• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / Vulnerabilidades / La paradoja de la seguridad en los navegadores

La paradoja de la seguridad en los navegadores

6 octubre, 2012 Por Hispasec 11 comentarios

Hoy nos encontramos ante lo que, a primera vista, se podría considerar una especie de paradoja en la aproximación a la seguridad en navegadores: el navegador con más fallos de seguridad y el más popular, es el más seguro. Sin embargo, se trata en realidad de una evolución natural que demuestra que lo importante es la protección, y no tanto las vulnerabilidades.
Existe una creencia popular: El navegador más popular es el más atacado. Si además es el que mayor número de fallos de seguridad contiene, el círculo se cierra. ¿Quién usaría algo así? Hasta ahora, Internet Explorer honraba esta máxima… pero Chrome la ha desmentido. Desde mediados de año es el más usado y siempre ha sido el que más fallos contabiliza… pero es el más seguro en el mundo real (es un hecho que confirma cualquier creador de exploits).
En los 90
En los 90 los navegadores que se usaban principalmente eran Netscape e Internet Explorer. Los dos un desastre en seguridad (como mandaban los tiempos). Pero no importaba demasiado a los atacantes. La industria del malware no estaba tan desarrollada, no existían kits de explotación tan perfeccionados y además, se disponían de otros medios para infectar a las víctimas: el email y el ataque directo a los puertos y servicios. Los sistemas y programas de correo no eran tan efectivos contra el malware, los usuarios no estaban tan concienciados y además, muchos se conectaban directamente a Internet sin cortafuegos entrante. Explotar vulnerabilidades en el navegador era sencillo pero no tan necesario.
En los 2000
La guerra la ganó Internet Explorer y se relajó. El cortafuegos se instauró como norma y además los usuarios se conectaban por ADSL, por lo que solían permanecer detrás del cortafuegos del router. El spam se controló en parte y el usuario se concienció. Los atacantes tenían que saltar al navegador y aprovechar las vulnerabilidades si querían infectar. Contaban con una enorme ventaja con Internet Explorer: era ubicuo e inseguro. El problema creció y aparecieron alternativas serias: Firefox y Chrome. La guerra se centró no tanto en la cuota de uso (que también, cómo no) sino en ofrecer elementos diferenciadores: seguridad en profundidad. La cuota llegaría después.
Hoy
Hoy el panorama es curioso. La batalla la ha ganado un «recién llegado» como Chrome por (varias razones, pero principalmente por) centrarse en la seguridad. Pero no cualquier tipo de seguridad (dejemos al margen quién detecta más phishing o malware), sino en la defensiva. Si bien es el navegador con mayor número de fallos, es el más complejo de explotar.
Fuente:
http://cert.inteco.es/extfrontinteco/img/File/intecocert/EstudiosInformes/cert_inf_vulnerabilidades_2012_semestre_primero.pdf
Microsoft tomó otro enfoque. Apostó fuertemente por el Security Development Lifecycle (SDL), que implicaba el desarrollo de sus programas desde cero teniendo en cuenta la seguridad. El resultado es que su número de vulnerabilidades ha descendido considerablemente en los últimos dos años… pero las que hay son muy explotadas. Chrome se centró no tanto por bajar el número de fallos, sino en que estos no fueran explotables. Apostó por separar las pestañas en procesos con bajos niveles de integridad, por el ASLR y el DEP en sus procesos, por meter los plugins en sandbox, por las actualizaciones automáticas «sin permiso» y por motivar fuertemente a los investigadores para que le detectaran los fallos de seguridad (paga bien cada vulnerabilidad encontrada y reportada). De hecho, se atrevió a ofrecer hasta 1.000.000 de dólares por la ejecución de código arbitrario en Chrome bajo Windows 7. Lo consiguieron, pero solo el equipo de Vupen después de 6 largas semanas de trabajo. ¿Están los atacantes a la altura? Por supuesto… pero de lograrlo, se deben plantear si no es mejor reportarlas de forma legítima. Así ha conseguido la «paradoja«: que Chrome, siendo el que más fallos de seguridad acumula año tras año, y con una cuota de mercado más que respetable, sea el más seguro «ahí fuera«. Tiene el honor de ser aborrecido por una de las mayores amenazas web actuales: el kit de explotación «Blackhole«, que no lo intenta atacar.
Internet Explorer por el contrario, encuentra que aunque con menos fallos, su nivel de exposición es mayor: se le acumulan los ataques (a través de 0-day) y aunque ha mejorado el tiempo de respuesta (el último fue corregido en algo más de una semana) sigue siendo lenta para lo que demanda hoy el mercado. Si apuntamos a la «estricta» definición de «0-day«, lo que importa es que el navegador esté siendo atacado a través de las vulnerabilidades, no solo que no estén parcheadas. Y ahí, Internet Explorer sale perdiendo. Una buena parte de sus vulnerabilidades críticas se encuentran ya siendo aprovechadas por atacantes, y esto hace que sus usuarios tengan un alto grado de exposición que no se da en otros.
Es cierto que IE también separa las pestañas en procesos con bajos privilegios, aprovecha DEP y ASLR… pero la motivación de los atacantes también es mayor para poder eludir estos problemas (buscan en el mercado negro la recompensa que no ofrece Microsoft) y su sandbox no es la de Chrome. Ha salido perjudicado de esta guerra de la seguridad… y quizás, por esa misma razón, está perdiendo la guerra por la cuota de mercado.
Fuente: http://gs.statcounter.com/#browser-ww-monthly-200807-201210
Mientras, Opera, con un número de fallos y una cuota menor, todavía no ha implementado medidas de seguridad modernas (y por ello es atacado). Firefox, en situación parecida, no ha sabido hacer frente a Chrome pese a sus ventajas. Ambos pierden relevancia poco a poco…
En definitiva, tenemos de nuevo que revisar parámetros establecidos. No importa tanto el número de vulnerabilidades y la cuota de uso ya no es excusa. Lo que importa es cómo se gestiona la seguridad a todos los niveles y sobre todo, reconocer que el software tendrá vulnerabilidades y ese factor no va a eliminarse nunca… lo necesario es centrarse principalmente en trabajar para que su impacto sea mínimo y que resulten endemoniadamente complejas de explotar… Ese ha sido el genial movimiento de Chrome.
Más información:
Pwnium: rewards for exploits
http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html
Blackhole kit 2.0. Facilidades en la infección y dificultades para el analista
http://unaaldia.hispasec.com/2012/09/blackhole-kit-20-facilidades-en-la.html
Sergio de los Santos
ssantos@hispasec.com
Twitter: @ssantosv

Acerca de Hispasec

Hispasec Ha escrito 6939 publicaciones.

  • View all posts by Hispasec →
  • Blog

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Publicado en: Vulnerabilidades Etiquetado como: Opera

Interacciones con los lectores

Comentarios

  1. Raul dice

    8 octubre, 2012 a las 8:01 pm

    EXCELENTE resumen de la situación actual.-
    Bernardo Quintero estaría orgulloso(imagino) de este artículo.-

    Responder
  2. Anónimo dice

    8 octubre, 2012 a las 8:43 pm

    Y como se conjuga todo esto con al afirmación de NSS labs que dice que el IE9 es el mas seguro porque evita el mayor porcentaje de malware y demás?

    Responder
  3. Alberto dice

    8 octubre, 2012 a las 11:42 pm

    No dudo que la seguridad sea un factor importante en la popularidad de Chrome entre la gente del mundillo, pero sospecho que el principal factor de su popularidad entre el público en general es la masiva campaña que ha hecho Google para promocionarlo, empezando por estar anunciado desde hace unos años en la página principal de Google, mas todos los banners, bundles con programas gratuitos, etc. Aunque ha mejorado, la gente aún esta bastante pez en seguridad informática.

    La suerte es que esta vez la compañía que se ha ganado el mercado sabe lo que signfica la seguridad en informática y se lo toma en serio.

    Responder
  4. Leopoldo dice

    9 octubre, 2012 a las 2:47 am

    Sergio, muy buen artículo.

    Sobre el comentario del usuario Anónimo y «…la afirmacín de NSS Labs que dice que el IE9 es el mas seguro…» debo comentar que desde mi perspectiva sus pruebas tienen un punto débil y es, mientras mas pruebes, mejor resultado tendrás. Considero que son las pruebas mas severas del medio, pero no considero que sus criterios sean los mejores, pues hace algunos meses tuve la oportunidad de evadir al «mejor Network IPS» según el último reporte de NSS Labs usando técnicas básicas de evasión, el fabricante estaba operando el equipo y yo mostré como podias evadirlo, ¿sabes como? Un simple ataque SQL Injection donde en lugar de 1=1 usamos 2=2; solo algunos fuimos testigos de eso, pero me pregunto cómo es que NSS Labs no vio esto?

    Responder
  5. Anónimo dice

    9 octubre, 2012 a las 7:31 am

    Alguien me explique esto:

    Mientras, Opera, con un número de fallos y una cuota menor, todavía no ha implementado medidas de seguridad modernas (y por ello es atacado).

    ¿¿¿Comó??? ¡¡¡Opera tiene fallas de seguridad¡¡¡, pero siempre es excluido en los análisis que hacen terceros. Bueno si tiene fallas se seguridad me gustaría saber donde obtener esa información. Porque siempre se encuentran reportes de IE, Firefox, Chrome y hasta de Safari.

    Responder
  6. Anónimo dice

    9 octubre, 2012 a las 9:24 am

    Yo soy usuario de Firefox y Chrome. Del primero, lo que mas me fastidia es la lentitud al cargar, cosa que en el segundo está muy conseguida.

    Pero hay otras cosas a tener en cuenta: la privacidad. Que es el motivo por el cual no uso totalmente el segundo. Me parece que si usas chrome y tienes tu cuenta de Google activa te están haciendo un seguimiento completo de tu actividad.

    Por tanto: uso firefox para casi todo y chrome sólo para cuando uso la cuenta de google (correo, reader, etc . . .)

    Pregunto a los demás. La seguridad es importante, pero ¿y la privacidad?

    Responder
  7. Sergio dice

    9 octubre, 2012 a las 11:32 am

    Pues muy interesante, pero opino exactamente igual que Alberto, chrome ha salido hasta en la pagina principal de Google, pero me parece interesante esta medida.

    Responder
  8. Anónimo dice

    9 octubre, 2012 a las 1:37 pm

    Yo personalmente no entiendo que un gobierno como el Aleman, recomendase no utilizarlo y sea el mas seguro. A mi me parece que es mas bien una contracampaña publicitaria para aliviar los rumores y noticias que han recorrido ultimamente.

    Respondiendo al que se queja de la lentitud… si tienes micro de 64 bits prueba a instalar el Waterfox

    Responder
  9. Anónimo dice

    10 octubre, 2012 a las 3:21 pm

    +1

    Responder
  10. Yaren dice

    10 octubre, 2012 a las 4:14 pm

    A mi me gusta mucho Chrome. Y para la persona que siente que Google lo espía no importa lo que haga (lo cual también creo), yo descargué un programita llamado Do Not Track Plus y me funciona excelente. La verdad no solo google te rastrea sino todas las redes sociales cuando las tienes activas. Así que Do Not Track Plus también impide te sigan.

    Responder
  11. InformaticaSeo dice

    15 octubre, 2012 a las 6:40 pm

    Buen punto Anónimo, la privacidad es algo importante, por eso Google se esfuerza por presentarnos en donde sea la invitación de descargarnos Crome, yo uso Firefox, para mi no es tan lento, últimamente he estado despidiendo a IE9 por sus errores como mensiona el articulo,y podemos hacer lo que tu dices.

    saludos a todos.

    Responder

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscar

Síguenos

siguenos en twitter

UAD360 EDICIÓN 2022

https://www.youtube.com/watch?v=go_CSWK56yU

Populares de UAD

  • Campañas de phishing utilizan Flipper Zero como cebo
  • Hydra, el malware que afecta tanto a entidades bancarias como a exchange de criptomonedas
  • Tamagotchi para hackers: Flipper Zero
  • USB Killer, el enchufable que puede freir tu equipo
  • Evasión de CloudTrail en AWS a través de API no documentada

Entradas recientes

  • Evasión de CloudTrail en AWS a través de API no documentada
  • Parches de enero 2023: Microsoft corrige 98 vulnerabilidades
  • UAD se abre a la comunidad
  • Campañas de phishing utilizan Flipper Zero como cebo
  • Vulnerabilidades críticas en productos de Synology
  • Más de dos docenas de errores de WordPress explotados por un nuevo malware de Linux
  • Descubierta una nueva campaña de malware que se propagaba a través de los anuncios de Google
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

UAD

UAD nació a raíz de un inocente comentario en un canal IRC hace 24 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Aviso Legal

  • Aviso Legal
  • Términos y Condiciones
  • Política de Privacidad
  • Política de Cookies

Copyright © 2023 · Hispasec Sistemas, S.L. Todos los derechos reservados

Este sitio web utiliza cookies propias y de terceros para fines analíticos y para mostrarte publicidad (tanto general como personalizada) relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas), para optimizar la web y para poder valorar las opiniones de los servicios consultados por los usuarios. Para administrar o deshabilitar estas cookies haz clic en: Configurar Cookies


Rechazar todo Aceptar Todo
Configurar Cookies

Resumen de privacidad

Este sitio web utiliza cookies para mejorar su experiencia mientras navega por el sitio web. De estas, las cookies que se clasifican como necesarias se almacenan en su navegador, ya que son esenciales para el funcionamiento de las funcionalidades básicas del sitio web. También utilizamos cookies de terceros que nos ayudan a analizar y comprender cómo utiliza este sitio web. Estas cookies se almacenarán en su navegador solo con su consentimiento. También tiene la opción de optar por no recibir estas cookies. Pero la exclusión voluntaria de algunas de estas cookies puede afectar su experiencia de navegación.
Necesaria
Siempre activado
Las cookies necesarias son absolutamente esenciales para que el sitio web funcione correctamente. Estas cookies garantizan funcionalidades básicas y características de seguridad del sitio web, de forma anónima.
CookieDuraciónDescripción
cookielawinfo-checkbox-analytics11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Análisis".
cookielawinfo-checkbox-functional11 monthsLa cookie está configurada por el consentimiento de cookies de GDPR para registrar el consentimiento del usuario para las cookies en la categoría "Funcional".
cookielawinfo-checkbox-necessary11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. Las cookies se utilizan para almacenar el consentimiento del usuario para las cookies en la categoría "Necesario".
cookielawinfo-checkbox-others11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Otro.
cookielawinfo-checkbox-performance11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Rendimiento".
viewed_cookie_policy11 monthsLa cookie está configurada por el complemento de consentimiento de cookies de GDPR y se utiliza para almacenar si el usuario ha dado su consentimiento o no para el uso de cookies. No almacena ningún dato personal.
Analítica
Las cookies analíticas se utilizan para comprender cómo interactúan los visitantes con el sitio web. Estas cookies ayudan a proporcionar información sobre métricas, el número de visitantes, la tasa de rebote, la fuente de tráfico, etc.
GUARDAR Y ACEPTAR