Firefox将添加新的Driver-by-Download保护

2020-09-05 01:16:42

Mozilla将在10月份为Firefox增加一项新的安全功能,这将使恶意网页更难启动自动下载,并在用户的计算机上植入恶意软件文件。

这种类型的攻击被称为免费驾车下载,已经存在了20年,通常发生在用户访问包含攻击者放置在那里的恶意代码的网站时。

恶意代码的作用是滥用浏览器和Web标准中的合法功能来启动自动文件下载或下载提示,希望诱使用户运行恶意文件。

根据攻击者决定使用的浏览器功能,有多种形式的路过下载。

多年来,像Chrome、Firefox和Internet Explorer这样的浏览器已经逐渐部署了各种形式的保护,以防止自动路过下载,但100%的保护无法完全实现,因为浏览器制造商无法完全阻止合法的网络功能,也因为网络攻击的格局不断变化,攻击者总是找到新的漏洞来攻击。

浏览器制造商决定推出的最新一轮保护措施针对的是一种名为沙盒iFrames的技术,该技术通常用于在第三方网站上加载广告和可嵌入的小工具(视频、音乐曲目、播客)。浏览器制造商决定推出的最新一轮保护措施,针对的是一种名为沙盒iFrames的技术,该技术通常用于在第三方网站上加载广告和嵌入式小工具(视频、音乐和播客)。

这个想法是网站很少通过沙盒iframe发起下载,因为这些小部件中的大多数通常都是用来嵌入内容的。

2019年3月,随着Chrome 73的发布,Chrome率先屏蔽了沙盒iframes&34;发起的下载,2020年5月,该选项在Chrome 83中被完全删除。

本周,火狐也宣布了类似的计划。从计划于2020年10月发布的Firefox82开始,Firefox将屏蔽所有来自沙盒iFrame的文件下载。

唯一允许下载的情况是网站所有者或Web小部件提供商在iframe;上有允许下载标志,但是,大多数人没有,因为这存在安全风险,这也是他们在第一次使用沙盒iframe而不是经典iframe的原因之一。?

浏览器是一堆复杂的代码,这是宏伟计划中的一个小更新,但这通常是您构建安全产品的方式,在威胁到来时做出反应,并随着时间的推移进行一些细微的调整。

向Safari WebKit团队提出了类似的功能,但尚未制定实施计划。