Internet Explorer 6 musi odejść!

Kolejne dziury w IE? To już chyba nikogo nie dziwi. Łączna liczba 16 luk wykrytych w ostatnich dwóch miesiącach w przeglądarce Internet Explorer, powiększyła się właśnie o trzy kolejne przypadki. Dwa z nich zostały ocenione przez specjalistów z duńskiej firmy Secunia, jako krytyczne. Sami przedstawiciele Microsoftu, powoli zdają sobie sprawę z faktu, iż potrzebne są zmiany. Niewykluczone, że wbrew wcześniejszym zapowiedziom, jeszcze przed premierą systemu Longhorn, zdecydują się na udostępnienie nowej wersji Internet Explorera. Czy to pomoże koncernowi utrzymać pozycję lidera na rynku przeglądarek internetowych?
Ostatnie, krytyczne luki w Internet Explorerze 6, o których informują specjaliści z firmy Secunia, zostały wykryte przez użytkownika o pseudonimie Cyber Flash. Ich wykorzystanie zostało przetestowane na systemie Windows XP, wyposażonym w ostatni pakiet poprawek Service Pack 2. Obie dziury mogą zostać wykorzystane przez potencjalnych napastników do zmylenia nieświadomego użytkownika i pobrania przez niego plików na lokalny dysk, zawierających niebezpieczny pakunek (np. wirusa).

Luki, luki, luki

Pierwsza z luk dotyczy funkcji ostrzegania użytkownika przed otwarciem konkretnego typu pliku, która została zaimplementowana w dodatku Service Pack 2. Problem pojawia się wtedy, gdy pobierany plik zostanie wysłany z odpowiednio spreparowanym nagłówkiem HTTP "Content-Location" lub będzie pobierany ze zmodyfikowanego przez napastnika adresu URL. W takich przypadkach, ostrzeżenie może się w ogóle nie pojawić. Drugi błąd dotyczy zapisywania dokumentów z użyciem funkcji JavaScript o nazwie "execCommand()". Może on być wykorzystany do nieautoryzowanej podmiany rozszerzenia w oknie dialogowym "Save HTML Document". Aby wykorzystać tę lukę, w systemowym Exploratorze musi być włączona opcja "Ukryj rozszerzenia znanych typów plików" - Narzędzia | Opcje Folderów | Widok (funkcja ta jest standardowo włączona w systemie).

Jak wyłączyć wykonywanie aktywnych skryptów w IE?
W IE należy przejść do menu Narzędzia -> Opcje internetowe -> Zabezpieczenia -> Poziom niestandardowy - w polach Wykonywanie aktywnych skryptów i Wykonywania skryptów apletów języka Java należy zaznaczyć pozycje Wyłącz.
Kombinacja obu dziur może być użyta do zmylenia nieświadomego użytkownika, przeglądającego stronę internetową i nieautoryzowanego pobrania przez niego pliku z niebezpiecznych 'ładunkiem'. Jak twierdzą specjaliści z firmy Secunia, aby zabezpieczyć się przed wykorzystaniem obu dziur, należy wyłączyć wykonywanie aktywnych skryptów oraz wspomnianą wcześniej opcję "Ukryj rozszerzenia znanych typów plików".

Czarę goryczy przepełnia ostatni przypadek opisany przez Keigo Yamazaki, dotyczący błędnego sposobu walidacji, podczas akceptowania plików 'cokiees' (ciasteczek). Na całe szczęście, problem nie dotyczy posiadaczy systemów Windows XP z dodatkiem Service Pack 2. Podatne na wykorzystanie są komputery z Windows XP z dodatkiem SP1 i przeglądarką Internet Explorer 6.0 SP1. Zaleca się zatem aktualizację systemu o Service Pack 2 oraz (w miarę możliwości) wyłączenie obsługi ciasteczek.

Może już wystarczy?

W obliczu blisko 20 dziur wykrytych w Internet Explorerze w przeciągu ostatnich 2 miesięcy, pojawia się pytanie, czy zamiast kolejnych łat nie przyszła pora na zupełnie nową wersję przeglądarki. Coraz poważniej rozważają to również sami przedstawiciele Microsoftu. Wbrew wcześniejszym zapowiedziom, być może stanie się to rzeczywistością jeszcze przed premierą systemu Longhorn (szerzej piszemy o tym w artykule: "Internet Explorer - wkrótce nowa wersja?"). Nie wiadomo na razie, czy uaktualnienie polegało będzie na udostępnieniu zupełnie nowej wersji Internet Explorera, czy może na przygotowaniu specjalnego pakietu dodatków do IE.

Nie da się ukryć, iż ruch ten mógłby nieco poprawić wizerunek produktu, którego pozycja na rynku, nie zagrożona do tej pory, jest w ostatnim czasie podkopywana przez konkurencyjne rozwiązania - Firefoksa czy też Operę (o najnowszej wersji przeglądarki Firefox 1.0 piszemy więcej w artykule "Firefox 1.0 - pogromca IE?"). Ostatniego słowa nie powiedział także Netscape - AOL powróciło do prac developerskich i być może już niedługo będziemy świadkami odrodzenia się tej przeglądarki (piszemy o tym więcej w artykule: "AOL: Netscape nam jeszcze pokaże". Netscape będzie próbował wykorzystać sukces przeglądarek Mozilla Foundation. Jak pokazują wyniki naszego pojedynku, większość użytkowników nad Operę przedkłada jednak Firefoksa.

Pakiet dodatków czy nowa wersja?

Czy wprowadzenie dodatków do starej przeglądarki zamiast zupełnie nowej wersji może być sposobem na jej właściwie zabezpieczenie? "Jak pokazał przykład dodatku Service Pack 2, uaktualnienie oprogramowania może w praktyce oznaczać wymienienie wielu bibliotek i dodanie lub wymiana sporej części funkcjonalności" - twierdzi Przemysław Jaroszewski z CERT Polska.

Pozostaje pytanie: Co przede wszystkim należy zmienić w IE, by stała się ona bezpieczniejszą przeglądarką?

Jak tłumaczy dalej Przemysław Jaroszewski: "Podstawowy zarzut w stosunku do Internet Explorera to jego silne zintegrowanie z systemem. Jest to w istocie nie tyle samodzielna aplikacja, co jeden z kluczowych elementów systemu operacyjnego, przez co wykorzystanie błędu w przeglądarce do przejęcia całkowitej kontroli nad maszyną jest dużo łatwiejsze niż w przypadku innych programów. Dlatego też tak wiele błędów uznawanych za krytyczne było wykrywane właśnie w IE. Drugi poważny problem, to standard ActiveX, pozwalający na osadzanie w stronie WWW treści obsługiwanych przez programy wykonywalne (tzw. kontrolki ActiveX) pobierane z zewnątrz. Niestety, łatwość wykorzystania ActiveX do wykonania złośliwego kodu, w połączeniu z wieloma wykrytymi błędami w obsłudze tego standardu przez IE sprawia, że jest on bardziej kłopotliwy niż pożyteczny. Ponadto w praktyce jest to standard natywny dla tej przeglądarki.

Jest to zresztą kolejna zła cecha Explorera - autorzy w czasie najdynamiczniejszego rozwoju tej przeglądarki postanowili wprowadzić szereg własnych mechanizmów i rozszerzeń uznanych standardów. Tymczasem do tej pory nie zaimplementowano poprawnej obsługi wielu tych, które zostały zatwierdzone powszechnie. Jest to może mniej dotkliwe ze względów bezpieczeństwa, ale stanowi poważny kłopot dla twórców serwisów WWW i w konsekwencji jest powodem istnienia swoistej monokultury wśród użytkowników przeglądarek"
- mówi przedstawiciel CERT Polska.

Bezpieczeństwo w IDG.pl
Bezpieczeństwo IDG.plKliknij, aby powiększyćBezpieczeństwo IDG.plWięcej informacji na temat bezpieczeństwa znajdziecie również w zasobach serwisu IDG.pl - Waszej uwadze polecamy sekcję Bezpieczeństwo IDG.pl oraz http://SecurityStandard.pl . Zachęcamy również do wzięcia udziału w spotkaniach na forum z ekspertami, zajmującymi się kwestiami związanymi z bezpieczeństwem: m.in. z Grzegorzem Michałkiem, głównym programistą ArcaBit , Łukaszem Szotem, specjalistą z firmy MKS oraz Piotrem Lewaszkiewiczem z firmy Quantus Technology (dystrybuującej produkty firmy AVG w Polsce).

Aplikacje, które ułatwią wam odpowiednie zabezpieczenie komputera w Sieci (w tym m.in. programy antywirusowe, antyspyware'owe oraz firewalle) znajdziecie w naszym serwisie Pliki.
Tagi: dziury, internet explorer, przegladarki internetowe, microsoft
Ocena:
Twoja ocena:

Komentarze (17)

Operowiec

10-08-2006 00:42

Moim skromnym zdaniem najlepszą przeglądarką jest Opera. Jedyne, co mi w niej brakuje, to dodatek "ad-block", który można doinstalować do Firefoxa, pozwalający na blokowanie wyskakujących okieniek i animacji. W kwestii bezpieczeństwa Opera też zostawia konkurencję w tyle.

__PeTe__

18-03-2006 23:56

Dodam jeszcze ze szybkosc wychodzenia latek w Mirosofcie = ca. 2 miesiace...

Mariusz

22-11-2004 01:58

re Krytyk warto jeszcze pamiętać o tym, że np. Firefox jest udostępniany na zasadach opartych o tzw. "wolne oprogramowanie" lub jak kto woli GNU czyli Powszechną Licencję Publiczną. Masz do dyspozycji kod, a więc możliwości konfiguracji takiego oprogramowania są bardzo duże. Reszta zależy już tylko od Twoich umiejętności. Wątpię w to czy Microsoft będzie stać na taki gest wobec end-user'ów. Mam tutaj na myśli nie duże korporacje, ale zwykłych domowych użytkowników aplikacji. To też przecież stanowi istotny element wpływający na wartościowość oprogramowania jakim się posługujemy, a jeżeli sami wykryjemy dziurę, to równie dobrze możemy napisać "łatkę", która ją zniweluje. Dlatego uważam, że Firefox jest obecnie najlepszą przeglądarką. Poza tym, poczekajmy, bo zanosi się na to, że NetScape już wkrótce odżyje.

bossot

20-11-2004 22:16

re krtytyk tak na oko sądząc to instalka ie zajmuje 10 x wiecej miejsca niz konkurencji wkutek czego ma pare(nasie?) razy wiecej lini kodu i tylez wiecej bugów wiadomo im dluższy kod tym wiecej bugów nawet jak by przyjąc watpliwe zalozenie ze kod ie jest równie dobry jak konkurencji to i tak bedzie duzo wiecej bugów w ie niz w mozilli,firefoxie i operze razem wzietych

KRYTYK

20-11-2004 19:58

Ha ha. A która przegądarka jest bez wad?? IE, Mozila, Firefox czy Opera każda z nich ma dziury jak brama stodoły. Kto wchodzi tam gdzie nie musi obojetnie jaka ma przegądarkę to sam się naraża. Ja lubię "odkrywać" nowe stronki i prawie na każdej moja zapora blokuje dostęp do komputera. Nic na to się nie poradzi. Faktycznie przydałoby się jakieś odświeżenie IE na wersję może 7 z paroma dodatkami i aby rzeczywiście aby była to oddzielna aplikacja niezależna od systemu. Po za tym w kazdej aplikacji będą dziury. Nie ma się czego bać. Zabezpiecz się w inny sposób i płyńmy po necie bo wiatr jest ok :-)

tbm

19-11-2004 13:39

Washington Post: Internet Explorer, you're fired. ZDNet: Dear Internet Explorer: It's over.

Jan Niezbędny

19-11-2004 13:36

No wlasnie. Co do rozmiaru nalezy rowniez zauwazyc dosyc ciekawa rzecz w Mozilli. Przegladarka sama siebie wyswietla, lub jak kto woli renderuje :) Samo gecko zajmuje dosyc znaczna czesc samej Mozilli. Zreszta Mozilla to jednoczesnie platforma programistyczna, jak to ladnie zostalo gdzies okreslone :D

Mumin

19-11-2004 13:26

Przepraszam, może i jestem lajkonikiem, ale czy nowa wersja IE będzie pozbawiona dziur??? Jakoś mi się nie chce w to wierzyć.

Piotr

19-11-2004 08:56

Opera jest na rynku od lat, o Firefoksie mówi się od kilku miesięcy, a FF 1.x jest dostępny od 2 tyg. Ze względu na prostotę obsługi dla _zwykłego_użytkownika_ jako alternatywa dla IE nadaje się tylko FF. Z resztą po statystykach widać, że ma duży potencjał. Może Opera 7.60 coś zmieni, bo mają się wziąć za marketing porządnie. Oby, bo na spadku popularności IE zyskają wszyscy. A co do miejsca zajmowanego na dysku, większość ludzi używa "twardzieli" o pojemości mierzonej w gigabajtach i kilka mega nie ma dla nich kompletnie żadnego znaczenia. PS. Silnik Firefoksa jest popularniejszy niż silnik Opery: Gecko/Presto 5,2%/4,4%. ;-)

Derbeth

19-11-2004 00:03

IDG.pl robi czytelnikom wodę z mózgu! Opery używa w Polsce ponad 4 % użytkowników (wg. badania na ranking.pl) a Firefoxa 2.8%. I co jest realną alternatywą dla IE, hę? Opera jest naprawdę szybka, wyświetla strony poprawnie (jedyne problemy pojawiają się na stronach z gierkami we Flashu - są partacko napisane) i prosta w obsłudze. I zajmuje mniej miejsca na dysku niż Firefox! Oprócz tego przez trzymanie stron w pamięci RAM cofanie się jest natychmiastowe (a w IE zajmuje masę czasu).

Mariusz

18-11-2004 23:48

@Raven- Stallman to ten człowiek z brodą i długimi włosami, który swoim wyglądem przypomina hipisa. Oczywiście na tym stwierdzeniu moja wiedza na jego temat się nie kończy. Na pewno go z nikim nie pomyliłem. Czytałem kiedyś wywiad, który Stallman udzielił przy okazji wizyty w Polsce. O ile dobrze pamiętam, to dość negatywnie wyrażał się o nowych pomysłach UE na regulację spraw patentowych dotyczących oprogramowania. Starał się też promować ideę wolnego oprogramowania. Rozumowanie na zasadzie: ok., coś wymyśliłem, opublikuję to i udostępnię innym jest godne uznania, ale zauważmy jednocześnie, że potęga Microsoftu wyrosła na rozumowaniu, które jest całkowicie odmienne. Chociaż IE to przeglądarka nie najlepsza, to jednak instynkt menedżerski też trzeba cenić. Co do Opery, tak jest to oprogramowanie prawnie zastrzeżone, ale swoją rolę spełnia doskonale. Jeżeli tylko nie przeszkadza Ci banner reklamowy, to możesz korzystać z tej przeglądarki za darmo. Jeżeli chcesz się pozbyć reklam to płacisz 11.49 "zielonych" i po zawodach. Aktualizacje są za darmo no a poza tym, to naprawdę bardzo szybka przeglądarka. U mnie strony na Operze wyświetlają się szybciej niż na Firefoksie czy IE dlatego właśnie korzystam z Opery. To tyle.

^

18-11-2004 22:09

bulzacki: IE=90% rynku przeglądarek i Ciągle spada :P Zajrzyj na ranking.pl

bulzacki

18-11-2004 20:53

IE = 95% rynku przeglądarek. Firefox walczy, Opera walczy, Mozilla odpada, ale IE wygrywa. Pani z biura nie musi się znać. Niech się nie zna na przeglądarce - ma informatyka. Niech się nie zna na drukowaniu - ma informatyka. Niech się nie zna na pakiecie biurowym - ma informatyka. Niech nie wyśle maila - zrobi to informatyk. O jak wygodnie. Pani z biura przyjdzie 10 każdego miesiąca po wypłatę - do tego informatyk nie potrzebny, ona podpisać się umie.

Asen

18-11-2004 19:44

Pani z biura, dzień po zainstalowaniu Firefoxa przyszła do Informatyka i mówi: wniosków kredytowych, które działały w MSIE nie można wysyłać wywalają błedy. Hmmm... Informatyk sprawdza... no tak są błędy w kodzie to wina banku - wpisz ten wniosek w MSIE. 5 godzin później w domu Informatyka, przychodzi do niego siostra i mówi: w firefoxie nie mogę już publikować bloga w http://blog.onet.pl/ Hmmm... Informatyk sprawdza... no tak są błędy w kodzie to wina ONET-u - publikuj w MSIE. 20 minut później przychodzi do Informatyka córeczka: w firefoxie nie mogę ubierać laleczek na stronie: http://www.dianafreedman.com/ Hmmm... informatyk sprawdza... no tak są błędy w kodzie strony, jej właściciel powinien to poprawić, zobacz jaki komunikat wywala: Warning: Non-standard document.all property was used. Use W3C standard document.getElementById() instead. Source File: http://www.dianafreedman.com/girldollmaker.htm Line: 139 Pisałem to już gdzie indziej, zwolennicy Mozilli Firefoxa trzymają sie standartu W3C, Microsoft, który także go podpisał, się go nie trzyma. Jak powiedział mi jeden z Mozillowców: zwykły webmaster grzebie na oślep w kodzie, robi ODŚWIEŻ, w MSIE, a jak mu zaskoczy, to publikuje stronę. A przyjaciółki i córki Informatyka mówią: "jako zwykly szary user, chcę poprostu mieć 'dobrze' działajacą przeglądarkę". Pozostaje nam tylko: Pozwać Microsoft do sądu, o zdobywanie monopolistycznej pozycji na rynku przez promowanie niestanardowego, nieczytelnego dla innych kodu stron www, co skutkuje eliminowaniem konkurencji na rynku przeglądarek, a dla użytkowników ubniżeniem jakości usług. Albo wybrać MSIE.

Piotr

18-11-2004 18:28

@Mariusz Pani z biura nie musi sie na tym znac, to nie jest jej rola. Natomiast firmowy informatyk powinien umiec wybrac. I uwierz mi, jezeli bedzie to FF to pani z biura nawet nie zauwazy roznicy, oprocz paru przydatnych opcji oczywiscie. Waze jest zeby stron ktore sa zle napisane bylo jak najmniej i zeby mozna bylo wybrac i nie byc przywiazanym do IE. Tutaj 20-30% udzial lepszych przegladarek bedzie mial ogromne znaczenie. Zaden sensowny szef nie wysle na drzewo 3 na 10 klientow.

Mariusz

18-11-2004 17:33

Raven: z Balcerowiczem to się tak nie rozpędzaj. Sporo dobrego ten człowiek zrobił dla naszego kraju. Każdy kto ma jakieś pojęcie o ekonomii i potrafi analizować wskaźniki być może przyzna mi rację, o ile stać daną osobę na coś więcej niż tylko populizm. No, ale do rzeczy. Richard Stallman to postać godna szacunku, ale nie można oczekiwać, że nagle gremialnie wszyscy zaczną korzystać z dobrodziejstw Linuksa, Firefoxa czy Opery. Windows i niestety IE, stanowią już pewnego rodzaju standard. Ludzie przeważnie korzystają z Internet Explorera tylko dlatego, że jest zintegrowany z systemem. Bardziej świadomi użytkownicy wnikają w kwestię bezpieczeństwa, ale np. dla takiej typowej pani z biura, temat ten jest bardzo odległy i naprawdę trzeba bardzo dużo czasu, aby coś w tej kwestii się zmieniło. Idea społeczeństwa informatycznego jest słuszna, tylko trzeba pamiętać, iż żyjemy w Polsce. Przed nami więc odległa perspektywa. Na temat dziur w IE nie będę pisał, bo to jest zbyt oczywiste. Dopóki Microsoft nie poprawi swojej przeglądarki będę korzystał z Opery. Tyle.

Raven

18-11-2004 15:17

IE musi odejść. Windows musi odejść. SCO musi odejść. Balcerowicz musi odejść. I co z tego? Czy oni odejdą? Raczej ich do tego nie zmusimy. Jestem zwolennikiem wolnego oprogramowania, ale uważam, że walka z IE/Windows to walka z wiatrakami. A mimo to nadal będę promował GNU/Linuksa i, przede wszystkim, Firefoksa. Nie dam się! Dał nam przykłaad Richard Stallmaan, jak zwyciężaać mamyy! :)

Polecane

Kariera w IT 2012

Kariera w IT 2012
Uczelnie, rynek pracy, rekrutacja, pracodawcy, rozwój zawodowy - czyli wszystko, co chcielibyście wiedzieć o pracy specjalistów IT w Polsce. Piszemy jakie uczelnie wybrać, dlaczego warto studiować informatykę i kierunki techniczne, jak wygląda proces rekrutacji i jak dobrze wypaść przed pracodawcą, opisujemy pracodawców - firmy IT - i możliwe ścieżki kariery.

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »