Sécuriser vos navigateurs Web contre les attaques

[Mahi2]

"De nos jours, les navigateurs Web tels que Internet Explorer, Mozilla Firefox, Apple Safari, Google Chrome, UC Browser et Opera Mini sont installés sur presque tous les ordinateurs ou smartphones."
Souvent, ils sont préinstallés avec des systèmes d'exploitation et sont définis sur une configuration par défaut qui est très peu sûre.
En raison de quoi les navigateurs Web sont utilisés fréquemment et l'exploitation de vulnérabilités sur les navigateurs Web est devenue monnaie courante pour les pirates informatiques.
Ils peuvent prendre le contrôle de vos ordinateurs pour voler ou détruire des informations ou attaquer d'autres ordinateurs en utilisant des exploits de navigateur.
Un attaquant peut créer des pages Web malveillantes qui installeront des chevaux de Troie et des logiciels espions qui vont voler vos informations.
Un document HTML malveillant peut également être envoyé par mail aux victimes dans ces cas, avec juste une action d'ouverture d'un mail on procède à l'installation des logiciels malveillants et compromettre la sécurité du système.

Quelques attaques spécifiques de navigateurs Web qui peuvent affecter la fonctionnalité de votre navigateur Web et la sécurité de votre ordinateur incluent -

1. Active X exploit
2. Buffer OverFlow Attack ou (Attaque de dépassement de mémoire tampon)
3. Attaque par des applets Java
4. Attaque par des scripts

LES ATTAQUES EN DETAILS :

Active X exploit
Active X est une technologie utilisée par Microsoft Internet Explorer car des fonctionnalités supplémentaires pour la navigation Web traditionnelle ont été conçues avec diverses vulnérabilités et problèmes d'implémentation.

Buffer OverFlow Attack
Une attaque de débordement de mémoire tampon. Des plugins comme Adobe Flash ne peuvent pas être exécutés à partir d'un navigateur Web, mais ils peuvent contenir des défauts de programmation tels que le dépassement de mémoire tampon ou ils peuvent contenir des défauts de conception.

Attaque par des applets Java
Les applets Java fournis par les sites Web pour exécuter le code java dans certaines circonstances peuvent être utilisés pour exécuter des codes malveillants dans le système.

Attaque par des scripts
La capacité d'apprendre un langage de script tel que les scripts JavaScript, Java ou les scripts Visual Basic peut être utilisée par des attaquants qui peuvent introduire de multiples vulnérabilités comme Cross Site Scripting (XSS) et Session Hijacking.

Ainsi on a une petite idée sur les quelques types d'attaques que les pirates peuvent effectuer pour accéder à vos données et à votre vie privée.


COMMENT S'EN PROTÉGER :

Voici quelques moyens par lesquels vous pouvez vous assurer que vous naviguez en toute sécurité et anonymement.

1. Configurez votre navigateur pour supprimer les cookies lors de la fermeture des navigateurs Web.

2. Fermez d'autres onglets ou navigateurs tout en effectuant des transactions en ligne ou vous pouvez ouvrir l'onglet Nouveau navigateur pour les
paiements.

3. Désactivez les fenêtres contextuelles.

4. Continuez à refaire des pages Web tout en reprenant votre travail.

5. N'oubliez jamais d'activer la fonction Password Password dans votre navigateur.

6. Maintenez la mise à jour de votre navigateur fréquemment.

7. Fermez immédiatement les fenêtres publicitaires.

8. Ne cliquez pas ou ne placez pas la souris sur des liens inconnus.

9. Utilisez un navigateur de confiance.

10. Ne jamais vous connecter sur le site qui n'est pas chiffré. Connectez-vous toujours sur HTTPS plutôt que sur des pages HTTP.

11. Pour la navigation anonyme sur Internet, utilisez The Onion Router (TOR). C'est l'un des meilleurs proxys partout dans le monde.


PS : A part tout ce que je viens de citer, il existe sur ce forum des superbes postes accentuant encore plus sur l'anonymat et la sécurité que vous pouvez toujours lire en vue d'en savoir encore plus.

[Anonyme77]

Merci pour cet article

[acloseone]

Bonjour,

Une autre discussion sur ce forum me fait du coup rebondir ici. J'ajouterai ceci (pour contrer les attaques, et pas les atteintes à la vie privée) :

- No script ou équivalent (je dis ça, mais je ne l'utilise plus après avoir passé des années avec (en tous cas sur Linux... avec Windows, je l'utilise toujours)... très contraignant mais redoutable). Ceci étant, à lui tout seul, il doit stopper la quasi-totalité des attaques possibles s'il est bien configuré. Mais déjà, rien que Noscript en "everything allowed" permet certaines protections tout en gardant du confort.
- Flash au minimum en "click to activate", mais le mieux étant carrément de le désactiver (car il permet quand même de savoir quel est l'OS même si on a changé la signature du navigateur).
- Pour Linux, il est possible de resserrer le profil apparmor pour que le navigateur ne puisse avoir accés qu'à un ou deux repertoires dans le /home/utilisateur/, comme par exemple /public/ et /download/ en y ajoutant des "deny /home/utilisateur/répertoire/** r, w, x" à tour de bras...
- Pour compliquer les attaques simple-platforme, on peut changer la signature, par exemple faire ressembler un Linux à un Windows ou vice-versa (general.override > useragent, platform, buildID, oscpu, appversion, etc), mais tous les navigateurs ne permettent pas cette possibilité.
- Contre les dépassements de tampons, grsecurity (je ne connais qu'eux pour ce genre de choses). Malheureusement, leurs patches ne sont plus dispo gratuitement et le seul fork que j'avais trouvé n'est plus à jour. (https://github.com/minipli/linux-uno...grsec/releases)
- Bloquer les cookies tiers peut aussi empêcher certains CSRF (testé et approuvé !).