BSI Ομοσπονδιακό γραφείο ασφαλείας προτείνει τον Firefox

Ο Firefox είναι ο μόνος περιηγητής ιστού που προτείνει το Γερμανικό ομοσπονδιακό γραφείο για την ασφάλεια πληροφοριών (BSI) μετά από έρευνες που πραγματοποίησε.(Γερμανικό Ομοσπονδιακό Γραφείο για την Ασφάλεια Πληροφοριών ή το Bundesamt für Sicherheit in der Informationstechnik – BSI).

Το BSI πραγματοποίησε ελέγχους στις Mozilla Firefox 68 (ESR), Google , Microsoft Internet 11 και τον Microsoft Edge 44. Οι δοκιμές δεν περιείχαν άλλα περιήγησης όπως Safari, Brave, Opera ή Vivaldi.BSI

Ο έλεγχος διεξήχθη με τρόπο που περιγράφεται λεπτομερώς σε μια κατευθυντήρια γραμμή (PDF) για τους “σύγχρονους ασφαλείς ” που δημοσίευσε το BSI τον περασμένο μήνα, τον Σεπτέμβριο του 2019.

Το BSI συνήθως χρησιμοποιεί αυτόν τον οδηγό για να καθοδηγεί τις κυβερνητικές υπηρεσίες και τις εταιρείες του ιδιωτικού τομέα στο ποια περιήγησης είναι ασφαλή για χρήση.

Σύμφωνα με τον νέο οδηγό του BSI, για να θεωρείται “ασφαλές”, ένα σύγχρονο πρόγραμμα περιήγησης πρέπει να ικανοποιεί τις παρακάτω ελάχιστες απαιτήσεις:

– Πρέπει να υποστηρίζει TLS
– Πρέπει να έχει μια λίστα αξιόπιστων πιστοποιητικών – Πρέπει να υποστηρίζει εκτεταμένα πιστοποιητικά επικύρωσης (EV)
– Πρέπει να επαληθεύει τα φορτωμένα πιστοποιητικά με μια λίστα ανάκλησης πιστοποίησης (CRL) ή με ένα πρωτόκολλο ηλεκτρονικής κατάστασης πιστοποιητικών (OCSP)
– Το πρόγραμμα περιήγησης πρέπει να χρησιμοποιεί εικονίδια ή βασικά χρώματα για να δείχνει αν η επικοινωνία με έναν απομακρυσμένο διακομιστή είναι κρυπτογραφημένη ή σε μορφή απλού κειμένου. Οι συνδέσεις με απομακρυσμένους ιστότοπους που τρέχουν με πιστοποιητικά που έχουν λήξει θα πρέπει να ανοίγουν μόνο μετά από έγκριση των χρηστών
– Πρέπει να υποστηρίζει την ασφάλεια HTTP Strict Transport (HSTS) (RFC 6797)
– Πρέπει να υποστηρίζει την πολιτική ίδιας προέλευσης (SOP) και πρέπει να υποστηρίζει την Πολιτική ασφάλειας περιεχομένου (CSP) 2.0
– Πρέπει να υποστηρίζει το Sub-resource integrity (SRI)
– Πρέπει να υποστηρίζει αυτόματες ενημερώσεις με ένα ξεχωριστό μηχανισμό ενημέρωσης για τις κρίσιμες ενημερώσεις και τις του προγράμματος περιήγησης
– Οι ενημερώσεις του προγράμματος περιήγησης πρέπει να είναι υπογεγραμμένες και επαληθεύσιμες
– Ο διαχειριστής κωδικών του προγράμματος περιήγησης πρέπει να αποθηκεύει τους κωδικούς πρόσβασης σε κρυπτογραφημένη μορφή και η πρόσβαση στην ενσωματωμένη λειτουργία κωδικών πρόσβασης του προγράμματος περιήγησης πρέπει να επιτρέπεται μόνο όταν ο χρήστης έχει εισάγει κάποιο κύριο κωδικό πρόσβασης
– Ο χρήστης πρέπει να μπορεί να διαγράφει τους κωδικούς πρόσβασης από τον διαχειριστή κωδικών πρόσβασης του προγράμματος περιήγησης
– Οι θα πρέπει να είναι σε θέση να μπλοκάρουν ή να διαγράφουν αρχεία cookie. Οι χρήστες θα πρέπει να είναι σε θέση να μπλοκάρουν ή να διαγράφουν το ιστορικό αυτόματης συμπλήρωσης
– Οι χρήστες θα πρέπει να είναι σε θέση να αποκλείουν ή να διαγράφουν το ιστορικό περιήγησης
– Οι διαχειριστές θα πρέπει να είναι σε θέση να ρυθμίζουν ή να αποκλείουν τα προγράμματα περιήγησης από την αποστολή τηλεμετρίας (δεδομένων χρήσης). Οι θα πρέπει να υποστηρίζουν τον μηχανισμό για τον έλεγχο επιβλαβούς περιεχομένου και διευθύνσεων URL
– Τα προγράμματα περιήγησης θα επιτρέπουν στους οργανισμούς να έχουν μαύρες λίστες σε τοπικό επίπεδο
– Πρέπει να υποστηρίζουν μια ενότητα ρυθμίσεων απ'όπου οι χρήστες θα μπορούν να ενεργοποιούν ή να απενεργοποιούν τα addons, τις επεκτάσεις ή τη JavaScript.
– Πρέπει να επιτρέπεται στους διαχειριστές να απενεργοποιούν τις λειτουργίες συγχρονισμού προφίλ που χρησιμοποιεί το Cloud.
– Πρέπει να τρέχει με ελάχιστα δικαιώματα στο λειτουργικό σύστημα και πρέπει να υποστηρίζει sandboxing. Όλα τα στοιχεία του προγράμματος περιήγησης θα πρέπει να απομονώνονται το ένα από το άλλο αλλά και το λειτουργικό σύστημα. Η επικοινωνία μεταξύ των απομονωμένων χαρακτηριστικών θα μπορεί να πραγματοποιείται μόνο μέσω καθορισμένων διεπαφών. Δεν θα πρέπει να είναι δυνατή η απευθείας πρόσβαση σε πόρους μεμονωμένων στοιχείων.
– Οι ιστοσελίδες πρέπει να απομονώνονται μεταξύ τους, ιδανικά με τη μορφή αυτόνομων διεργασιών.
– Οι browsers θα πρέπει να αναπτύσσονται χρησιμοποιώντας γλώσσες προγραμματισμού που υποστηρίζουν τα stack and heap protections
– Οι browsers θα πρέπει να χρησιμοποιούν OS memory protections όπως τα Address Space Layout Randomization (ASLR) και Data Execution Prevention (DEP).

Σύμφωνα με το BSI, ο Firefox είναι το μόνο πρόγραμμα περιήγησης που υποστηρίζει όλα τα παραπάνω. Τα σημεία που απέτυχαν οι άλλες εφαρμογές:

– Έλλειψη υποστήριξης για έναν κύριο κωδικό πρόσβασης (Chrome, IE, Edge)
– Δεν υπάρχει ενσωματωμένος μηχανισμός ενημέρωσης (IE)
– Δεν υπάρχει επιλογή για αποκλεισμό της τηλεμετρίας
– Χωρίς SOP (Same Origin Policy) support (IE)
– Χωρίς CSP (Content Security Policy) support (IE)
– Χωρίς SRI (Subresource Integrity) support (IE)
– Χωρίς υποστήριξη για browser profiles, different configurations (IE, Edge)
– Έλλειψη διαφάνειας (Chrome, IE, Edge)

iGuRu.gr The Best Technology Site in Greecefgns

κάθε δημοσίευση, άμεσα στο inbox σας

Προστεθείτε στους 2.100 εγγεγραμμένους.

Written by giorgos

Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ....

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται. Τα υποχρεωτικά πεδία σημειώνονται με *

Το μήνυμα σας δεν θα δημοσιευτεί εάν:
1. Περιέχει υβριστικά, συκοφαντικά, ρατσιστικά, προσβλητικά ή ανάρμοστα σχόλια.
2. Προκαλεί βλάβη σε ανηλίκους.
3. Παρενοχλεί την ιδιωτική ζωή και τα ατομικά και κοινωνικά δικαιώματα άλλων χρηστών.
4. Διαφημίζει προϊόντα ή υπηρεσίες ή διαδικτυακούς τόπους .
5. Περιέχει προσωπικές πληροφορίες (διεύθυνση, τηλέφωνο κλπ).