Porzucić IE. Albo i nie

[KopalniaWiedzy.pl 358]

Ponad połowa (52%) osób, które wzięły udział w ankiecie firmy Sophos uznała, że należy w ogóle porzucić Internet Explorera, by czuć się bezpiecznym. Jednak 20% nie zgadza się z tą opinią twierdząc, że zmiana przeglądarki nie zwiększa bezpieczeństwa, gdyż wszystkie programy zawierają dziury. Kolejne 15% uznało, że zmiana programu nie uchroni przed niebezpieczeństwem, którego można uniknąć wykorzystując oprogramowanie zabezpieczające i zdrowy rozsądek. Pozostałe 14% stwierdziło, że czasowe porzucenie IE może być dobrym rozwiązaniem.

Graham Cluley z Sophosa ostrzega pracowników firm, by samodzielnie nie podejmowali decyzji o zmianie przeglądarki. Jeśli wasz wydział IT nie wspiera oficjalnie innej przeglądarki, a wy nie macie doświadczenia w korzystaniu z alternatyw, możecie spowodować sporo problemów, jeśli zaczniecie używać innego oprogramowania. Wykorzystywane w firmie aplikacje sieciowe mogą nie działać prawidłowo lub w ogóle nie pracować pod innymi przeglądarkami. To źle odbije się na waszej pracy. Poza tym, co zrobicie, gdy inna przeglądarka też będzie zawierała błędy? Znowu ją zmienicie? Radzę, byście rezygnowali z IE tylko wówczas, gdy naprawdę wiecie, co robicie - stwierdził Cluley.

Tymczasem Microsoft obiecuje, że wyda poprawkę do IE poza zwyczajowym comiesięcznym cyklem. Dziura, która pozwoliła na zaatakowanie Google'a i innych firm, istnieje w IE 6, 7 oraz 8. Na razie wykorzystywane jest tylko podczas sporadycznych, bardzo precyzyjnych ataków na użytkowników IE 6, chociaż ukazał się już prototypowy szkodliwy kod dla IE 7.

[wilk 103]

Fakt, w firmach to może być nieco problematyczne, ale nic nie stoi na przeszkodzie, by jeśli faktycznie są problemy z aplikacjami firmowymi używać IE, a do wyszukiwania materiałów innych, bezpieczniejszych przeglądarek. Argument z błędami jest śmieszny. Błędów nie da się uniknąć i są one zawsze wliczone w ryzyko, zwłaszcza w skomplikowanych aplikacjach. Chyba wszystkie rodziny przeglądarek zaliczają po drodze różne wpadki. Celem jest to, by ich ilość zminimalizować i by nie były krytyczne, czego niestety o IE nie można powiedzieć.

 

PS. Tylko mi wychodzi 101%?

[Mariusz Błoński 197]

Nie, mi też tyle wychodzi Wystarczy, że każdą wartość nieco zaokrąglono.

Ja się zgadzam z tymi 15%. Bez względu na to, jakiego programu się używa, najważniejszym zabezpieczeniem jest własny rozsądek. Nawet te dziury w IE, które pozwoliły na zaatakowanie Google'a i innych, wymagały, by użytkownik klinął na przesłane mu linki.

[marc 3]

Jednak 20% nie zgadza się z tą opinią twierdząc, że zmiana przeglądarki nie zwiększa bezpieczeństwa, gdyż wszystkie programy zawierają dziury.

No tak, ale wylacznie przy "komunistycznym" i niezbyt rozsadnym zalozeniu, ze wszystkie programy sa tak samo projektowane, pisane i maja tyle samo dziur

To falszowanie rzeczywistosci.

 

Graham Cluley z Sophosa ostrzega pracowników firm, by samodzielnie nie podejmowali decyzji o zmianie przeglądarki. Jeśli wasz wydział IT nie wspiera oficjalnie innej przeglądarki, a wy nie macie doświadczenia w korzystaniu z alternatyw, możecie spowodować sporo problemów, jeśli zaczniecie używać innego oprogramowania. Wykorzystywane w firmie aplikacje sieciowe mogą nie działać prawidłowo lub w ogóle nie pracować pod innymi przeglądarkami. To źle odbije się na waszej pracy. Poza tym, co zrobicie, gdy inna przeglądarka też będzie zawierała błędy? Znowu ją zmienicie? Radzę, byście rezygnowali z IE tylko wówczas, gdy naprawdę wiecie, co robicie - stwierdził Cluley.

No tak, idiota zrobi sobie krzywde nawet gumowa pilka.

[Eselix 0]

Bez względu na to, jakiego programu się używa, najważniejszym zabezpieczeniem jest własny rozsądek.

 

A ja z kolei obstaję za tymi 52% procentami. To fakt, że zdrowy rozsądek to podstawa. Ale w przypadku IE było i nadal znajduje się mnóstwo błędów, przy których wystarczy jedynie wejść na odpowiednio spreparowaną stronę, aby zarazić swój komputer.

 

Nie wiem co jest z tymi osobami, które zajmują się programowaniem IE, ale jak można oczekiwać od nich, że będą dbali o bezpieczeństwo, jak olewają błędy, o których wiadomo od dawna. Przykład pierwszy z brzegu, wyświetlanie przeźroczystych plików PNG. Błąd ten ciągnął się od wersji IE5 do IE8. Nie wiem jak w nowszych IE. Tak samo z interpretacją kodu HTML czy CSS. Co prawda nie są to błędy krytyczne, ale wkurzają chyba wszystkich webmasterów. Nie można praktycznie stosować niektórych użytecznych konstrukcji przy projektowaniu strony, bo IE, które jest używane przez ok. 50% użytkowników, ich po prostu nie obsłuży, albo zrobi to inaczej niż opisano w standardach, czyli inaczej niż zrobią to inne przeglądarki. Trzeba mieć listę rzeczy, których nie można zrobić ze względu na niepoprawne obsługiwanie ich w IE.

[wilk 103]

Nie wiem co jest z tymi osobami, które zajmują się programowaniem IE, ale jak można oczekiwać od nich, że będą dbali o bezpieczeństwo, jak olewają błędy, o których wiadomo od dawna. Przykład pierwszy z brzegu, wyświetlanie przeźroczystych plików PNG. Błąd ten ciągnął się od wersji IE5 do IE8. Nie wiem jak w nowszych IE. Tak samo z interpretacją kodu HTML czy CSS. Co prawda nie są to błędy krytyczne, ale wkurzają chyba wszystkich webmasterów.

 

Akurat odmienne interpretowanie standardów nie prowadzi do luk bezpieczeństwa. Błędy (a raczej brak obsługi) z PNG i kanałem alpha występowały w wersjach 5.5 i 6, aczkolwiek zostały opracowane odpowiednie środki zaradcze dla webmasterów i dość łatwo ten problem zniwelować (użycie filtru). Jedyną jego tragedią jest CSS, ale to już inna bajka.

[Mariusz Błoński 197]

@marc: wcale nie muszą być tak samo projektowane. Każdy program zawiera błędy. I im jest bardziej popularny oraz bardziej "na zewnątrz", tym chętniej błędy będą w nim szukane.

Olbrzymia liczba użytkowników i tak nie stosuje łat. Gdy np. piszę o wielkich botnetach, do których należą miliony komputerów, to najczęściej okazuje się, że zostały one dołączone do botnetu dzięki oprogramowaniu, które wykorzystuje lukę załataną pół roku czy rok wcześniej.

Ludzie generalnie nie stosują luk, klikają na linki, kŧóre przychodzą do nich pocztą i to jest główna przyczyna.

Liczba dziur czy prędkość ich łatania ma, moim zdaniem, drugorzędne znaczenie. Najważniejsza jest popularność danego oprogramowania no i rozsądek użytkowników. Ale ten drugi czynnik jest zapewne stały w populacji.

[w46 1]

Nawet te dziury w IE' date=' które pozwoliły na zaatakowanie Google'a i innych, wymagały, by użytkownik klinął na przesłane mu linki.[/quote']

Akurat w tym przypadku świadomość nie klikania w podejrzane linki może być niewystarczająca aby się urchronić - złośliwy link można umieścić na bezpiecznej stronie i w takim przypadku stanie się wiarygodny. Przykład ? http://wsad.it/gosc/zakop_auto_w_sniegu-jpg

 

Dodam że dzięki powszechnym błędom w stronach www takie linki mogą być zupełnie niewidoczne i wejście na wiarygodną stronę samoczynnie powoduje ich uruchomienie (za pomocą ajax, iframe,...)

[Marek Nowakowski 0]

Opera turbo + cFosSpeed na ADSL i szybkiego czytania, a Firefox do oglądania stream'owanego "syfu" AV czy dawania komentarzy bez coockies (wtedy moderator tylko widzi host'a i IP - jeśli zBLOCkuje to zmiana nazwy i restarcik kompo-grata.

[marc 3]

@marc: wcale nie muszą być tak samo projektowane. Każdy program zawiera błędy. I im jest bardziej popularny oraz bardziej "na zewnątrz", tym chętniej błędy będą w nim szukane.

Toc o tym ja pisze, Mariuszu. Zakwestionowalem punkt widzenia tych 20%. Uwazam podobnie do ciebie. Inna jednak rzecza jest jakosc i dostepnosc kodu, a ten aspekt jest nie do przecenienia.

[Eselix 0]

Akurat odmienne interpretowanie standardów nie prowadzi do luk bezpieczeństwa.

 

Ja tego nie napisałem. Wyraziłem opinię, że nie ma co liczyć na bezpieczną przeglądarkę, jeśli programiści nie poprawiają znanych już od kilku lat błędów. To nie niewiedza czy nieświadomość programistów powoduje tyle luk bezpieczeństwa w IE tylko ich mentalność.

 

 

 

aczkolwiek zostały opracowane odpowiednie środki zaradcze dla webmasterów i dość łatwo ten problem zniwelować

 

Każdy problem można jakoś obejść. Tylko po co robić problemy? Albo nawet skoro wie się o jakimś problemie ze swoim produktem, to dlaczego się go przez tyle czasu nie naprawia?

[wilk 103]

Każdy problem można jakoś obejść. Tylko po co robić problemy? Albo nawet skoro wie się o jakimś problemie ze swoim produktem, to dlaczego się go przez tyle czasu nie naprawia?

 

Ale to nie jest błąd, tylko brak obsługi tej funkcjonalności. Nie można się spodziewać, że producent oprogramowania będzie dodawał wodotryski do wersji, które już tylko podlegają konserwacji i poprawianiu ewentualnych błędów. Niestety MS sam sobie szkodzi wciąż wspierając wersje retro. Mimo wszystko choć progres jest, to są oni jednak w tyle.

[Eselix 0]

Ale to nie jest błąd, tylko brak obsługi tej funkcjonalności.

 

No to już można polemizować czy nieprzestrzeganie ustalonych standardów, albo niepełna obsługa trzeciego z najbardziej popularnych internetowych formatów graficznych są błędami czy tylko zbędnymi wodotryskami. Z punktu widzenia zwykłych użytkowników, czyli większości, jest to bez znaczenia. Ale te wszystkie drobiazgi blokują możliwość używania nowoczesnych rozwiązań. Choćby CSS2, dla IE8 jest on nowoczesny.

 

Tak wiem, istnieją hacki i inne obejścia, ale to nie tak powinno wyglądać w najbardziej popularnej przeglądarce. Gdyby nie to, że większość ludzi jej używa, nikt by się nie przejmował jakąś tam brakującą funkcjonalnością. To powinien być problem twórców przeglądarki żeby poprawnie wyświetlała strony, a nie twórców stron żeby dobrze wyglądały w wadliwej przeglądarce.

 

 

Nie można się spodziewać, że producent oprogramowania będzie dodawał wodotryski do wersji, które już tylko podlegają konserwacji i poprawianiu ewentualnych błędów.

 

Nikt tego nie oczekuje. Kiedy błąd został wykryty (piszę o PNG), to nie były jeszcze wersje retro. I jeszcze długo, bo chyba przez 10 lat, mimo wiedzy o o nim, nie poprawiano go.