¿Firefox tiene algo similar a ActiveX en términos de vulnerabilidades de seguridad?

La gente siempre dice que Linux es más seguro que Windows. La razón principal parece ser la filosofía general de diseño del sistema y el hecho de que los usuarios son usuarios y no root.

Una de las principales preocupaciones de seguridad al usar Windows e Internet Explorer parece ser ActiveX. Cada pocos días leo sobre otro tipo de exploit usando ActiveX, y casi siempre la solución es desactivar ActiveX. Leí eso tan a menudo que me pregunto por qué las personas se molestan en activar ActiveX. (Una razón podría ser que el nombre contiene "activo"; otra podría ser la función de actualización de Windows).

Usando Ubuntu y Firefox, siempre me siento tan seguro cuando leo sobre las vulnerabilidades de ActiveX. Sé que hay muchas otras vulnerabilidades de seguridad que usan JavaScript y / o Adobe Flash, pero hasta donde yo entiendo, ese tipo de vulnerabilidades de seguridad solo pueden causar tanto daño como lo permitan mis derechos de usuario. Por supuesto, eso no ayuda mucho cuando el malware quiere destruir todos mis datos, pero la mayoría del malware de hoy solo quiere usar mi PC como un dron de botnet y, por lo tanto, no está interesado en destruir mis datos.

Entonces, la pregunta nuevamente: ¿Firefox que se ejecuta bajo Ubuntu tiene algo similar a ActiveX, en términos de vulnerabilidades de seguridad?

Otra pregunta que puede ser idéntica: ¿puede una vulnerabilidad de seguridad que involucra Adobe Flash y / o JavaScript ser explotada "fácilmente" para hacer tanto daño como un exploit ActiveX?

Cuando digo "fácil" quiero decir que el ataque no necesita explotar otro componente del sistema para elevar los derechos de los usuarios. Por ejemplo, un exploit que involucre a Adobe Flash obtendrá acceso a mi PC usando mis derechos de usuario, y luego procederá a explotar alguna vulnerabilidad conocida Xpara obtener acceso a la raíz. Eso no es "fácil".

¿Firefox bajo Ubuntu tiene algo similar a ActiveX, en términos de vulnerabilidad de seguridad?

'ActiveX' puede considerarse en dos partes, el modelo de objeto y el método de instalación. Firefox tiene algo similar, y compatible multiplataforma, Ubuntu u otro, para ambos.

El modelo de objetos de ActiveX es Microsoft COM ; El equivalente de Firefox es XPCOM . Muchas otras funciones y aplicaciones de Windows que no tienen nada que ver con la navegación web usan MS COM, y tradicionalmente ha habido un sinfín de problemas en los que los controles COM que no se escribieron para un uso seguro de la web estaban disponibles para las páginas web. Esto causó muchos compromisos. Firefox está mejor aquí, ya que XPCOM no se comparte con el resto del sistema. Las versiones más nuevas de IE tienen mejores controles para mitigar qué sitios pueden usar qué controles.

(Como un problema secundario, debido a que muchos complementos para Firefox están escritos en JavaScript, un lenguaje de scripting de alto nivel, a menudo son más seguros contra el desbordamiento del búfer y los errores de manejo de cadenas que las extensiones para IE que comúnmente se escriben en C [ ++].)

La parte de descarga de control de ActiveX también se ha limpiado un poco desde los viejos tiempos, cuando cualquier cosa en la zona de Mi PC podía instalar cualquier software que quisiera, y los scripts de carga agresivos podrían atraparlo en un alertbucle hasta que aceptara aprobar el ActiveX rápido. El equivalente de Firefox, XPInstall , se comporta en gran medida de manera similar, con la 'barra de información' en todos los sitios excepto Mozilla por defecto y una advertencia / aviso adecuado antes de la instalación.

Hay otra forma integrada de comprometerse en Mozilla: scripts firmados . Nunca he visto esto realmente utilizado, y ciertamente aparecerá otra ventana de advertencia antes de que un script obtenga derechos adicionales, pero me preocupa que esté disponible para las páginas web.

por ejemplo, un exploit a través de flash obtendrá acceso a mi PC bajo mis derechos de usuario

Sí, la mayoría de las vulnerabilidades web hoy en día ocurren en complementos. Adobe Reader, Java (*) y QuickTime son los más populares / vulnerables. OMI: deshágase de ellos y use FlashBlock para mostrar solo Flash cuando lo desee.

(*: y los diálogos de Java antes de permitirle ceder toda la seguridad a algún applet no confiable también son un poco vacíos).

Ubuntu le proporciona algunos complementos cuestionables de forma predeterminada, en particular un complemento de reproductor de medios que hará que cada vulnerabilidad en cualquiera de sus códecs de medios sea explotable a través de la web (similar al complemento de Windows Media Player, solo potencialmente con muchos más formatos). Si bien aún no he encontrado un exploit dirigido a Linux como este, en realidad eso es solo seguridad a través de la oscuridad.

Tenga en cuenta que ActiveX en sí no es diferente. Un compromiso de navegador web basado en ActiveX todavía solo da acceso a nivel de usuario; es solo porque antes de Vista todos habitualmente ejecutaban todo como Administrador que esto se intensificó a un enraizamiento completo.

y luego siga para explotar alguna vulnerabilidad conocida en X para obtener derechos de root. eso no es "fácil".

Tal vez tal vez no. Pero creo que encontrará que el daño que puede causar un malware incluso de una cuenta de usuario normal es bastante malo. Copie todos sus datos personales, observe sus pulsaciones de teclas, elimine todos sus documentos ...

Depende de la naturaleza de la vulnerabilidad. A veces eres "afortunado" y la vulnerabilidad "solo" permite una divulgación limitada, pero a menudo las vulnerabilidades permiten la ejecución de código arbitrario. En ese momento, te encuentras en un estado profundo, tan profundo como los problemas de ActiveX. Y esos agujeros pueden estar en el manejo de archivos de imagen (imágenes maliciosas), o de sonido, o casi cualquier otra cosa.

ActiveX fue peor porque proporcionó una forma para que los escritores de código declararan "Si está instalado, es seguro que se haga referencia desde una página web" y muchos codificadores lo activaron sin comprender las implicaciones, por lo que había muchos objetivos y sería fácil salir Pero tiene la misma exposición al mal manejo de números extraños en los archivos de imagen. Es solo que los problemas del archivo de imagen se solucionan actualizando el navegador.

La única defensa contra todo esto es usar sandboxing, que limita lo que puede hacer un proceso que se ejecuta como usuario. OpenBSD fue pionero en hacer esto popular con la separación de privilegios de varios demonios (especialmente OpenSSH, por lo que está usando esto en Ubuntu ahora). Chrome popularizó esto para los navegadores web, pero solo tiene sandboxing en algunas plataformas. Irónicamente, tal vez, por un tiempo probablemente estuviste más seguro con Chrome en Windows que con cualquier navegador gráfico en Linux. Afortunadamente, esto está cambiando. Creo que ahora hay una protección parcial en las versiones de Linux.

http://www.cl.cam.ac.uk/research/security/capsicum/ es bueno si desea explorar sistemas de capacidad para sandboxes y ver cómo las cosas podrían mejorar.

AFAIK un exploit ActiveX tampoco puede hacer daño fuera de los derechos de su usuario (sin usar otros exploits, como usted indica). El principal problema en Windows era que casi todo el mundo trabajaba como administrador la mayor parte del tiempo ...

Solo quiero mencionar que, en teoría, Linux es menos seguro que Windows 7, que tiene algunas características de seguridad interesantes.

La razón por la que no hay virus de Linux es la misma por la que casi no hay juegos comerciales de Linux: los productores van con las masas y las masas usan Windows.

Entonces, la forma más segura es usar productos alternativos (como Firefox era hace algunos años, hoy las vulnerabilidades de Firefox se usan con bastante frecuencia).

Ahora para responder a sus preguntas: Hasta donde yo sé, ActiveX-Exploits no concierne a Firefox.

Me siento bastante seguro navegando con Linux y Firefox, sin embargo, usar Opera podría ser más seguro ya que Opera es mucho menos popular.

Lo que debe considerar es tener una contraseña segura si su SSH está abierto a Internet, ya que hay muchos escáneres que intentan hackear su ssh para instalar cosas extrañas en su PC (deshabilite el acceso directo a la raíz en / etc / ssh / sshd_config).

Creo que la mayoría de los otros ataques son específicos de un usuario, por lo que si no tienes secretos de la compañía o enemigos en general, tu computadora debería estar bastante segura.