Firefox'un Chrome ve Internet Explorer'dan farklı olarak Düşük Zorunlu Seviyede (Korumalı Mod, Düşük Bütünlük) çalışmadığını fark ettim

Google Chrome:

Microsoft Internet Explorer:

Mozilla Firefox:

Aşağıdaki Microsoft'un talimatlarına , elle kullanarak Düşük Bütünlüğü Moduna Firefox'u zorlayabilirsiniz:

icacls firefox.exe /setintegritylevel Low 

Ancak Firefox, yeterli haklarla çalışmamaya iyi tepki vermiyor:

Tarayıcımın benden daha az hakla çalıştığını bilmenin güvenliğini seviyorum. Firefox'u düşük haklar moduna geçirmenin bir yolu var mı? Mozilla bazen "korumalı mod" eklemeyi planlıyor mu? Birisi Firefox'un düşük haklar modunu işlememesi için bir çözüm buldu mu?

Güncelleme

Bir itibaren Mike Schroepfer ile Temmuz 2007 mülakat , Mozilla Vakfı Mühendislik Başkan Yardımcısı:

... ayrıca savunmaya derinlemesine inanıyoruz ve gelecekteki sürümlerde güvenliği artırmak için korumalı modu ve diğer birçok tekniği araştırıyoruz.

Üç yıl sonra bir öncelik gibi görünmüyor.

Güncelleme

• 2013/09/28
• 5 yıl sonra
• Firefox 24.0
• hala korumalı modu desteklemiyor

Maalesef şu anda Firefox'u Korumalı Mod'da çalıştırmanın bir yolu yok.

64 bit Windows kullanmıyorsanız, Sandboxie'yi kullanarak benzer bir şey elde edebilirsiniz .

Firefox'u aşağıdaki komutları kullanarak düşük bütünlük modunda çalıştırabilirsiniz:

icacls "C:\Program Files\Mozilla Firefox\Firefox.exe" /setintegritylevel low
icacls "C:\Program Files\Mozilla Firefox" /setintegritylevel(oi)(ci) low /t

icacls "C:\Users\*username*\AppData\Local\Temp" /setintegritylevel(oi)(ci) low /t
icacls "C:\Users\*username*\AppData\Local\Mozilla" /setintegritylevel(oi)(ci) low /t
icacls "C:\Users\*username*\AppData\Roaming\Mozilla" /setintegritylevel(oi)(ci) low /t
icacls "C:\Users\*username*\Downloads" /setintegritylevel(oi)(ci) low /t

Kullanıcı adını özelleştirerek sisteminizdeki her kullanıcı için ikinci grubu çalıştırmanız gerektiğini , aksi takdirde "Firefox zaten çalışıyor" mesaj kutusunu alacaklarını unutmayın.

Ancak bu kurulum aşağıdaki tuhaflıklara neden olur:

1. Profil yöneticisi doğru davranmayabilir.
2. Firefox'u her başlattığınızda bir güvenlik uyarısı alırsınız.
3. İndirmeler yalnızca düşük bütünlüklü dizinlere yerleştirilebilir (dolayısıyla Yüklemeler yukarıda düşük bütünlük olarak işaretlenir).
4. İndirme işlemlerini doğrudan Firefox'tan açmak genellikle başarısız olur.

Ian, korumalı modun nasıl çalıştığını anlamıyorsun. Simon Capewell'in çözümü, Firefox'un güvenliğini artırmanın geçerli bir yoludur. Örneğin, çözümünün bir şekilde düşük bütünlük düzeyinin korunmasının tamamını devre dışı bıraktığını iddia etmek tamamen yanlıştır. Chrome ve IE, indirilenler korumalı IE modunda bile indirme klasörüne yazılırken aynı yöntemleri kullanır. Aksi takdirde hiçbir şey indiremezsiniz. IE, bir tür sargı kullanabilmesine rağmen, ana işlemi Chrome'un yaptığı gibi ek güvenlik için güvenilir olmayan verileri işleyenlerden izole etse de, bu yukarıda açıklanan yöntemlerde olduğu gibi tartışmalıdır, Firefox'un tüm bileşenleri sisteme müdahale etmekten izole edilmiştir. Oysa Chrome'da ana işlem Orta bütünlükte ve oluşturma işlemleri Düşük bütünlükte çalışır.

Firefox'u bu şekilde yapılandırmak Windows ve Program Dosyalarını modifikasyondan korur, böylece Firefox'u makinenizin geri kalanından izole eder. Örneğin, Firefox'un kötü amaçlı yazılımları Başlangıç ​​klasörünüze bırakması veya başlangıçta indirilenler klasörünüze (firefox'un yazmasına izin verilir) bırakılan kötü amaçlı yazılımları otomatik olarak başlatan bir kayıt defteri girdisi eklemesi engellenir. Ayrıca, Firefox'un düşük bütünlük düzeyi olarak çalıştırılması, bu işlemin güvenlik bağlamında kod çalıştırmak için uzak bir işlemde bir iş parçacığı oluşturma gibi yöntemlerle uygulanan ACL'leri atlamaya çalışan Firefox'a karşı koruma sağlar. Firefox'un dosyaları Geçici Klasörlere ve muhtemelen Chrome ve IE gibi yürütülebilir dosyalara bırakmasına izin verilir. Bu nedenle, bütünlük düzeyleri SRP veya AppLocker ile birleştirilmelidir, Firefox'un yazmasına izin verilen dizinlere düşen herhangi bir yürütülebilir dosyanın yürütülmesini önlemek için. Bu gereksinim IE ve Chrome'da da mevcuttur.

Tamamlandığında, Firefox sürücü indirme işlemlerine karşı sertleştirilecek ve Korumalı Mod IE'nin SRP veya Applocker ile birleştirilmediğinde yeterli koruma sağlamadığı için IE'den daha fazla korunacaktır. Hiçbir şekilde Firefox'un Korumalı Mod Chrome ve Korumalı Mod IE'nin yapmasına izin verilenlerden farklı olan kendi dizinine ve geçici klasörlerine yazmasına izin vermiyor.

Bu çözümden tek tuzak: Çalıştırılabilir dosyaları daha sonra çalıştırdığım İndirilenler klasörümde bırakma alışkanlığım var. Firefox indirildikten sonra istismar edilirse bu yürütülebilir dosyalar kurcalanabilir. Bu nedenle, bir dosyayı indirdikten sonra İndirilenler klasörünün dışına taşıyın. Ayrıca, izin verilen geçici klasördeki geçici bir dosyayı değiştirmek için Firefox'ta bir güvenlik açığından yararlanma riski çok düşüktür; bu, daha sonra bu geçici dosyayı kullandığında daha yüksek bir bütünlük düzeyinde işlemdeki bir güvenlik açığından yararlanır. Ancak, bu asla olmayacak ve sadece teorik bir zayıflıktır.

İlave okumalar / Kaynaklar:

Windows 7 SRP (AppLocker'ınız olmasa da Home Premium'da çalışır):

http://www.wilderssecurity.com/showthread.php?t=262686

Bütünlük Seviyeleri:

http://www.symantec.com/connect/articles/introduction-windows-integrity-control

Korumalı Mod IE:

http://msdn.microsoft.com/en-us/library/bb250462(VS.85).aspx

"Drive-by Downloads" ile İlgili Temel Bilgiler:

http://www.wilderssecurity.com/showthread.php?t=241732

Windows Korumalı Alan'da Chrome'un ayrıntıları (yalnızca bütünlük düzeylerinden daha fazlası):

http://www.chromium.org/developers/design-documents/sandbox

Düşük bütünlük düzeyi işlemiyle yürütülen işlemler düşük bütünlük düzeyini kendileri miras aldığından SRP gerekli değildir. Ancak, başka bir koruma katmanıdır ve bu nedenle hala iyi bir fikirdir!