История безответственности и одной уязвимости

[Veliant]

Пробивают не браузер, а плагины. Порядка 5 разными методами, чтобы наверняка. Java, pdf, swf, ole и прочее.
Вполне логичным было бы запускать браузер в sandbox'е или вообще не выходить в интернет с компьютера, на котором хранится важная информация.
Любой сайт участвующий в какой-либо баннерной сети рано или поздно может начать раздавать эксплоиты.

К слову говоря параметр --no-sandbox для хрома также очень часто используется в банковских троянах, отключая напрочь защиту.

[Veliant]

Могу еще предложить заблокировать запуск исполняемых файлов из папок %TEMP% и %APPDATA%.
При этом правда могут возникнуть проблемы с автоматически обновляющимися программами и запуском файлов из архивов.

[Darksan]

Да, проблему эту так и решаю. Запретил для Оперы запуск любых исполняемых файлов. Страдает, правда, теперь открытие *.pdf, *.torrent и пр.

[OlegusMDH]

Так что за «доблестный антивирус?»

[NoMore]

В моем жизненном опыте, такие антивирусы — McAfee и NOD32. Точно так же, как и у автора в связке Опера+java «в свое время» пропустили вирус и даже не чихнули

[LMaster]

Советую хотя бы раз в 2 недели заходить на сайт www.surfpatrol.ru. С его помощью можно узнать, какие уязвимые плагины установлены в браузере и обновить их (при наличии патча).

[Snowly]

Захожу время от времени что б увидеть в очередной раз «Unfortunately we do not support your browser or platform now» и обещание «Soon».

[Gospodin]

Видел пару машин на которых висел процесс с подобным именем и запускался средствами планировщика задач. Насторожило что на сайтах стал появляться сбоку банер.

[Darksan]

Один из последних троянов, пойманных мною, модицифицировал wininet.dll таким образом, что любой сайт сопровождался баннером с просьбой оплаты через смс. При этом код баннера вставлялся в html-код страницы, полученной через http-сообщение. Фокусы в виде плагинов к браузерам, «пользовательского» js-кода уже, видимо, у мошенников устарели.

[v0s]

Смешно…

Вполне ожидаемо мне ответили, что это проблема Java, браузер работает правильно, и пишите письма в Oracle. В Oracle я уже писать не стал, с моей точки зрения, Java тоже работает правильно. Выполняет код, загружает файлы, запускает программы, на что жаловаться? Проблема заключалась как раз в том, что Opera разрешает Java выполнять неизвестный код от неизвестных источников.

А почему не в Microsoft написали, ведь их ОС разрешает опере выполняться и подгружать java-плагин для обработки java-апплетов

[vyacheslav_ka]

А почему не в Intel(AMD)? Это же все на их процессоре исполняется!

[Darksan]

Chrome или Firefox выводят красивое сообщение о потенциальной опасности запуска Java. Opera — нет. Потому им и написал.

[RommeDeSerieux]

Может быть таки уже пора прекращать принимать такие вещества? Причём здесь опера? Java запускает программы после эксплуатации уязвимости в ней. Никакой браузер не может ограничить функциональность плагина, потому как она может быть нужна пользователю.

[abrwalk]

не понял о чём статья
честно

автор, как можно быть таким _прошаренным_ в плане защиты ос, аутпосты всякие, и т.п.

но при этом не отключать java плагин (он же как красная тряпка) и не использовать click to play, при том что в опере там можно per-host всё настроить, если уж тебе java где-то нужна…

[DSL88]

Я понял о чем говорил автор: хром спрашивает «запустить один раз» или «разрешить»… Опера в тихую скачивает и запускает.

[vyacheslav_ka]

Тогда автору поможет следующее: «Настройки» — «Расширенные» — «Содержимое» — «Включать плагины только по запросу» поставить галочку.

[amarao]

Отключайте автозапуск плагинов. Жизнь становится много комфортнее.

[Darksan]

Основной смысл статьи в уязвимых настройках «по умолчанию». И о безответственности людей, которые это допускают, которые эти настройки не меняют, которые допускают эксплуатацию этих уязвимостей по своей неосторожности, недобросовестности или неопытности.

[mihmig]

Ни разу в жизни не встречал полезного сайта'использующего java. Корпоративный интранет-софт не всчет — там все работает исключительно на осле. Поэтому всегда вичищаю джава-плагины из браузеров.
А то что крайнего. (Опера или оракл)в этой истории не найти — так это большая проблема современности

[egorinsk]

Я искренне удивляюсь людям, которые устанавливая Ява на компьютер, не удаляют ява-плагин. И также удивляюсь людям. кто ставит Adobe Reader с плагином в браузер. Посмотрите на любой сайт по информационной безопасности, посмотрите на самые популярные экйплойты для заражения браузера: Java, Adobe Reader лидируют уже лет 10. Сколько 0-day дырок к ним гуляет в хакерском андерграунде — неизвестно.

Нет, даже разбирающиеся в IT люди радостно ставят себе эти по сути «бекдоры». Люди, вы адекватны? Вам нравится идея подхватить троян, и какой-то школьник будет читать все ваши файлы, личные данные и переписку, и требовать от вас выкуп по СМС?

Хром, в отличие от других браузеров, имеет изоляцию и песочницу, но и в ней есть лазейка. Сколько раз говорили людям, расширения для Хрома могут воровать ваши куки и пароли от вконтакта. Код этих расширений никто не проверяет. Нет, люди все равно их ставят.

Я советую при установке Java физически удалить из каталога программы файл браузерного NPAPI и ActiveX плагинов, так как программно надежно отключить его вроде бы невозможно. Adobe Reader лучше заменить на альтернативные читалки вроде SumatraPDF с опенсурсом внутри.

Единственным островком безопасности, лучиком света и примером правильной инфраструктуры сегодня является закрытые экосистемы вроде Эппл, или ОС для игровых приставок, где пользователи могут скачать и установить только проверенные программы и спокойно посещать любые страницы, не бояться вирусов или троянов, где практикуется подписывание кода, песочницы, шифрование личных данных и прочие меры.

[foxmuldercp]

С последним абзацем не соглашусь — я за последние лет 5 еще не видел ни одного человека, использующего не джейлбрейкнутый айфон. а джейлбрейкнутый айфон — такая же дурная штука, как и андроид — что хочешь, то и ставишь, но то, что ты ставишь котиков на рабочий стол не означает что кроме этого ты не получишь в систему руткит, спаморассыльник, кейлоггер или еще какую-нить фигню, особенно ставя игрушки и программки из непроверенных левых источников, а не аппстора, который проверяется.
Про андроид даже говорить не буду — на моей памяти только 3 человека из тех, кто его используют, реально читают список требуемых разрешений и удивляются, зачем скринсейверу нужна отправка смс (реальный случай из гугль плея)

[RommeDeSerieux]

Я не видел ни одного человека, использующего джейлбрейкнутый айфон.

[foxmuldercp]

Ну как Вам сказать, я отношусь очень странно к людям, покупающим себе айфоны за килобакс и в кредит в реалиях того же Киева, но при этом ездящих в городском транспорте, и ведущих себя в очередях в супермаркете, простите за выражение, как тупое быдло, а не цивилизованные люди, спокойно стоящие в очереди — штук 8 примеров за последний месяц, когда я стоят в очереди на кассу. Но при этом некоторые еще демонстративно трындят в очереди по своему айфончику его демонстрируя всем вокруг и смотря на пользователей андроида и простых телефонов как на отбросы общества типа.
А учитывая общее нежелание платить и желание халявы в реалиях СНГ я не буду говорить за всех, но я знаю только двух человек, которые реально покупали контент в iTunes.
К сожалению несознательность в плане потребления цифрового контента еще очень и очень в наличии.
Я точно так же не могу назвать ни одного пользователя, честно сознательно купившего винду без ноутбука или ОЕМку с десктопом, офис или фотошоп, хотя как системный администратор за весь свой 15 летний стаж возни с машинами лицензионную винду видел только на корпоративных компьюетрах/ноутах

[kaichou]

ради тех десяти случаев в год, когда вам действительно нужны плагины, можно сделать так:



+ назначить горячую клавишу на эту настройку.

[Darksan]

Эх. Ну не обо мне речь. Речь об армаде пользователей Оперы, которые не знают о проблемах с плагинами. Меня-то как раз плагины в ней не беспокоят.