Tarayıcı güvenliği
Güvenlik

Web tarayıcıları, aşağıdaki yollardan biri veya daha fazlasıyla ihlal edilebilir:
İşletim sistemi ihlal edildi ve kötü amaçlı yazılım ayrıcalık modunda tarayıcı bellek alanını okuyor/değiştiriyor
İşletim sisteminde, ayrıcalıklı modda tarayıcı bellek alanını okuyan/değiştiren, arka plan işlemi olarak çalışan bir kötü amaçlı yazılım var
Yürütülebilir ana tarayıcı hacklenebilir
Tarayıcı bileşenleri saldırıya uğramış olabilir
Tarayıcı eklentileri saldırıya uğrayabilir
Tarayıcı ağ iletişimleri makinenin dışından kesilebilir
Tarayıcı, yukarıdaki ihlallerin hiçbirinden haberdar olmayabilir ve kullanıcıya güvenli bir bağlantı yapıldığını gösterebilir.
Bir tarayıcı bir web sitesiyle her iletişim kurduğunda, web sitesi bu iletişimin bir parçası olarak tarayıcı hakkında bazı bilgiler toplar (hiç değilse teslim edilecek sayfanın biçimlendirmesini işlemek için). Web sitesinin içeriğine kötü amaçlı kod eklenmişse veya en kötü senaryoda, söz konusu web sitesi özellikle kötü amaçlı kod barındırmak üzere tasarlanmışsa, belirli bir tarayıcıya özgü güvenlik açıkları, bu kötü amaçlı kodun tarayıcı uygulamasında işlemler yürütmesine izin verebilir. istenmeyen şekillerde (ve unutmayın, bir web sitesinin bir tarayıcı iletişiminden topladığı bilgi parçalarından biri de tarayıcının kimliğidir - belirli güvenlik açıklarının kullanılmasına izin verir). Bir saldırgan ziyaretçinin makinesinde işlemler çalıştırabildiğinde, bilinen güvenlik açıklarından yararlanmak saldırganın makinede ve hatta kurbanın tüm ağında çok daha çeşitli kötü amaçlı işlemler ve etkinlikler gerçekleştirmek için "virüslü" sisteme ayrıcalıklı erişim (tarayıcı zaten ayrıcalıklı erişimle çalışmıyorsa) elde etmesine olanak sağlayabilir
Web tarayıcısı güvenliğinin ihlali genellikle korumaları atlayarak pop-up reklamları görüntülemek, İnternet pazarlaması veya kimlik hırsızlığı için kişisel olarak tanımlanabilir bilgileri (PII) toplamak, web böcekleri, Clickjacking, Likejacking (Facebook'un beğen düğmesinin hedeflendiği yer), HTTP çerezleri, zombi çerezleri veya Flash çerezleri (Yerel Paylaşılan Nesneler veya LSO'lar) gibi araçları kullanarak bir kullanıcı hakkında kendi iradesi dışında web sitesi izleme veya web analizi yapmak amacıyla yapılır; reklam yazılımları, virüsler, Truva atları gibi casus yazılımlar (kırma yoluyla kullanıcıların kişisel bilgisayarlarına erişim sağlamak için) veya tarayıcıdaki adam saldırılarını kullanarak çevrimiçi bankacılık hırsızlığı dahil olmak üzere diğer kötü amaçlı yazılımları yüklemek.
Chromium web tarayıcısındaki güvenlik açıklarının derinlemesine incelenmesi, Güvenlik açıklarının en çok ortaya çıkan temel nedenlerinin Improper Input Validation (CWE-20) ve Improper Access Control (CWE-284) olduğunu göstermektedir. Ayrıca, bu çalışma sırasında incelenen güvenlik açıkları arasında, üçüncü taraf kitaplıkların savunmasız sürümlerinin yeniden kullanılması veya içe aktarılması nedeniyle Chromium'da 106 güvenlik açığı meydana geldi.
Web tarayıcı yazılımındaki güvenlik açıkları, tarayıcı yazılımı güncel tutularak en aza indirilebilir, ancak temeldeki işletim sisteminin, örneğin bir rootkit tarafından tehlikeye girmesi durumunda yeterli olmayacaktır. Komut dosyası oluşturma, eklentiler ve tanımlama bilgileri gibi tarayıcıların bazı alt bileşenleri özellikle savunmasızdır ("kafası karışmış vekil sorunu ") ve ayrıca ele alınması gerekir.
Derinlemesine savunma ilkesine uygun olarak, tamamen yamalı ve doğru şekilde yapılandırılmış bir tarayıcı, tarayıcıyla ilgili güvenlik sorunlarının ortaya çıkmamasını sağlamak için yeterli olmayabilir. Örneğin, bir rootkit, birisi bir bankacılık web sitesinde oturum açarken tuş vuruşlarını yakalayabilir veya bir web tarayıcısına gelen ve buradan gelen ağ trafiğini değiştirerek ortadaki adam saldırısı gerçekleştirebilir. DNS ele geçirme veya DNS sahtekarlığı, yanlış yazılan web sitesi adları için yanlış pozitifler döndürmek veya popüler arama motorları için arama sonuçlarını bozmak için kullanılabilir. RSPlug gibi kötü amaçlı yazılımlar, yalnızca bir sistemin yapılandırmasını hileli DNS sunucularını işaret edecek şekilde değiştirir.
Tarayıcılar, bu saldırılardan bazılarını önlemeye yardımcı olmak için daha güvenli ağ iletişimi yöntemleri kullanabilir:
DNS : DNSSec ve DNSCrypt, örneğin Google Public DNS veya OpenDNS gibi varsayılan olmayan DNS sunucularıyla .
HTTP : Dijital olarak imzalanmış ortak anahtar sertifikaları veya Genişletilmiş Doğrulama Sertifikaları ile HTTP Secure ve SPDY .
Genellikle güvenlik duvarları ve kötü amaçlı web sitelerini engelleyen ve herhangi bir dosya indirme işleminde antivirüs taramaları gerçekleştiren filtreleme proxy sunucularının kullanımı yoluyla çevre savunmaları, büyük kuruluşlarda kötü amaçlı ağ trafiğini bir tarayıcıya ulaşmadan önce engellemek için genellikle en iyi uygulama olarak uygulanır.
Tarayıcı güvenliği konusu, görünüşte tarayıcıları ve ağ sistemlerini güvenlik açıkları için test etmek amacıyla tarayıcı güvenliğini ihlal edecek araçları toplamak için platformlar oluşturan The Browser Exploitation Framework Project gibi tüm kuruluşların oluşturulması noktasına kadar büyüdü.