Уязвим ли ваш браузер?

[БелыйКлык]

Что такое вредоносный флэш-контент? »
"Флешки", которые так или иначе вредят пользователю (Взять хотя бы банальную флеш рекламу, которая может понаоткрывать кучу левых окон с порносайтами), http://www.inattack.ru/article/270.html и т.д.
И как выборочное включение флэш-объектов защищает от его запуска? »
Неужели я так плохо объясняю? (((
Выборочное ВКЛЮЧЕНИЕ позволяет не ЗАЩИТИТЬСЯ, а запускать только заведомо безопасные объекты (например ролики на ютубе), а защищает БЛОКИРОВКА всего остального.

[ferget]

Пожалуйста, выскажитесь по теме - ответьте на вопросы, которые я задаю в конце статьи (ссылка в шапке). »
А вы читаете эту статью в самой последней версии браузера? - Да
Как быстро вы устанавливаете обновления и новые версии после их выхода?- сразу же как увижу

а ваш сарказм неуместен

[Stabilo1838]

Невозможно обсуждать вопросы безопасности браузера, не упоминая антивирусную защиту и другие аспекты Лично себе я редко обновляю браузер, в котором работаю, т к без надомности, а юзерам все самые последния обновления ставлю (не зря же их выпускают ;) )
бо если человек установил плагин, он считает его нужным »
или плагин установился "на автомате" с непонятным софтомТ.е. если я бы рекомендовал KAV, это было бы нейтрально »
если бы вы рекомендовали бесплатный продукт, то было бы нейтрально; не имею такого огромного опыта как вы, но надоело оправдываться перед юзерами (конечно у них руки кривые, но для многих антивирус это панацея) за мелкомягких за их антивирь, который как решето дырявый

[Vadikan]

БелыйКлык, ну так и без XSS можно повесить баннер, который при любом щелчке на него (даже на [x]) откроет другой стайт. Да и сам XSS возможен и без флэша. А есть более актуальные статьи такой же степени детализации, а то материалу по ссылке уже 6 лет?
Неужели я так плохо объясняю? ((( »
Видите, как трудно писать простым и понятным языком о безопасности :) Теперь ваша мысль понятна, спасибо.

ferget, спасибо за ответы. А насчет сарказма... за порядком следят модераторы и администраторы, это в правилах написано.

Stabilo1838, кстати, хорошее замечание про плагины, устанавливаемые с другим софтом! Но тут проблема в том, что если человек устанавливает плагин на автомате, то как он потом узнает, нужен он ему или нет? Да, я неоднократно видел людей с двумя-тремя тулбарами, они ими не пользуются, но если отправить их в список надстроек, они не разберутся. Т.е. вопрос в том, как сформулировать рекомендацию. "Отключите ненужные плагины" - это слабая формулировка.

Что касается второй части вашего поста, то MSE бесплатен. В остальном, когда вы рекомендуете антивирус человеку, вы должны учитывать уровень его компьютерной грамотности и общую защищенность системы. Если ваши подопечные не умеют думать, им нужно закручивать гайки по всем направлениям, т.е. ставить комплексную защиту.

И еще, вам нужно прочесть пункт 3.1. правил нашей конференции. Когда я увижу исправление в вашем посте, это будет для меня сигналом, что вы прочли пункт правил, и с вами стоит продолжать разговор.

[БелыйКлык]

ну так и без XSS можно повесить баннер, который при любом щелчке на него (даже на [x]) откроет другой стайт. »
И это делает такие баннеры менее опасными?
Да и сам XSS возможен и без флэша. »
А я и не называл FlashBlock панацеей =\ Но согласитесь, что даже защита хотя бы от части XSS атак уже плюс?
А есть более актуальные статьи такой же степени детализации, а то материалу по ссылке уже 6 лет? »
Вы вроде бы как просили пояснить что я подразумеваю под "вредоносным флеш-контентом", а не искать текущие уязвимости Flash.

Т.е. вопрос в том, как сформулировать рекомендацию. »
Объяснить какой плагин для чего нужен, и что для просмотра флеш-роликов достаточно одного только FlashPlayer'a. Впрочем в 95% процентах случаев достаточно только второго пояснения.

[Stabilo1838]

И еще, вам нужно прочесть пункт 3.1. правил нашей конференции. »
сори, шефф =)
Что касается второй части вашего поста, то MSE бесплатен. »
склонен думать, что потребитель, покупая лицензионную ОС Windows, платит и за бесплатный антивирус MSE.
Т.е. вопрос в том, как сформулировать рекомендацию. »
не уверен я в том, что тулбары несут ключевую роль в заражении компьютеров юзеров, точнее думаю что угроза от них минимальна, только глаза мозолят и производительность немного снижают. Отсюда и рекомендации туманны, врятли юзер будет гуглить каждую надстройку браузера и ломать голову о ее необходимости
им нужно закручивать гайки по всем направлениям »
опять довольно спорный, на мой взгляд, момент... Меня допустим не устраивает отвечать на неумные вопросы о том, как юзер может установить игру для любимого сыночка из под пользовательской учетной записи, хотя я не один раз объяснял как это сделать....
Что касается "Флешки", которые так или иначе вредят пользователю »
Никто не спорит, что в плане безопасности отключение флэш сказывается благоприятно, но не для среднестатистического юзера, который даже после нескольких показов не может воспроизвести видео на любимом youtube
Я немного сгустил краски, но уверен, что каждый с этим сталкивался, поэтому об однозначной пользе "жестких тисков" я бы не стал говорить

[Vadikan]

И это делает такие баннеры менее опасными? »
Дело ж не в этом. Ну открылся у вас другой сайт - это плохо с точки зрения опыта веб-серфинга, но не с точки зрения безопасности. Поэтому и нужно обновлять браузер и плагины, чтобы XSS не использовался для эксплуатации их уязвимостей.

А я и не называл FlashBlock панацеей =\ Но согласитесь, что даже защита хотя бы от части XSS атак уже плюс? »
Отчасти, см. выше. Конечно, я не могу не согласиться с тем, что работа браузера без надстройки теоретически безопаснее, чем с ней :) Но, скорее, FlashBlock доставляет преимущества в плане user experience, но также и недостатки, на что справедливо указывает Stabilo1838.

Да, я просил пояснить про флеш-контент, но раз вы уж защищаетесь от XSS с помощью FlashBlock, я хотел расширить свой кругозор в этом вопросе на актуальных материалах.

Объяснить какой плагин для чего нужен, и что для просмотра флеш-роликов достаточно одного только FlashPlayer'a. Впрочем в 95% процентах случаев достаточно только второго пояснения. »
Изначально-то вы предложили дать рекомендацию в статье, и я рассматриваю это с такой точки зрения, а не в контексте индивидуального общения с пользователем. Тем более, что даже такие объяснения могут вызвать затруднения у человека - проще уж самому отключить.

Так что вопрос о формулировке остается открытым. Кстати, не проще ли в этом случае сконцентрироваться на обеспечении актуальности браузера и плагинов? :)

Stabilo1838, да, пользователь платит, и за компьютер с предустановленной ОС тоже платит. Но он уже заплатил, следовательно MSE становится бесплатным. Да и потом, вы предлагаете мне рекламировать другой бесплатный продукт - я ничего не хочу рекламировать, тем более то, чем я не пользуюсь.

Я и не говорю, что тулбары несут деструктивные функции, и на предыдущей странице уже сказал, что наличие плагина не означает автоматической опасности. Просто привел пример ненужного плагина.

Что же касается комплексной защиты, в любом случае, она не должна мешать установке программ. А вот их установка из-под обычного пользователя затруднительна. Это уже довольно экстремальный пример закручивания гаек. Я предпочитаю админский аккаунт с UAC (http://www.outsidethebox.ms/10034/#admin_or_user).

А теперь к вам у меня вопрос. Лично себе я редко обновляю браузер, в котором работаю, т к без надомности »
Почему?

[pankraty]

Далек я от этого всего, не понимаю о чем речь идет.Попробую браузер с пониженными привилегиями запускать через DropMyRights, проползают как-то в System Volume Information вредители,может это и поможет.

[Vadikan]

pankraty, если у вас с Opera 11 и KIS случаются заражения, надо думать, что вы сами устанавливаете вредоносный софт. Потому что вас обманывают - это фишинг. Вам бы хорошо помог IE9, там хороший антифишинговый фильтр, но для этого надо обновить ОС до Windows 7. А IE8 вы вряд ли захотите после Opera, по скорости не устроит :)

[БелыйКлык]

Вам бы хорошо помог IE9, там хороший антифишинговый фильтр »
И в opera есть антифишингофвый фильтр, и в firefox, и в google chrome и в остальных нормальны браузерах, причём не только под единственную ОС и уже довольно давно он там есть =\
Зачем заострять внимание на то, что давно стало обыденностью? Вы бы ещё похвастались появившемся в IE9 менеджере загрузок :)
Кстати, не проще ли в этом случае сконцентрироваться на обеспечении актуальности браузера и плагинов? »
А ещё проще и антивирь отключить, чтобы не потреблял ресурсы и не мешал открывать скаченные файлы =\
Обновление, конечно, важно, да только сколько Flash-Player не обновляется в сети постоянно появляются статьи "найдена очередная уязвимость Adobe Flash Player", так что может быть ПРОСТО обновлений недостаточно?

[Stabilo1838]

Почему? »
пользуюсь firefox или chrome, не вижу смысла; конечно понимаю, что заплатки в дырах этих браузеров, обновление flash playera, но я давно работаю и под UAC и под пользовательской учеткой, т к в основном ноутбук и комп использую для серфинга и никакой софт не ставлю, а если и ставлю то перезайти под админом МНЕ труда не составляет (привычка еще с ХР осталась, где не было контроля учетных записей, который, кстати, тоже панацеей не является) В firefox давно стоит NoScript и Adblock Plus, настроенные под меня. Ну а дальше срабатывает принцип от добра добра не ищут, Все это дело работает под присмотром KJS 2011 (прожорливый в плане ресурсов компьютера, ну а что поделать) и Avast на ноутбуке
Что же касается комплексной защиты, в любом случае, она не должна мешать установке программ. »
и как же это под ХР реализовать?

[Vadikan]

БелыйКлык,

Вы напрасно во всем видите руку Майкрософт и проецируете недовольство продуктами этой компании на меня. У вас прямо аллергия на любые советы, связанные с их использованием. Я свои высказывания стараюсь аргументировать. Если вы видите недостаток аргументации, так и говорите. И свои высказывания тоже подтверждайте, я все еще жду ответ на первый вопрос в 16 (http://forum.oszone.net/post-1676127-16.html).

1. Я не хвастаюсь фичами IE9, я о них рассказываю. Равно как и о фичах других программных продуктов.

2. И в Амкаре, и в Барселоне на поле выходят по 11 игроков, но побеждает только Барселона. Рассказ о работе антифишинговых фильтров и их эффективности будет в блоге на следующей неделе, поэтому я не буду распыляться на форум.

3. От разглашения уязвимости до ее эксплуатации злоумышленниками проходит время, за которое, как правило, разработчики устраняют проблему. Поэтому важно своевременно обновлять все уязвимые продукты - это такое же базовое правило безопасности, как 2х2=4. Я понял вашу рекомендацию по поводу использования FlashBlock. Если у вас есть еще какие-то, сформулируйте их для печати.

Размышления об отключении антивируса - это исключительно ваши слова, я ничего подобного не говорил.

Stabilo1838, понятно, вы предпочитаете работать в браузере с уязвимостями из принципа. И при этом работаете с ограниченными правами, нагрузив сверху KIS.

Во-первых, это несбалансированный подход к защите, которая должна состоять из нескольких линий. Во-вторых, ограниченные права спасают от нарушения работы системы или потери контроля над ней, но не от кражи персональных данных или скрытой работы троянов.

Да, вы надеетесь, что KIS отловит зловредов, но это все равно, что держать нараспашку дверь квартиры и дорого (в плане денежных и системных ресурсов) платить при этом вооруженному охраннику, сидящему внутри. Дверь нужно держать на замке, т.е. обновлять браузер. А уж сколько вы при этом потратите на охрану, дело ваше. Но одно другого не отменяет.

При этом другим-то вы советуете "все как надо". Но как можно советовать то, чего не делаешь сам?

Под ХР тоже есть средства комплексной защиты - тот же KIS. А вот полноценно работать с обычными правами в ХР намного труднее, чем в 7.

[Stabilo1838]

с уязвимостями из принципа »
в чем-то вы правы... я не утверждаю, что браузер не надо обновлять, я говорю за себя, что у меня и без обновления все олично работает
дорого (в плане денежных и системных ресурсов) »
за лицензионный ключ я плачу не из своего кармана
Но как можно советовать то, чего не делаешь сам? »
теоретически я это понимаю, знаю что уровень понимания как обеспечить безопасность компьютера разная, поэтому и рекомендую обновлять, можно провести аналогия с ОС... себе, допустим, я могу поставить оригинальный дистрибутив ХР, ввести левый ключ и ставить обновления на эту ОС с внешнего HDD, но пользователю я этого никогда не посоветую, т к он этого делать не будет.

[pankraty]

если у вас с Opera 11 и KIS »
Самый обычный Касперский,без наворотов.для этого надо обновить ОС до Windows 7 »
Вряд ли это получится, если была XP и станет 7,скорее всего это будет нарушением правил Касперского.Хотя я точно не знаю,читал что в течения действия лицензии можно до 100 раз антивирус переустанавливать,а вот можно ли при этом системы менять это вопрос.

[ferget]

Хотя я точно не знаю »
так если у вас лицензия обратитесь в техподдержку

[БелыйКлык]

Вы напрасно во всем видите руку Майкрософт и проецируете недовольство продуктами этой компании на меня. У вас прямо аллергия на любые советы, связанные с их использованием. »
Нуууу скорее я просто нахожу эту беседу весьма занимательной, попутно узнавая что же такого находят пользователи в этих программах такого особого (всётаки ваши ответы отличаются от банального "не хочу ставить другого").
я все еще жду ответ на первый вопрос в 16. »
Я не хакер и не считаю себя им.
Я не хвастаюсь фичами IE9, я о них рассказываю. Равно как и о фичах других программных продуктов. »
Ну что ж... а у меня интерфейс графический на линуксе )))
И в Амкаре, и в Барселоне на поле выходят по 11 игроков, но побеждает только Барселона »
Ээээээ... к чему это и что это такое вообще?
Размышления об отключении антивируса - это исключительно ваши слова, я ничего подобного не говорил. »
Это был сарказм =\
но это все равно, что держать нараспашку дверь квартиры и дорого (в плане денежных и системных ресурсов) платить при этом вооруженному охраннику, сидящему внутри. Дверь нужно держать на замке, »
Вы только что прекрасно описали мою идею с отключением ненужных плагинов, которая вам так не понравилась :)

[pankraty]

так если у вас лицензия обратитесь в техподдержку »

Не к чему обращаться,моя версия не поддерживает Windows7.

[Vadikan]

БелыйКлык, с Барселоной - это была метафора. Команд много, играть не все умеют, т.е. не всякая антифишинговая защита одинаково полезна.

Вы только что прекрасно описали мою идею с отключением ненужных плагинов, которая вам так не понравилась »
Я не говорил, что идея мне не понравилась. Я считал формулировку скудной, требующей развернутого объяснения. И вы передергиваете. Я это сказал в контексте работы с браузером, имеющим уязвимости.

Нуууу скорее я просто нахожу эту беседу весьма занимательной, попутно узнавая что же такого находят пользователи в этих программах такого особого »
Знаете, меня не слишком привлекает роль вашего персонального клоуна :) Поскольку дискуссия свелась к игре слов, я выхожу из нее до появления интересных вопросов или тем для разговора.

[ferget]

Не к чему обращаться,моя версия не поддерживает Windows7. »

вроде читал на их форуме, что оплаченный ключ, можно использовать при смене версий

[pankraty]

Все можно,только у меня так такого объема трафика чтобы выкачивать нужные дистрибутивы,а
потом и первичные обновления к ним. :sorry:.