أمن المتصفحات

مقدمة:

متصفح الانترنت هو برنامج يقوم "بتصفح" مواقع الانترنت و إظهار محتويات صفحاتها وفق المعايير القياسية الموجودة .تتميز المحتويات المعروضة بكثرتها و تعددها (vbScript,pdf,plash,mathml,SMIL,mpeg… و العديد)

في غالب الأحيان يجب الاستعانة بـإضافات Plugins للتمكن من إظهار هذه المحتويات و التي قد تضيف بعضا من نقاط ضعفها إلى مجموع نقاط ضعف المتصفح

ضرورة و سهولة استعمال المتصفحات و انتشارها الواسع على العديد من الأجهزة (PC PDA و أجهزة الهاتف) جعلها وجهة مفضلة للـ hackers و الأشخاص الذين يريدون إلحاق الأذى بالمستعملين

أنواع التهديدات:

قد يشكل المتصفح للمستخدم إحدى صور التهديدات التالية:

تحليل تصرفات و نمط المستخدم و استعمال ذلك لأغراض تجارية

سرقة المعلومات و الملفات

إيهام المستخدم بأنه يستعمل مواقع موثوق فيها Phishing

توقف جهاز المستخدم بسبب Bug في المتصفح

أقسام المتصفح

يتكون المتصفح من عدة أجزاء تقوم بوظائف معينة أهمها

مفسر الـ URL

مفسر HTML

مفسر لغات السكربت مثل الـ javaScript و الـ VBScript

بيئة تشغيل للبرامج Applet Java, ActiveX, plug-ins

Toolbar

*مفسر لغة HTML

يقوم مفسر كود الـ HTML/CSS ببناء الصفحة وفقا لأوامر العرض و التنسيق الموجودة في ملف HTML و العناصر المرفقة معها (frame أو صور ...)

الاستقرار الذي تتمتع به المعايير HTML, XHTML, WAP, CSS يمنع وجود أية أخطاء و ثغرات أمنية ناتجة عنها .بل الخطأ الوحيد الذي يمكن ملاحظته هو الخطأ الناتج عن تفسير خاطئ لبعض الأوامر الخاص بطريقة العرض فقط.

*مفسر لغات السكربت

يمكن هذا المفسر بتشغيل برامج صغيرة على جهاز المستخدم تسمح بإضافة بعض الديناميكية و التفاعل على صفحات الويب المكتوبة بالـ html فقط

أشهر لغات السكربت المستعملة و أكثرها انتشارا هي JavaScript و التي تتميز بكونها مفهومة من طرف أغلب المتصفحات IE, Firefox, Mozilla, Opera, Safari… عكس الـ VBScript الخاص بالـ Internet Explorer

استعمال هذه اللغات تزيد من مستوى تعقيد المتصفحات مما يخلق بيئة ملائمة لظهور كم لا بأس به من الـ Bugs

إضافة إلى إمكانية تنفيذ أوامر غير المسموح بها باستغلال بعض ثغرات المتصفح المتعددة كالولوج إلى الأقراص مما قد يسبب في سرقة و ضياع البيانات و الملفات.

بدون أن ننسى إمكانية توقف النظام كلية بسبب خطأ في كتابة سكربت معين أو الدخول السكربت في حلقة تكرارية لا متناهيية

	 <script langage="javascript">
   <!--
   var i = 0;
   while(i < 10) {
	   document.white('toto<BR>');
	   // نسيان إضافة 1 في كل مرة
   }
   -->
   </script>

*مفسر الـ URL

الـ url عبارة عن مسار للوصول إلى مصدر من مصادر المعلومة على شبكة الانترنت

مثال:

http://cyberzoide.developpez.com/graphviz/article/index.php?param=valeur&id=50#LIII

ينقسم الـ url إلى عدة أقسام:

البروتوكول المستعمل (http,ftp…)

الخادمServer (الـ domain أو IP )

مسار الملف

اسم الملف

الـ parameters

الجزء من الصفحة المحدد بـ #

و معلومات أخرى (اسم المستخدم كلمة المرور الـ port المستعمل ...)

توجد حيلتان قد يستعملهما الـHacker لإلحاق الضرر بـالمستخدم

- استعمال URL خاطئ يحتوي على اسم موقع يثق فيه المستخدم

- استغلال خطأ لدى تفسير الـ url لتحويل المتصفح إلى صفحة أخرى

*الـ url الخاطئ phishing

مثلا قد يألف المستخدم استعمال موقع بنكه الخاص وليكن مثلا

http://www.mabanquedeconfiance.fr)

قد يستعمل الـ Hacker أسماء مشابهة مثل

• http://www.mabanquedeconfiance.fr.banquefalsifiee.com/
  
• http://www.mabanquedeconfiance.fr:id=5454@www.banquefalsifiee.com/
  
• http://www.mabanquedeconfiance.fr%00@214.15.29.172
  
• http://www.mabank-de-confiance.com
  

حيث أن الظاهر في العنوان هو عنوان البنك المعتاد لكن هو غير ذلك

وما يزيد الطين بلة هو استخدام نفس تصميم صفحات البنك الأصلي لإيهام المستخدم و لجعله يقوم بكتابة معلوماته الشخصية مما قد يسبب له فقدان أمواله.

و الحل الأمثل لمثل هذه الحالات هو تجنب اتباع الروابط المرسلة عن طريق البريد الالكتروني و استعمال عنوان الموقع المسلم لك على هيئة روقة مطبوعة لدى تسجيلك في البنك .

*أخطاء تفسير الـ URL

قد يتسبب الـ URL الطويلة أو التي تحتوي على رموز خاصة خطأ لدى تفسير العنوان مما قد يسبب أخطاء في طريقة العرض أو قد يتم استغلال ذلك لتحويل مسار المتصفح إلى عنوان آخر

*الـ Plugins

الـ Plugins عبارة عن برامج صغيرة تضاف إلى المتصفحات قصد إثرائها و تمكينها من وظائف إضافية مثل فتح أنواع أخرى من الملفات أو تشغيل نوع جيد من ملفات الفيديو أو ملفات الصوت

يمكن إضافة هذه البرامج إما إلى المتصفح مباشرة أو إلى نظام التشغيل

- هناك عدة أنواع من الـ plugins

Java applets

عبارة عن برامج جافا منشورة على الويب تشغل في بيئة خاصة بذلك تسمى (Java Virtuel Machine) JVM

توفر هذه الـ JVM نظاما لا يمكن استغلاله للوصول إلى محتويات الأقراص أو الوصول إلى معلومات شخصية لهذا فإن لا يمكن أبدا استعمالها من طرق مصممي المواقع للضرر بالمستخدمين

كما أنه من بين أسباب أمن الـ Java applets امتلاكها إلى توقيع الكتروني يحدد هوية الناشر مما يترك الخيار للمستخدم حيال استخدام أو عدم استخدام البرنامج.

ActiveX

تعتبر الـ ActiveX أيضا برامج مستقلة يتم تشغيلها في جهاز المستخدم .

عكس JVM لا توجد موانع أو حدود للموارد التي يمكن للـ ActiveX الوصول إليها

يطلب المتصفح عادة من المستخدم إن كان يريد استعمال الـ Activex (في حال ما إذا "ظنه" آمنا") لكن هذه الخطوة لا تجد نفعا مع المستخدمين المبتدئين.

يملك الـ ActiveX أيضا توقيعا الكترونيا يحدد هيئة الناشر

قارئ متعدد الوسائط Multimédia

يستطيع المتصفح قراءة محتوى العديد من أنواع الملفات : بداية بـصفحات HTML و أوراق التنسيق CSS

و صفحات الـ WAP مرورا بالعديد من أنواع الصور مثل GIF JPEG PNG وصولا إلى ملفات الصوت WAV و MID

لكن يحتوي الويب على العديد من أنواع الملفات التي يعجز المتصفح عن قراءتها فتجده يستعين ببرامج متخصصة في كل نوع من الملفات

الـ Tools Bars

تتوفر في أغلب متصفحاتها ToolBars مختلفة تقوم بمهام مختلفة لكن نجهل مصدر أغلبها طريق استعمالها

و بما أن الـ toolbar يشتغل منذ اللحظة الأول لتشغيل المتصفح فإنه بإمكانه و بكل سهولة معرفة جميع المواقع التي تقوم بزيارتها و الكلمات التي تبحث عنها فضلا عن معرفة الرسائل المرسلة و الـ Password المستعملة

مما يعني أن الـ toolsBars مصدر من مصادر تسرب المعلومات و بالتالي يمكن اعتبارها ثغرة أمنية

*خاتمة:

- قبل تنصيب أي برنامج و قبل تشغيل أي سكربت يجب التحقق من مصدرها .إن لم يكن مصدرها معروفا فمن الأفضل تجنبها

- يستحسن الدخول إلى المواقع التي تحتاج إلى اسم مستخدم و Password عن طريق كتابة اسم الموقع في الـadress bar وتجنب الروابط الموجودة في صفحات ويب أو مرسلة عبر البريد الالكتروني

- يمكنك تجنب استغلال الـ bugs الموجودة في المتصفح من طرف الـ Hacker بقراءة مقالات متخصصة تشرح أهم هذه الـ bugs و كيفية تجنبها

- تذكر دائما أن الحلقة الأضعف في سلسلة حماية المستخدم هو المستخدم نفسه

- احرص على تحديث متصفحك .إن كان متصفحك يدعم التحديث التلقائي فذلك أحسن

- استعمل المتصفحات المعروفة حسب نظام تشغيلك

Windows : Internet Explorer, Mozilla, Firefox, Opera

Linux : Mozilla, Firefox, Konqueror

Mac OS : Safari, Camino

عنوان المقال الأصلي:

La sécurité du navigateur web

تمت الترجمة بتاريخ : 13/07/2008