Các tính năng bảo mật mới trong Internet Explorer 7

Việc sử dụng các từ “Security” và “Internet Explorer” trong cùng một câu khiến các nhà quản trị không khỏi bật cười. Có lẽ do thực tế là trước Windows XP Service Pack 2, tính bảo mật trong Internet Explorer 6 còn rất kém. Windows XP Service Pack 2 có quan tâm tới một số vấn đề bảo mật của Internet Explorer, nhưng cũng không đáng kể.

Trong Internet Explorer 7, Microsoft đã giải quyết được nhiều vấn đề bảo mật vốn cản trở người dùng chấp nhận Internet Explorer trong thập kỷ trước. Tất nhiên chỉ có thời gian mới trả lời được liệu Internet Explorer 7 có thực sự bảo mật hay không, nhưng trong bài báo này, chúng tôi muốn giới thiệu với các bạn một số tính năng bảo mật mới của Internet Explorer 7.

Tạm biệt SSL 2.0

Trong Internet Explorer 6, khi người dùng ghé thăm trang web yêu cầu mã hóa HTTPS, theo mặc định, nó sẽ sử dụng SSL 2.0 để mã hóa phiên làm việc, nhưng người dùng có thể lựa chọn chuyển sang TLS để tăng tính bảo mật. Trong Internet Explorer 7, Microsoft sẽ không còn hỗ trợ SSL 2.0. Điều này có nghĩa là các trang Web sẽ không phải lưu lại, nhưng nhiều chuyên gia phân tích cho rằng không có mấy trang web chỉ hoàn toàn sử dụng SSL 2.0 mà không hỗ trợ TLS.

Một thay đổi khác có liên quan tới HTTPS là cách thức Internet Explorer đáp ứng khi gặp một trang web được mã hóa bởi HTTPS, nhưng cũng có chứa nội dung HTTP. Khi Internet Explorer 6 gặp phải một trang như vậy, trình duyệt này sẽ hỏi người dùng xem họ có muốn hiển thị tất cả các mục được bảo mật cùng với các mục không được bảo mật hay không. Vì phần lớn người dùng không hiểu biết sâu về các hậu quả có thể xảy ra do việc hiển thị các dữ liệu không an toàn trong một trang web bảo mật nên Internet Explorer 7 sẽ loại bỏ đi tùy chọn này và chỉ hiển thị nội dung an toàn trong các trang được truy cập thông qua HTTPS.

Security Zone thay đổi

Từ nhiều năm nay, Internet Explorer đã hỗ trợ sử dụng security zones (các vùng an toàn). Ý tưởng đằng sau security zones là một vài trang web đáng tin cậy hơn các trang khác. Ví dụ, nếu bạn có một thiết lập mạng Intranet, có thể bạn sẽ hoàn toàn tin tưởng rằng máy chủ của mình không gửi nội dung xấu tới các máy trạm trong mạng. Tuy nhiên, có thể bạn sẽ không tin tưởng vào các trang web lạ nào đó.

Chính vì vậy mà Microsoft đã tạo ra security zones. Từ nhiều năm nay, security zones đã là một phần của Internet Explorer. Chúng bao gồm các trang Internet, mạng Intranet cục bộ, các trang tin cậy, và các trang bị giới hạn. Cơ sở cho ý tưởng này là một trang web có thể được xếp vào một trong bốn loại trên, và Internet Explorer sẽ giới hạn các quyền tương ứng.

Ví dụ, nếu một trang được đặt vào restricted sites zone (các trang bị giới hạn), người dùng có thể vào thăm site, nhưng Internet Explorer sẽ không cài đặt các điều khiển Active X từ trang này, cũng như sẽ không chạy các đoạn kịch bản tồn tại trong đó. Mặt khác, nếu một trang được phân loại vào local Intranet, thì sẽ ít bị giới hạn hơn. Có một số giới hạn liên quan tới việc sử dụng các điều khiển Active X (đặc biệt là các điều khiển Active X không được đóng dấu – unsigned), còn ngoài ra, trang sẽ được thực thi mà không vấp phải trở ngại nào từ phía trình duyệt.

Còn có một thay đổi lớn trong cách thức hoạt động của các vùng (zone) trong Internet Explorer 7. Một trong số các thực tập viên tại Microsoft có ý tưởng rằng hầu hết người dùng tại nhà đều không có mạng intranet, và do vậy, vùng Intranet nên được loại bỏ. Lý do ẩn sau đó là mạng Intranet cục bộ là một khu vực trong đó các trang Web được kiểm duyệt có thể chạy ít quyền hơn. Vì hầu hết người dùng tại nhà đều không có mạng Intranet cục bộ nên vùng Intranet cục bộ không thực sự phục vụ cho mục đích gì khác ngoài việc đóng vai trò là một nơi mà các trang Web xấu có cơ hội thực thi được ít quyền hạn hơn.

Microsoft thích ý tưởng này và đã bắt tay vào thiết kế Internet Explorer 7, bổ sung khả năng kiểm tra xem máy tính của người dùng có được kết nối tới một domain nào hay không. Nếu máy tính không phải là một phần của domain thì Internet Explorer giả định rằng nó thuộc quyền sở hữu của một người dùng tại nhà, và sẽ vô hiệu hóa vùng Intranet cục bộ trên máy đó.

Lọc Phising

Một trong những tính năng bảo mật tốt nhất trong Internet Explorer 7 là lọc phising. Phising đã trở thành một vấn đề thu hút được nhiều sự quan tâm trong vài năm qua. Đã có nhiều cuộc tấn công phising, nhưng một trong số các tấn công phổ biến nhất là giả mạo e-mail. Thông thường, kẻ thực hiện tấn công phising sẽ gửi đi một thông điệp e-mail được thiết kế sao cho giống với e-mail đến từ ngân hàng của bạn, và yêu cầu bạn đăng nhập với tài khoản vì một vài lý do nào đó (thường là để kiểm tra số dư tài khoản của bạn). E-mail này sẽ chứa liên kết tới ngân hàng của bạn.

Nhìn bề ngoài, đường link đến trang web này có vẻ hoàn toàn đáng tin cậy, nhưng thông điệp e-mail được thiết kế để trang mà liên kết thực sự chỉ tới không giống với trang mà liên kết hiển thị. Chẳng hạn, liên kết có thể có dạng: http://www.mybank.com, nhưng đoạn mã ẩn dưới đó sẽ đưa bạn tới trang http://207.68.172.246.

Địa chỉ IP mà liên kết đưa bạn tới sẽ là một máy chủ web được cài đặt có giao diện “nhìn và cảm nhận” giống như máy chủ web của ngân hàng của bạn. Công việc của máy chủ web này là hiển thị một lệnh nhắc bạn phải đăng nhập. Khi bạn đăng nhập, trang này sẽ ghi lại (đánh cắp) số tài khoản và mật khẩu của bạn, và sau đó điều hướng bạn tới trang web thực sự. Thường thì người dùng chỉ cảm thấy rằng họ đã gõ mật khẩu không đúng, và không bao giờ nhận ra rằng họ vừa trao số tài khoản và mật khẩu cho kẻ đánh cắp, cho tới khi tài khoản của họ trống trơn.

Bộ lọc phising được thiết kế để bảo vệ người dùng trước kiểu tấn công này. Giả định rằng bạn lựa chọn kích hoạt bộ lọc phising, khi đó nó sẽ phân tích tất cả các URL mà bạn ghé thăm để đảm bảo chắc chắn rằng chúng là các trang web hợp lệ chứ không phải các trang phục vụ mục đích tấn công kiểu phishing.

Ví dụ, giả sử bạn click vào một liên kết trong nội dung e-mail, liên kết này sẽ dẫn bạn tới địa chỉ http://207.68.172.246/result.aspx?id=4. Điều đầu tiên mà bộ lọc phishing thực hiện là loại bỏ dấu hỏi (?) và những gì theo sau nó. Trong ASP, dấu hỏi được sử dụng như một cơ chế truyền biến giữa các trang Web. Vì các biến này có khả năng chứa thông tin người dùng, và không có tác dụng gì trong việc chứng minh trang Web có hợp lệ hay không nên chúng được loại bỏ. Trong trường hợp này, chúng ta còn lại: http://207.68.172.246/result.aspx .

Theo AI VietNam