[NEWS] Internet Explorer 8 e Difese per ActiveX

[c.m.g]

8 maggio 2008 alle 15.00 di netquik



Sul blog ufficiale del team che lavora su Internet Explorer, Matt Crowley, Program Manager per l'Extensibility di IE, ha pubblicato un secondo intervento dedicato alle funzionalità di sicurezza che saranno intergrate in Internet Explorer 8, la nuova versione del browser attualmente in Beta 1 pubblica. Microsoft ha voluto descrivere i miglioramenti apportati nelle funzionalità ActiveX in IE8, ricapitolando quelli che sono stati i potenziamenti di protezione ActiveX-related già integrati nelle versioni precedenti del popolare browser. Precedentemente il team IE aveva già descritto "IE8 Data Execution Prevention (DEP)", una funzione destinata a mitigare le vulnerabilità browser-based.

Feliciano Intini, Chief Security Advisor di Microsoft Italia, commenta: "Gli ActiveX hanno da sempre rappresentato una sorta di tallone di Achille per Internet Explorer per un motivo molto semplice: di fatto esprimono l'eterno, delicato, equilibrio da raggiungere tra ricchezza di funzionalità ed esigenze di maggiore sicurezza ... d'altra parte incorporare nel tuo sistema un componente sviluppato da una parte terza su cui Microsoft non può effettuare un controllo di qualità non è il massimo dal punto di vista della sicurezza...

Quando ci si è accorti che la rischiosità di questo modello era diventata elevata a causa degli attacchi che indirizzavano gli ActiveX scritti male (ossia non scritti secondo le best practice di secure coding) … l'unico percorso possibile è stato quello di avviare un irrobustimento del modello per contrastare via via le tipologie di minacce che si sono osservate, bilanciando sempre il guadagno in termini di protezione rispetto all'inevitabile impatto sulle applicazioni terze che rischiavano di non funzionare più. Il passo più deciso in questa direzione è avvenuto con i miglioramenti di sicurezza di IE6 nel Service Pack 2 di Windows XP, e i ritorni positivi di quella esperienza hanno alimentato i miglioramenti di IE 7, per giungere ora a queste nuove funzionalità in IE8".


Alcune delle novità che saranno integrate in Internet Explorer 8: Per-User (Non-Admin) ActiveX. Eseguendo IE8 in Windows Vista, un utente standard può installare controlli ActiveX nel proprio profilo utente senza necessità di privilegi amministrativi. Se un utente installa un controllo ActiveX nocivo, il sistema non ne sarà affetto globalmente, dato che il controllo è stato installato solo sotto l'account dell'utente. Il rischio ed il costo della compromissione (e quindi il costo totale di amministrazione degli utenti su una macchina) risulteranno significativamente inferiori. "Per-User ActiveX" è stato studiato con in mente la compatibilità e la maggior parte dei controlli ActiveX non dovranno essere riscritti per beneficiare di questa funzione; l'unica modifica sarà il repackaging. Tramite la Information Bar si potrà scegliere se installare il controllo per l'account utente loggato o su l'intera macchina. Maggiori informazioni su Per-User ActiveX sono disponibili nell'articilo Non-Admin ActiveX Controls sui Whitepaper MSDN di IE8 Beta 1.

Per-Site ActiveX. Quando un utente naviga su un sito Web che include un controllo ActiveX, IE8 esegue una serie di verifiche, e determina dove un controllo ha il permesso di eseguirsi. Questa verifica, a cui ci si riferisce come Per-Site ActiveX, è un meccanismo di difesa che aiuta ad impedire il repurposing nocivo dei controlli. Se un controllo è installato, ma non gli è consentito di eseguirsi su un sito specifico, viene mostrata la Information Bar che chiede all'utente se il controllo deve essere autorizzato sul sito web corrente. Gli utenti possono scegliere se autorizzare il controllo per un sito specifico o per tutti di siti Web. Utilizzando i Criteri di Gruppo i professioni IT possono anche scegliere di pre-impostare controlli permessi e domini associati. Maggiori informazioni sono disponibili su MSDN. Enforcing Per-Site con ATL SiteLock Technology. Se un controllo ActiveX è progettato per essere utilizzato solo su un sito Web, bloccarlo sul dominio di quel sito renderà più difficile per altri siti il repurposing malevolo dello stesso. Maggiori informazioni sono disponibili nell'articolo: Developing Safer ActiveX Controls Using the Sitelock Template.

link per approfondimenti:

Report @ IE Blog
Commento di Intini


Fonti: Varie via Tweakness

[c.m.g]

ripreso da punto informatico:

http://punto-informatico.it/2282816/...ctiveX-/p.aspx