Internet Explorer 8.0: Architettura e funzionalità di sicurezza Renato Francesco Giorgini...
32
Internet Explorer 8.0: Architettura e funzionalità di sicurezza Renato Francesco Giorgini Evangelist IT Pro RenatoFrancesco.Giorgini@microsoft .com
-
Upload
santuzza-d-alessandro -
Category
Documents
-
view
217 -
download
0
Transcript of Internet Explorer 8.0: Architettura e funzionalità di sicurezza Renato Francesco Giorgini...
Internet Explorer 8.0:Architettura e funzionalità di sicurezza
Renato Francesco Giorgini Evangelist IT Pro
AgendaArchitettura
Internet Explorer Protected ModeLoosely-Coupled IE
Gestione ActiveX
Funzionalità Anti-malware, anti-phishingSmartScreen FilterCross Site Scripting (XSS) Filter
Protezione privacy utenteInPrivate BrowsingInPrivate Filtering
Per quali piattaforme è disponibile IE 8?Sistemi Operativi Client:
Windows XP (SP2, SP3)Windows Vista (SP1, SP2)Windows 7
Sistemi Operativi Server:Windows Server 2003 (SP2)Windows Server 2008 (SP1, SP2)Windows Server 2008 R2
Architettura di Internet Explorer 8.0
Integrity Levels :Windows Vista, Windows 7
System High Medium LowLocal
SystemLocal Service
NetworkService
Elevated(Admin) tokens
LUA (User) tokens
AuthenticatedUsers
World(Everyone)
Shell, Desktop e Applicazioni Utente
Se non specificato, il livello di default degli oggetti viene considerato Medium
Privilegi Amministrativi Internet Explorer 7/8
Internet Explorer 8 in Protected Mode
Protected Mode Internet Explorer 8.0
Installazione ActiveX
Impostazioni di sistema
Modifica configurazione
Download FilesMandato
ry Inte
gri
ty C
ontr
ol
Pro
tect
ed
Mode B
roke
r Pro
cess
Redirezione File e Config.Com
pati
bili
ty
Red
irect
or
Navigazione e Cache Web
Admin Rights Access
User Rights Access
Temp Internet Files
HKLM (Registry)
HKCR (Registry)
Program Files
HKCU (Registry)
My Documents
Startup Folder
File e setting potenzialmente non sicuri
Ad
min
B
roke
r Pro
cess
Integrity Level: Low
Integrity Level: Medium
Integrity Level: High
Loosely-Coupled IE
Medium Integrity Level
Protected Mode = OFF
Low Integrity LevelProtected Mode = ON
Address Space Layout Randomization
NTDLL
User32
ExeWindows Server 2003,
Windows XP
Macchina ANTDLL
User32
Exe
User32
Exe
User32
Exe
Windows Server 2003,
Windows XP
Macchina B
Windows Server 2008,
Windows Vista,Windows 7
Macchina A
Windows Server 2008,
Windows Vista,Windows 7
Macchina B
Kernel32NTDLL
Kernel32NTDLL
Kernel32
Kernel32
Data Execution PreventionBlocca l’esecuzione di codice da aree marcate come dati
Sfrutta il non-Execute bit Intel XD bitAMD NX bit
Richiede sistemi a 64 bit o a 32 bit con PAE
DEP e ASLR abilitate insieme per garantiscono la sicurezza massima del sistema
Data Execution ProtectionAbilitata di default in Internet Explorer 8.0
Può essere disabilitata per motivi di compatibilità
Gestione ActiveX
Sicurezza controlli ActiveX
Mitigazione Zero-Day
Attack
ActiveX Killbits
Chi può usare
l’ActiveX?
Per UserActiveX
Attivazione manuale o
automatica?
ActiveX Opt–in
Su quali siti l’ActiveX è utilizzabile?
Per siteActiveX
Funzionalità anti-malware e anti-phishing
Nuova barra indirizziEvidenzia il dominio (o l’Indirizzo IP) del sito in cui stiamo navigando
Extended Validation Certificates, Siti a rischio, Siti noti di Phishing
SmartScreen FilterEvoluzione del filtro Antiphishing di Internet Explorer 7Nuovi strumenti euristici di analisiFunzionalità anti-malwareControllo indirizzo più rapidoGestibile tramite Group PolicyE’ ora possibile segnalare siti malevoli a MS
Database locale URL affidabili
conosciute
Verifica attendibilità siti
URL Reputation Service
Cross Site Scripting (XSS) FilterFiltro euristico, previene l’esecuzione degli scriptPermette di intercettare attacchi Type-1 (reflection)Steal cookies
Log keystrokesDeface sitesSteal credentialsPort-scan the Intranet
Launch CSRF
Steal browser historyAbuse vulnerabilitiesEvade phishing filtersCircumvent HTTPS
ClickJacking ProtectionE’ possibile sfruttare gli IFRAME per creare dei layer sovrapposti
In questo modo l’utente può essere indotto a fare click su link che in realtà appartengono a siti differenti
Le X-FRAME-OPTIONS possono essere usate dai WebDev per evitare che le loro pagine siano richiamate in modo non legittimo
this.Response.Headers["X-FRAME-OPTIONS"] = "DENY";
Demo
{Barra indirizziSmartScreen FilterCross Site Scripting (XSS) FilterClickJacking Protection
}
Mashup SicuriNuove modalità di comunicazione per garantire una sicurezza maggiore nei mashup e nelle applicazioni AJAX
Cross Domain Requests (XDR)Consente di condividere le informazioni tra due domini differenti, consentendo la creazione di trust, la pubblicazione di risorse accessibili anonimamente e la comunicazione sicura
Cross Document Messaging (XDM)HTML5 cross-document messaging feature – Consente a due domini e IFRAME di scambiarsi oggetti in modo sicuro, mantenendo l’isolazione dei Document Object Model
Protezione privacy utente
Cancellazione History - CronologiaControllo più granulare su cosa è cancellabileE’ possibile escludere dalla cancellazione i contenuti dei siti inclusi nei Preferiti – FavoritesCancellazione automatica alla chiusura del browser
InPrivate BrowsingUtile per computer condivisi, Internet PointConsente di navigare senza memorizzare traccie della navigazione sul computer
Cookies (in lettura quelli esistenti, i nuovi sono solo di sessione)History - Cronologia (URL, Search)Form e PasswordTemporary Internet Files
Il cleanup delle informazioni avviene alla chiusura della sessione di “InPrivate Browsing”
27
Cosa avviene navigando…Alcuni provider (es: di Contenuti, di Adv, …) possono tracciare le attività di un utente, sfruttando il fatto che i propri componenti sono richiamati su differenti siti
Tracking Script, Web Bug Images, Special Text, CookiesSito A Sito B Sito C Sito D
Provider Contenuti
InPrivate FilteringMostra all’utente Siti/Provider possono tracciare la sua attivitàConsente all’utente di avere ulteriori informazioniPermette di bloccare Siti e Provider di contenuti specificiConsente di fare la sottoscrizione a liste di contenuti da bloccare
In conclusioneInternet Explorer 8.0 estende l’architettura di sicurezza di Internet Explorer 7.0 con una serie di nuove funzionalità
Windows Vista e Windows 7 sono i due sistemi operativi che sfruttano al meglio la nuova architettura
Le funzionalità Anti-phishing, Anti-malware e di protezione della Privacy assicurano una navigazione più sicura e protetta
In ambito aziendale è possibile personalizzare la configurazione di sicurezza di Internet Explorer 8.0 utilizzando le Group Policy o l’Internet Explorer Administration Kit
© 2009 Microsoft Corporation. All rights reserved.This presentation is for informational purposes only.MICROSOFT MAKES NO WARRANTIES, EXPRESS OR IMPLIED, IN THIS SUMMARY.
http://blogs.technet.com/italy
