{{위키데이터 속성 추적}}
'''브라우저 보안'''([[영어]]: Browser Security)은 [[웹 브라우저]]의 [[인터넷 보안]]에 대한 적용으로서<ref>{{인용
 |url=https://www.comodo.com/home/internet-security/free-internet-security.php
 |title= Internet security overview
 |accessdate=2015-07-06}}</ref> 네트워크화된 데이터와 컴퓨터 시스템을 악성 소프트웨어나 사생활 침해로부터 보호하기 위한 것이다. 브라우저의 보안 익스플로잇은 종종 자바스크립트 - 가끔은 [[사이트 간 스크립팅]] (XSS)<ref name=mozilla-noscript>{{웹 인용
 |url=https://addons.mozilla.org/firefox/addon/noscript
 |title=NoScript :: Add-ons for Firefox
 |first=Giorgio
 |last=Maone
 |work=Mozilla Add-ons
 |publisher=Mozilla Foundation}}</ref> - 를 사용하며, 가끔은 [[어도비 플래시]]<ref>{{웹 인용
 |url          = https://addons.mozilla.org/firefox/addon/betterprivacy
 |title        = BetterPrivacy :: Add-ons for Firefox
 |author       = [https://addons.mozilla.org/en-US/firefox/user/516763/ NC] (Social Science Research Network)
 |work         = Mozilla Add-ons
 |publisher    = Mozilla Foundation
 |확인날짜         = 2015-12-24
 |archive-date = 2014-10-01
 |archive-url  = https://web.archive.org/web/20141001054313/https://addons.mozilla.org/en-US/firefox/addon/betterprivacy/
 |url-status   = 
}}</ref>를 이용한 부차적인 페이로드를 사용한다. 보안 익스플로잇은 또한 웹 브라우저들에서의 [[보안 취약점]]을 이용할 수 있다.

== 보안 ==
웹 브라우저들은 아래의 방법들에 의해 뚫릴 수 있다.
* 운영 체제가 뚫려서 악성코드가 관리자 모드에서 브라우저 메모리 영역을 읽거나 수정할 수 있을 때<ref>{{웹 인용
 |last=Smith
 |first=Dave
 |title=The Yontoo Trojan: New Mac OS X Malware Infects Google Chrome, Firefox And Safari Browsers Via Adware
 |url=http://www.ibtimes.com/yontoo-trojan-new-mac-os-x-malware-infects-google-chrome-firefox-safari-browsers-adware-1142969
 |publisher=IBT Media Inc
 |accessdate=21 March 2013}}</ref>
* 운영체제가 백그라운드에서 돌아가는 악성코드를 갖고 있는 경우 관리자 모드에서 브라우저 메모리 영역은 읽거나 수정될 수 있다.
* 주요 브라우저 실행파일이 해킹될 수 있다.
* 브라우저 구성 요소들이 해킹될 수 있다.
* 브라우저 플러그인들이 해킹될 수 있다.
* 머신 외부에서 브라우저 네트워크 통신이 가로채질 수 있다.<ref>{{웹 인용
 |last=Goodin
 |first=Dan
 |title=MySQL.com breach leaves visitors exposed to malware
 |url=http://www.theregister.co.uk/2011/09/26/mysql_hacked/
 |accessdate=26 September 2011}}</ref>
브라우저는 위와 같이 뚫린 사실을 인식하지 못하고 안전한 연결이 만들어졌다고 사용자에게 보여줄 수 있다.

브라우저가 웹사이트와 통신할 때마다, 웹사이트는 브라우저의 몇몇 정보를 모은다.<ref>{{웹 인용
 |url          = http://oreilly.com/catalog/httppr/chapter/http_pkt.html
 |title        = HTTP Transactions
 |author       = Clinton Wong
 |publisher    = O'Reilly
 |확인날짜 = 2013년 6월 5일
 |보존url    = https://web.archive.org/web/20130613235658/http://oreilly.com/catalog/httppr/chapter/http_pkt.html
 |보존날짜 = 2013년 6월 13일
 |url-status = dead
}}</ref> 만약 악의적인 코드가 웹사이트의 내용에 삽입되었다거나 최악의 경우 웹사이트가 의도적으로 악의적인 코드의 호스트로서 설계되었다면 취약점들은 이 악의적인 코드를 의도하지 않은 방법으로 브라우저 내에서 실행되게 할 수 있다.<ref>{{웹 인용
 |url          = http://www.ebernieinc.com/9-ways-to-know-your-pc-is-infected-with-malware/
 |title        = 9 Ways to Know Your PC is Infected with Malware
 |확인날짜 = 2013년 6월 5일
 |보존url    = https://web.archive.org/web/20131111192509/http://www.ebernieinc.com/9-ways-to-know-your-pc-is-infected-with-malware/
 |보존날짜 = 2013년 11월 11일
 |url-status = dead
}}</ref> 공격자가 방문자의 머신에서 프로세스를 실행할 수 있다면, 알려진 보안 취약점을 공격함으로써 공격자는 감염된 시스템에 대해 특권적 접근(만약 브라우저가 이미 특권적 접근으로 실행중이지 않다면)을 얻을 수 있다.<ref>{{웹 인용
 | url=http://www.symantec.com/security_response/whitepapers.jsp?inid=us_sr_flyout_publications_security
 | title=Symantec Security Response Whitepapers}}</ref>

웹 브라우저 보안을 위반하는 것은 보통 [[웹 버그]]나 [[클릭재킹]], [[클릭재킹|라이크재킹]], [[HTTP 쿠키]], [[좀비 쿠키]] 또는 [[플래시 쿠키]] 같은 툴들을 사용해서 [[디지털 마케팅]]이나 [[신원 도용]] 등을 위해 [[개인정보]]를 모으는 [[팝업창]]<ref name=mozilla-adblock-plus>{{웹 인용
 |url=https://addons.mozilla.org/firefox/addon/adblock-plus
 |title=Adblock Plus :: Add-ons for Firefox
 |first=Wladimir
 |last=Palant
 |work=Mozilla Add-ons
 |publisher=Mozilla Foundation}}</ref>을 표시하기 위한 목적이다.<ref>{{뉴스 인용
 |url=http://www.cbc.ca/news/technology/story/2010/09/23/facebook-like-invitations.html
 |title=Facebook privacy probed over 'like,' invitations
 |date=23 September 2010
 |work=CBC News
 |accessdate=24 August 2011}}</ref><ref>{{뉴스 인용
 |url=http://www.pcmag.com/article2/0,2817,2391440,00.asp
 |title=German Agencies Banned From Using Facebook, 'Like' Button
 |last=Albanesius
 |first=Chloe
 |date=19 August 2011
 |work=PC Magazine
 |accessdate=24 August 2011}}</ref><ref name="cnet-privacy-scrutiny">{{뉴스 인용
 |last=McCullagh
 |first=Declan
 |title=Facebook 'Like' button draws privacy scrutiny
 |publisher=CNET News
 |url=http://news.cnet.com/8301-13578_3-20006532-38.html
 |date=2 June 2010
 |accessdate=19 December 2011
 |archive-date=2011-12-05
 |archive-url=https://web.archive.org/web/20111205014333/http://news.cnet.com/8301-13578_3-20006532-38.html
 |url-status=dead
 }}</ref><ref>{{웹 인용
 |url=http://ssrn.com/abstract=1717563
 |title=Facebook Tracks and Traces Everyone: Like This!
 |last=Roosendaal
 |first=Arnold
 |date=30 November 2010
 |accessdate=27 September 2011}}</ref> 이 외에도 [[애드웨어]], [[컴퓨터 바이러스|바이러스]], [[트로이 목마 (컴퓨팅)|트로이 목마]] 같은 [[스파이웨어]] 또는 MITB(man-in-the-browser) 공격을 사용하는 [[온라인 뱅킹]] 절도를 포함하는 [[악성 소프트웨어]]의 설치도 있다.

웹 브라우저의 취약점들은 브라우저 소프트웨어 업데이트를 유지함으로써 자체적으로 최소화될 수 있지만,<ref>{{웹 인용
 |url          = http://itsecurity.vermont.gov/threats/web_attacks
 |title        = Web Browser Attacks
 |author       = State of Vermont
 |accessdate   = 11 April 2012
 |보존url    = https://web.archive.org/web/20120213180056/http://itsecurity.vermont.gov/threats/web_attacks
 |보존날짜 = 2012년 2월 13일
 |url-status = dead
}}</ref> 하부의 운영 체제가 루트킷에 감염된 경우에는 충분하지 않을 것이다.<ref>{{웹 인용
 |url=https://www.symantec.com/avcenter/reference/windows.rootkit.overview.pdf
 |title=Windows Rootkit Overview
 |publisher=Symantec
 |date=
 |accessdate=2013-04-20
 |보존url=https://web.archive.org/web/20130516120234/https://www.symantec.com/avcenter/reference/windows.rootkit.overview.pdf
 |보존날짜=2013-05-16
 |url-status=dead
 }}</ref> 몇몇 스크립팅, 애드온 그리고 쿠키<ref>{{웹 인용
 |url=http://www.acunetix.com/websitesecurity/cross-site-scripting/
 |title=Cross Site Scripting Attack
 |accessdate=20 May 2013}}</ref><ref>{{웹 인용
 |url=http://blog.zeltser.com/post/2527547617/targeting-web-browser
 |title=Mitigating Attacks on the Web Browser and Add-Ons
 |author=Lenny Zeltser
 |accessdate=20 May 2013}}</ref><ref>{{웹 인용
 |url=http://arstechnica.com/security/2013/03/new-attacks-on-ssl-decrypt-authentication-cookies/
 |title=Two new attacks on SSL decrypt authentication cookies
 |author=Dan Goodin
 |accessdate=20 May 2013}}</ref> 같은 브라우저의 하부구성요소들은 특히 취약하다.

[[종심방어]]의 원리에 따르면, 완전히 패치되고 정확하게 설정된 브라우저도 브라우저 관련 보안 문제가 발생하지 않을 것이라고 확신하기에는 충분치 않다. 예를 들면 [[루트킷]]은 은행 사이트에 로그인 할 경우 [[키로깅]]을 하거나 네트워크 트래픽을 수정해서 [[중간자 공격]]을 수행할 수 있다. [[DNS 하이재킹]] 또는 [[DNS 스푸핑]]은 잘못 타이핑한 웹사이트 이름에 대해 긍정오류를 반환하는데 사용되거나 유명한 검색 엔진의 검색 결과를 바꾸기 위해 사용될 수 있다. RSPlug 같은 악성코드는 DNS 서버를 가리키는 시스템의 설정을 간단하게 수정한다.

브라우저들은 몇몇 공격들을 방어하는데 도움을 주기 위해 [[통신 프로토콜]]의 더 안전한 방식들을 사용할 수 있다.
* [[도메인 네임 시스템|DNS]]: DNSSec과 DNSCrypt
* [[HTTP]]: [[HTTPS]]와 [[SPDY]]
일반적으로 악의적인 웹사이트를 막고 다운로드한 파일의 안티바이러스 스캔을 수행하는 방화벽들과 [[프록시 서버]] 필터링을 통한 둘레 방어들은 큰 조직에서 악의적인 네트워크 트래픽을 막기 위한 구현으로서 주로 사용된다.

브라우저 보안의 주제는 "브라우저 익스플로잇 프레임워크 프로젝트"<ref>{{웹 인용
 |url=http://beefproject.com/
 |title=beefproject.com}}</ref> 같은 전체 조직들의 생성을 유발할 정도로 증가하고 있다.

=== 플러그인과 확장 ===
비록 그 자체가 브라우저는 아니지만 브라우저 [[플러그인]]들과 [[브라우저 확장]]들은 공격 목표로 확장되었다. 예를 들면 [[어도비 플래시 플레이어]], [[어도비 어크로뱃]], [[자바 애플릿]], [[액티브X]]가 주로 익스플로잇된다. 악성코드는 브라우저 확장으로서 구현될 수 있다.<ref>{{웹 인용
 |url=http://www.symantec.com/business/support/index?page=content&id=TECH94965
 |title=How to Create a Rule That Will Block or Log Browser Helper Objects in Symantec Endpoint Protection
 |publisher=Symantec.com
 |accessdate=12 April 2012}}</ref> [[구글 크롬]]이나 [[모질라 파이어폭스]] 같은 브라우저들은 위험한 플러그인들을 막거나 사용자에게 경고할 수 있다.

역으로, 브라우저 확장들은 보안 설정을 강화하는데 사용될 수 있다.


보안브라우저의 종류: 2021년 기준

통상 웹 브라우저는 소스를 브라우저의 개발 툴에서 열람할 수 있어 해킹에 노출되는 경우가 있다. 이를 근원적으로 막기 위해 소스코드  보기를 제거한 보안 브라우저가 출시되어 사용되기도 한다(대한민국 기준: 특허(보안 웹브라우저 동작 방법)에 근거한 Corus(코러스) 보안브라우저).

== 프라이버시 ==

=== 플래시 ===
2009년 8월 Social Science Research Network의 연구에 의하면 플래시를 사용하는 웹사이트들 중 50%가 플래시 쿠키를 적용하지만, 프라이버시 정책들은 거의 그것들을 드러내지 않으며, 프라이버시 선호를 위한 사용자 제어가 부족하다고 밝혔다.<ref>{{웹 인용
 |url=http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1446862
 |title=Soltani, Ashkan, Canty, Shannon, Mayo, Quentin, Thomas, Lauren and Hoofnagle, Chris Jay: Flash Cookies and Privacy
 |date=2009-08-10
 |accessdate=2009-08-18}}</ref> 대부분의 브라우저들의 캐시와 히스토리 삭제 기능은 자신의 캐시에 LSO를 쓰는 플래시 플레이어에는 영향을 미치지 않는다. 그리고 사용자 커뮤니티들은 HTTP 쿠키에 비해 플래시 쿠키의 존재와 기능에 대해 훨씬 적은 관심을 갖고 있다.<ref>{{웹 인용
 |url=http://epic.org/privacy/cookies/flash.html
 |title=Local Shared Objects -- "Flash Cookies"
 |publisher=Electronic Privacy Information Center
 |date=2005-07-21
 |accessdate=2010-03-08
 | archiveurl=https://web.archive.org/web/20100416041024/http://epic.org/privacy/cookies/flash.html
 | archivedate= 16 April 2010 <!--DASHBot-->| url-status= live}}</ref> 그러므로, 플래시 브라우징 히스토리가 남아 있음에도 불구하고 사용자들은 HTTP 캐시와 히스토리 파일, 캐시를 지움으로써 모두 지웠다고 여기게 된다.

== 하드웨어 브라우저 ==
쓰기 불가능하고 읽기만 가능한 파일 시스템과 웹 브라우저를 돌리는 하드웨어 기반 해결책은 LiveCD 접근법에 기반한다. 브라이언 크렙스는 조직화된 사이버 범죄로부터의 보호를 위해 LiveCD의 사용을 추천한다. 이러한 하드웨어 브라우저의 가장 초기 모델은 2013년에 나온 ZeusGard 보안 하드웨어 브라우저이다. 부트 가능한 미디어가 시작될 때마다 브라우저는 알려진 깨끗한 그리고 안전한 운영 환경을 시작한다. 데이터는 절대로 장치에 저장되지 않으며 미디어는 겹쳐써질 수 없어서, 부팅 시마다 깨끗하다.

== 브라우저 강화 ==
최소 권한 사용자 계정으로 인터넷을 브라우징하는 것은 웹 브라우저에서 보안 취약점의 가능성을 제한한다.<ref>{{웹 인용
 | url = http://technet.microsoft.com/en-us/library/cc700846.aspx
 | title = Using a Least-Privileged User Account
 | publisher = Microsoft
 | accessdate = 2013-04-20 }}</ref>

[[인터넷 익스플로러]]는 블랙리스트<ref>{{웹 인용
 | url = http://support.microsoft.com/kb/240797/en-us
 | title = How to Stop an ActiveX control from running in Internet Explorer
 | publisher = Microsoft
 | accessdate = 2014-11-22 }}</ref><ref>{{웹 인용
 | url = https://support.microsoft.com/kb/182569/en-us
 | title = Internet Explorer security zones registry entries for advanced users
 | publisher = Microsoft
 | accessdate = 2014-11-22 }}</ref><ref>{{웹 인용
 | url = http://technet.microsoft.com/en-us/library/dn761713.aspx
 | title = Out-of-date ActiveX control blocking
 | publisher = Microsoft
 | accessdate = 2014-11-22 }}</ref> 그리고 화이트리스트<ref>{{웹 인용
 | url = http://technet.microsoft.com/en-us/library/cc737458.aspx
 | title = Internet Explorer Add-on Management and Crash Detection
 | publisher = [[마이크로소프트]]
 | accessdate = 2014-11-22 }}</ref><ref>{{웹 인용
 | url = http://support.microsoft.com/kb/883256/en-us
 | title = How to Manage Internet Explorer Add-ons in Windows XP Service Pack 2
 | publisher = [[마이크로소프트]]
 | accessdate = 2014-11-22 }}</ref> [[액티브X]] 제어와 애드온 그리고 브라우저 확장을 다양한 방법으로 허용한다.

[[인터넷 익스플로러 7]]은 MIC(Mandatory Integrity Control)라고 불리는 [[윈도우 비스타]]의 보안 샌드박싱 특징의 적용을 통해 브라우저를 강화하는 "보호 모드"를 추가하였다.<ref name="symantec">{{웹 인용
 | url = http://www.symantec.com/avcenter/reference/Windows_Vista_Security_Model_Analysis.pdf
 | title = Analysis of the Windows Vista Security Model
 | author = Matthew Conover
 | publisher = Symantec Corporation
 | accessdate = 2007-10-08
 | 보존url = https://web.archive.org/web/20080516053130/http://www.symantec.com/avcenter/reference/Windows_Vista_Security_Model_Analysis.pdf
 | 보존날짜 = 2008-05-16
 | url-status = dead
 }}</ref> [[구글 크롬]]은 웹페이지가 운영 체제에 접근하는 것을 제한하기 위해 [[샌드박스 (컴퓨터 보안)|샌드박스]]를 제공한다.<ref>{{웹 인용
 | title = Browser Security: Lessons from Google Chrome
 | url = http://cacm.acm.org/magazines/2009/8/34494-browser-security/fulltext }}</ref>

의심되는 악성코드 사이트는 구글에 보고되며,<ref>{{웹 인용
 | url = https://www.google.com/safebrowsing/report_badware/
 | title = Report malicious software (URL) to Google }}</ref> 구글에 의해 확인되고, 특정 브라우저들에서 표시된다.<ref>{{웹 인용
 | url = https://www.google.com/transparencyreport/safebrowsing/?hl=en
 |title=Google Safe Browsing}}</ref>

최신 브라우저라도 강화를 위한 써드파티 확장과 플러그인이이 존재한다.<ref>{{웹 인용
 | url = http://www.zonealarm.com/blog/2014/05/5-ways-to-secure-your-web-browser/
 | title = 5 Ways to Secure Your Web Browser
 | publisher = [[ZoneAlarm]]
 | 확인날짜 = 2015-12-24
 | archive-date = 2014-09-07
 | archive-url = https://web.archive.org/web/20140907191153/http://www.zonealarm.com/blog/2014/05/5-ways-to-secure-your-web-browser/
 | url-status = 
 }}</ref>

== 같이 보기 ==
* [[애플리케이션 보안]]
* [[프레임 삽입]]
* [[NSP]]
* [[:en:Browser Security]]

== 각주 ==
{{각주}}

{{웹 브라우저}}

[[분류:네트워크 보안]]
[[분류:웹 브라우저]]
[[분류:웹 취약점 공격]]