利用IE漏洞入侵多個網頁伺服器，並會在網友電腦上偷偷安裝JS.Scob.Trojan遠端遙控木馬程式。

「我希望微軟可盡快推出修補程式，」網際網路風暴中心技術長Johannes Ullrich表示，「在還沒有解藥之前，大家只有兩個選擇：關閉IE的JavaScript功能，不然就是改用其他瀏覽器。」

根據網路安全廠商Websense的紀錄，至少有130個網站會感染造訪的用戶，而該公司旗下客戶至少有200個已經受害，會試圖去下載位於俄國伺服器上的惡意程式碼。這些受害網站都不是知名大站，但卻全部都是執行微軟Internet Information Service 5.0網路軟體與SSL加密程式。

非微軟瀏覽器，比如Opera、Mozilla，以及Firefox(由Mozilla基金會推出)則比較沒有這類漏洞，且普遍傾向於僅著重在網路瀏覽功能，力求成本本身輕薄短小，Opera軟體公司技術長Hakon Wium Lie表示。

這種作法明顯不同於微軟，微軟講究讓IE可與作業系統作緊密的結合，一來也可避開反托拉斯議題的爭議。微軟不願就此事發表意見。

軟體單一化的影響

外界建議用戶改用其他瀏覽器的說法也呼應了部分安全研究人員認為軟體多元化才能改善安全的見解。許多軟體開發人員與安全專家都曾警告過「單一栽培」(monoculture)的危險性。此一詞彙借用自農耕領域，意指大規模哉種同一品種將使得農作物易遭單一害蟲的危害。

Mozilla也承認不論使用Mozilla或Opera瀏覽器，其價值在於避免「單一化」的危險，而非因自己技術更為優異。

根據網路分析公司WebSideStory的數據，微軟IE瀏覽器目前佔了95%市場；Mozilla僅有3.5%，Opera更低至0.5%。

「由於IE使用人口非常龐大，因此可說是個很明顯的目標。」Mozilla基金會工程總監Chris Hofmann表示。「這是撰寫攻擊程式者最喜歡的對象，因為產生的效益最大。」

「若瀏覽器市場不是這麼單一化的話，攻擊者就很難設計出一次可讓絕大多數人都中標的不肖程式。」Hofmann表示。

IE成了箭靶？

此外，安全專家也表示使用非微軟作業系統的網友(如Linux或蘋果Mac OS)也不會受到上週攻擊事件的威脅。

美國官方網路防衛機構US-CERT在上週五便建議安全管理員考慮改用非微軟的瀏覽器。

「IE瀏覽器中有數個重大技術漏洞，」該建議書上寫著，「採用其他瀏覽器將可有效降低漏洞風險，尤其是在瀏覽未受信賴網站時。」

該建議書指出IE瀏覽器有好幾種技術都隱藏許多安全問題，比如Active X語言程式、安全區域區分模式，以及JavaScript。不過該組織也表示關閉部分IE功能便能有效增加安全性。

「改用其他網路瀏覽器只是方法之一，」CERT協同中心網路安全分析師Art Manion表示。「我們不會建議用戶應該用哪套產品比較好，但是這樣的考量也非無的放矢。」

CERT組織也表示即使換了非IE瀏覽器，但依然繼續執行Windows作業系統還是有風險存在，因為Windows本身有部分相當依賴IE功能。

Mozilla的Hofmann建議有意淘汰IE瀏覽器的Windows用戶可先更改IE安全設定等級就可避免遭到類似上週的攻擊。Windows的預設值是在「中」，Hofmann表示調到「高」就應該可提供足夠的保護。

他也鼓勵網路開發人員停止在網站上使用ActiveX。

「我們鼓勵大家不要使用這類有不少安全漏洞的專屬技術，」Hofmann表示，「ActiveX是漏洞攻擊事件最常被利用的地方，網站應該多站在保護用戶的立場來思考。」(陳奭璁)