hit counter
IE8 security: i miglioramenti negli ActiveX - NonSoloSecurity Blog di Feliciano Intini - Site Home - TechNet Blogs

NonSoloSecurity Blog di Feliciano Intini

Notizie, best practice, strategie ed innovazioni di Sicurezza (e non solo) su tecnologia Microsoft

IE8 security: i miglioramenti negli ActiveX

IE8 security: i miglioramenti negli ActiveX

  • Comments 4
  • Likes

E' da poco uscito il secondo post di approfondimento delle novità di sicurezza di Internet Explorer 8, come vi ho segnalato nello scorso post a proposito del DEP/NX.

Questa volta il tema è tra i più importanti: i miglioramenti negli ActiveX. Come ho avuto di dire più volte, gli ActiveX hanno da sempre rappresentato una sorta di tallone di achille per Internet Explorer per un motivo molto semplice: di fatto esprimono l'eterno, delicato, equilibrio da raggiungere tra ricchezza di funzionalità ed esigenze di maggiore sicurezza

  • gli ActiveX sono di fatto dei componenti pensati per estendere le funzionalità del browser e quindi per arricchirlo: la loro esistenza ha di fatto avvantaggiato tutto il mercato delle aziende che sviluppano software per il web...
  • d'altra parte incorporare nel tuo sistema un componente sviluppato da una parte terza su cui Microsoft non può effettuare un controllo di qualità non è il massimo dal punto di vista della sicurezza: ...ma il modello è nato quando la sicurezza non era una preoccupazione riconosciuta fuori dalle università...

Quando ci si è accorti che la rischiosità di questo modello era diventata elevata a causa degli attacchi che indirizzavano gli ActiveX scritti male (ossia non scritti secondo le best practice di secure coding) non si è potuto dire "OK, allora aboliamo il modello...": cosa ne sarebbe stato di tutte le applicazioni web che si appoggiano agli ActiveX per arricchire e personalizzare l'esperienza degli utenti sul web? L'unico percorso possibile è stato quello di avviare un irrobustimento del modello per contrastare via via le tipologie di minacce che si sono osservate, bilanciando sempre il guadagno in termini di protezione rispetto all'inevitabile impatto sulle applicazioni terze che rischiavano di non funzionare più. Il passo più deciso in questa direzione è avvenuto con i miglioramenti di sicurezza di IE6 nel Service Pack 2 di Windows XP, e i ritorni positivi di quella esperienza hanno alimentato i miglioramenti di IE 7, per giungere ora a queste nuove funzionalità in IE8, di cui vi fornisco un breve accenno delle più significative, invitandovi alla lettura completa del post di Matthew David Crowley per l'elenco completo:

Per-User (Non-Admin) ActiveX:

    Running IE8 in Windows Vista, a standard user may install ActiveX controls in their own user profile without requiring administrative privileges. This improvement makes it easier for an organization to realize the full benefit of User Account Control by enabling standard users to install ActiveX controls used in their day-to-day browsing. If a user happens to install a malicious ActiveX control, the overall system will be unaffected, as the control was installed only under the user’s account. Since installations can be restricted to a user profile, the risk and cost of compromise (and, in turn, the total cost of administering users on a machine) will be lowered significantly. [...]

Per-Site ActiveX

When a user navigates to a Web site containing an ActiveX control, IE8 performs a number of checks, including a determination of where a control is permitted to run. This check is referred to as Per-Site ActiveX, a defense mechanism to help prevent malicious repurposing of controls. If a control is installed, but is not permitted to run on a specific website, an Information Bar appears asking the user whether or not the control should be permitted to run on the current website. [...]

Enforcing Per-Site with ATL SiteLock Technology

If your ActiveX control is designed for use only on your web site, then locking it to the domain of that Web site will make it harder for other sites to repurpose the control in a malicious manner. [...]

La lettura completa del post di IE spero vi trasmetta anche l'importante attenzione posta alle esigenze degli amministratori di sistema di poter gestire in modo semplice e granulare tutte queste nuove opzioni tramite Group Policy e avere il pieno governo delle impostazioni correlate con la sicurezza: ricordate il mio motto "...la sicurezza è nulla senza il controllo..."?

Add-on del 9 maggio 2008: come noterete dal trackback nei commenti, l'amico Renato su Technet ha ripreso ed ampliato il tema di questo mio post con un interessante approfondimento sul Kill Bit (con una serie di link a risorse utili sul tema).

 

Share this post :

 

Comments
  • Come sapete, le funzionalità di Internet Explorer possono essere estese utilizzando dei componenti

  • Ieri è stata pubblicata sul blog di IE una raffica di informazioni sulle nuove funzionalità

  • E’ stata da poco annunciata dal team diIE la disponibilità della Beta 2 di Internet Explorer 8.0 , che

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment