¿Navegamos seguros?

Los navegadores web son actualmente la mayor atracción de los cibercriminales para acometer sus ataques según el último informe del ETH Zurich (Instituto tecnológico de Zurich), exponiendo además que este riesgo es sólo la punta de un iceberg. Este cambio de paradigma respecto a épocas anteriores donde los principales objetivos eran explotar vulnerabilidades en servidores para acceder a ellos, parece deberse a 2 factores principales:

1. Actualmente todo está conectado, y el navegador web es la plataforma que maneja todos los datos del usuario y empresa. Después de todo, los datos son uno de los principales objetivos de los cibercriminales. Por ello, los navegadores web se han convertido en la mejor elección para explotar vulnerabilidades. Donde ayer había buffer overflows, hoy son XSS que no debes subestimar.
2. Los ataques drive-by download característicos contra los navegadores web y en general cualquier vulnerabilidad de aplicación web del Top 10 2007 de la Owasp, (próximamente en castellano), poco tienen que ver con los privilegios del usuario.

Mientras tanto, la guerra de navegadores web sigue, IE con una cuota de uso del 78% frente al 16% de Firefox (pese al record Guiness de descarga en 24 horas). Ambos han hecho importantes mejoras en cuanto a la experiencia de seguridad del usuario en la web, y mientras todo apunta que IE8 introducirá nuevas técnicas de protección contra las amenazas actuales, y otros se lo toman con cierta ironía, son muchas las voces indicando que estos esfuerzos de los navegadores son en vano ya que, no mitigan los daños, los ocultan. La raíz de todo ello pasa por la educación en seguridad de los programadores de aplicaciónes web, punto donde la owasp dedica sus mayores esfuerzos.

Ante tal situación, ir por la web con un navegador no actualizado es un llamamiento a todo tipo de especímenes y al desastre. Las prácticas ya de sobra conocidas de mantener el software actualizado, hoy se hacen necesarias más que nunca.

Emilio Casbas
S21sec labs

Fuente: http://blog.s21sec.com/2008/07/navegamos-seguros.html

Suscríbete a nuestro Boletín