IE8.0 Beta - Các bác tham khảo nhé
Microsoft vừa công bố một số tính năng bảo mật mới được tích hợp trong phiên bản thử nghiệm Internet Explorer 8 Beta 2. Đó là công cụ chống mã độc "SmartScreen Filter", bộ lọc chống tấn công “Cross-site scripting”...
ADVERTISEMENT
Bên cạnh đó, trình duyệt mới này còn có thêm chế độ giúp người dùng lướt web mà không lưu lại bất cứ thông tin gì ( Microsoft vừa công bố một số tính năng bảo mật mới được tích hợp trong phiên bản thử nghiệm Internet Explorer 8 Beta 2. Đó là công cụ chống mã độc "SmartScreen Filter", bộ lọc chống tấn công “Cross-site scripting”...
ADVERTISEMENT
Bên cạnh đó, trình duyệt mới này còn có thêm chế độ giúp người dùng lướt web mà không lưu lại bất cứ thông tin gì. Bằng việc bấm vào nút Privacy mode, người dùng IE có thể tự quyết định việc họ sẽ cho phép trình duyệt lưu lại bao nhiêu thông tin hoặc họ đã làm gì trên web.
Ngoài ra, hôm 30-7 vừa qua, một blogger có tên là Long Zheng ở Úc đã phát hiện hai ứng dụng đặc biệt mà Microsoft sử dụng trong IE 8 có tên là “Cleartrack” và “Inprivate”.
Đây được coi là những tính năng đáng kể nhất của trình duyệt Internet mà Microsoft dự định tung ra trong thời gian tới.
Microsoft thực hiện điều này vì thời gian qua các vụ lấy cắp thông tin nhạy cảm thông qua việc nhúng mã độc và tấn công XSS liên tục tăng. Hàng chục ngàn trang web, gồm cả các trang của ngân hàng và y tế cũng đã bị nhiễm mã độc. Trong những năm qua, người sử dụng Firefox đã có một chương trình bảo vệ khá hữu dụng, mặc dù cũng chưa phải là hoàn hảo, nhưng hiện nay IE chưa có chương trình bảo vệ như vậy.
Chống mã độc
Công cụ bảo mật đầu tiên được bổ sung vào IE8 Beta 2 có tên "SmartScreen Filter", giúp bổ sung thêm khả năng chống mã độc cho công cụ chống lừa đảo trực tuyến đã có sẵn trong Internet Explorer 7.
Thực chất SmartScreen Filter tương tự cơ chế bảo vệ được tích hợp trong Firefox 3.0 và Opera 9.5. Chức năng của công cụ này là cảnh báo người dùng khi họ truy cập vào bất kỳ website nào đã được nhận diện là độc hại đồng thời chặn mọi yêu cầu tải tệp tin xuống PC người dùng từ những website như thế này.
Không giống như Firefox dựa chủ yếu trên một "danh sách đen" những website độc hại đã được nhận diện lưu trữ trực tiếp trên PC người dùng và được cập nhật liên tục mỗi khi người dùng kết nối Internet, IE8 sẽ chủ động ra quyết định website đang truy cập có độc hại hay không bằng cách PING trực tiếp đến máy chủ chứa website đó.
Ngoài ra, Microsoft cũng sẽ sử dụng nhiều nguồn thông tin từ các hãng khác nhau để xây dựng nên "một danh sách đen" các website độc hại và lừa đảo trực tuyến cũng như từ công cụ Windows Defender của chính hãng. Austin Wilson - giám đốc quản lý sản phẩm máy trạm Windows - cho biết không tiết lộ danh sách những hãng cung cấp thông tin.
"Microsoft sẽ sử dụng các luồng thông tin (data feed) và cập nhật danh sách đen nhiều lần trong một ngày - ông Wilson cho biết - IE8 sẽ chủ động kết nối tới máy chủ chứa website khi người dùng truy cập. Nếu đó là website độc hại hoặc lừa đảo trực tuyến thì IE8 sẽ chặn truy cập đến website đó và phát lời cảnh báo người dùng".
Ông Wilson cũng phủ nhận quan điểm cho rằng tiến trình kiểm tra như thế sẽ làm chậm hiệu suất duyệt web của IE8. "Quá trình IE8 kết nối tới máy chủ website diễn ra gần như đồng thời với việc tái hiện lại website đó trên cửa sổ trình duyệt".
Chống tấn công XSS
Công cụ bảo mật thứ hai được tích hợp trong IE8 Beta 2 là bộ lọc chống tấn công XSS (cross-site scripting). "Cho dù người dùng có kiểm tra đường dẫn URL nhằm bảo đảm đường dẫn đó đúng và trỏ đến website hợp pháp nhưng họ vẫn thường xuyên bị tấn công. Nguyên nhân là do lỗi bảo mật bên phía máy chủ web. Chính vì thế mà Microsoft đã quyết định bổ sung thêm khả năng phát hiện tấn công XSS cho IE8. Tính năng này sẽ chặn các đoạn mã trên máy chủ giúp chặn không cho vụ tấn công được xảy ra trên trình duyệt".
Tính năng lọc tấn công XSS sẽ được mặc định kích hoạt trong IE8. Khi phát hiện ra vụ tấn công trình duyệt sẽ chủ động ngăn chặn và người dùng sẽ không phải "xử lý" bất kỳ pop-up hay hộp thoại bung ra để cảnh báo về việc này.
Để ngăn chặn những ảnh hưởng tới hoạt động của trình duyêt, bộ lọc chỉ “ra tay” với những trang web có thể thực hiện việc bẫy lỗi qua các lệnh (script). Do đó, các hình ảnh không có lệnh script sẽ được bỏ qua. Bộ lọc này cũng có đèn xanh báo với các mã xuất phát từ trang web người sử dụng đang ghé thăm. Nó cũng có thể vô hiệu hóa một số vùng cụ thể, tùy theo sự cài đặt ban đầu của admin.
Khi bộ lọc gặp bẫy lỗi script có tại trang người sử dụng đang ghé thăm, nó sẽ khởi động công cụ kiểm tra dữ liệu URL và POST của trang đó và phát hiện các lỗi XSS nếu có. Bộ lọc này sẽ quét URL để tìm các bẫy lệnh nếu có. Khi phát hiện ra nó sẽ kiểm tra mã phản hồi của HTTP và tạo ra một chữ ký. Chữ ký này sẽ được so sánh với HTTP và các mã độc sẽ cô lập. Thay vì phải chạy mã, IE sẽ hiển thị thông báo cho biết trang web này bị phát hiện có tấn công XSS.
Các nhà nghiên cứu về an toàn mạng đã chỉ trích phương pháp tiếp cận này khá nhiều. Giorgio Maone, tác giả của NoScript, cho biết có nhiều khả năng bộ lọc bỏ qua nhiều vụ tấn công vì nó yêu cầu kiểm tra phản hồi của HTTP. Những vụ tấn công sử dụng JavaScript thông thường hoặc không có phản hồi với trình duyệt có thể sẽ bị bỏ qua.
Tuy nhiên, theo Dave Aiel, giám đốc kỹ thuật của Immunity Security, vì IE so sánh một trang web với trang vừa quay lại trước đó, bộ lọc có thể đưa ra những quyết định đúng đắn khi có vụ tấn công xảy ra.
). Bằng việc bấm vào nút Privacy mode, người dùng IE có thể tự quyết định việc họ sẽ cho phép trình duyệt lưu lại bao nhiêu thông tin hoặc họ đã làm gì trên web.
Ngoài ra, hôm 30-7 vừa qua, một blogger có tên là Long Zheng ở Úc đã phát hiện hai ứng dụng đặc biệt mà Microsoft sử dụng trong IE 8 có tên là “Cleartrack” và “Inprivate”.
Đây được coi là những tính năng đáng kể nhất của trình duyệt Internet mà Microsoft dự định tung ra trong thời gian tới.
Microsoft thực hiện điều này vì thời gian qua các vụ lấy cắp thông tin nhạy cảm thông qua việc nhúng mã độc và tấn công XSS liên tục tăng. Hàng chục ngàn trang web, gồm cả các trang của ngân hàng và y tế cũng đã bị nhiễm mã độc. Trong những năm qua, người sử dụng Firefox đã có một chương trình bảo vệ khá hữu dụng, mặc dù cũng chưa phải là hoàn hảo, nhưng hiện nay IE chưa có chương trình bảo vệ như vậy.
Chống mã độc
Công cụ bảo mật đầu tiên được bổ sung vào IE8 Beta 2 có tên "SmartScreen Filter", giúp bổ sung thêm khả năng chống mã độc cho công cụ chống lừa đảo trực tuyến đã có sẵn trong Internet Explorer 7.
Thực chất SmartScreen Filter tương tự cơ chế bảo vệ được tích hợp trong Firefox 3.0 và Opera 9.5. Chức năng của công cụ này là cảnh báo người dùng khi họ truy cập vào bất kỳ website nào đã được nhận diện là độc hại đồng thời chặn mọi yêu cầu tải tệp tin xuống PC người dùng từ những website như thế này.
Không giống như Firefox dựa chủ yếu trên một "danh sách đen" những website độc hại đã được nhận diện lưu trữ trực tiếp trên PC người dùng và được cập nhật liên tục mỗi khi người dùng kết nối Internet, IE8 sẽ chủ động ra quyết định website đang truy cập có độc hại hay không bằng cách PING trực tiếp đến máy chủ chứa website đó. (Theo tui cách này cực kỳ hiệu quả vì các mã này được thay đổi rất thường xuyên và có các biến thể mà PC của mình không cập nhật được )
Ngoài ra, Microsoft cũng sẽ sử dụng nhiều nguồn thông tin từ các hãng khác nhau để xây dựng nên "một danh sách đen" các website độc hại và lừa đảo trực tuyến cũng như từ công cụ Windows Defender của chính hãng. Austin Wilson - giám đốc quản lý sản phẩm máy trạm Windows - cho biết không tiết lộ danh sách những hãng cung cấp thông tin.
"Microsoft sẽ sử dụng các luồng thông tin (data feed) và cập nhật danh sách đen nhiều lần trong một ngày - ông Wilson cho biết - IE8 sẽ chủ động kết nối tới máy chủ chứa website khi người dùng truy cập. Nếu đó là website độc hại hoặc lừa đảo trực tuyến thì IE8 sẽ chặn truy cập đến website đó và phát lời cảnh báo người dùng".
Ông Wilson cũng phủ nhận quan điểm cho rằng tiến trình kiểm tra như thế sẽ làm chậm hiệu suất duyệt web của IE8. "Quá trình IE8 kết nối tới máy chủ website diễn ra gần như đồng thời với việc tái hiện lại website đó trên cửa sổ trình duyệt".
Chống tấn công XSS
Công cụ bảo mật thứ hai được tích hợp trong IE8 Beta 2 là bộ lọc chống tấn công XSS (cross-site scripting). "Cho dù người dùng có kiểm tra đường dẫn URL nhằm bảo đảm đường dẫn đó đúng và trỏ đến website hợp pháp nhưng họ vẫn thường xuyên bị tấn công. Nguyên nhân là do lỗi bảo mật bên phía máy chủ web. Chính vì thế mà Microsoft đã quyết định bổ sung thêm khả năng phát hiện tấn công XSS cho IE8. Tính năng này sẽ chặn các đoạn mã trên máy chủ giúp chặn không cho vụ tấn công được xảy ra trên trình duyệt".
Tính năng lọc tấn công XSS sẽ được mặc định kích hoạt trong IE8. Khi phát hiện ra vụ tấn công trình duyệt sẽ chủ động ngăn chặn và người dùng sẽ không phải "xử lý" bất kỳ pop-up hay hộp thoại bung ra để cảnh báo về việc này.
Để ngăn chặn những ảnh hưởng tới hoạt động của trình duyêt, bộ lọc chỉ “ra tay” với những trang web có thể thực hiện việc bẫy lỗi qua các lệnh (script). Do đó, các hình ảnh không có lệnh script sẽ được bỏ qua. Bộ lọc này cũng có đèn xanh báo với các mã xuất phát từ trang web người sử dụng đang ghé thăm. Nó cũng có thể vô hiệu hóa một số vùng cụ thể, tùy theo sự cài đặt ban đầu của admin.
Khi bộ lọc gặp bẫy lỗi script có tại trang người sử dụng đang ghé thăm, nó sẽ khởi động công cụ kiểm tra dữ liệu URL và POST của trang đó và phát hiện các lỗi XSS nếu có. Bộ lọc này sẽ quét URL để tìm các bẫy lệnh nếu có. Khi phát hiện ra nó sẽ kiểm tra mã phản hồi của HTTP và tạo ra một chữ ký. Chữ ký này sẽ được so sánh với HTTP và các mã độc sẽ cô lập. Thay vì phải chạy mã, IE sẽ hiển thị thông báo cho biết trang web này bị phát hiện có tấn công XSS.
Các nhà nghiên cứu về an toàn mạng đã chỉ trích phương pháp tiếp cận này khá nhiều. Giorgio Maone, tác giả của NoScript, cho biết có nhiều khả năng bộ lọc bỏ qua nhiều vụ tấn công vì nó yêu cầu kiểm tra phản hồi của HTTP. Những vụ tấn công sử dụng JavaScript thông thường hoặc không có phản hồi với trình duyệt có thể sẽ bị bỏ qua.
Tuy nhiên, theo Dave Aiel, giám đốc kỹ thuật của Immunity Security, vì IE so sánh một trang web với trang vừa quay lại trước đó, bộ lọc có thể đưa ra những quyết định đúng đắn khi có vụ tấn công xảy ra.
Mời các bác tải về bản dùng thử. DOWNLOAD HERE
