Conociendo más sobre seguridad informática

Mejoras en la seguridad de dos navegadores líderes
de Internet

Introducción

No hace mucho tiempo, analizamos los dos navegadores principales de Internet, e intentamos comparar, frente a frente, su postura en relación con la seguridad. En ese entonces Internet Explorer 7 estaba comenzando con su versión beta y Firefox no era tan sofisticado como ahora con el lanzamiento de la versión 2.0.
Aunque no ha pasado mucho tiempo, en términos de desarrollo de aplicaciones, un año es mucho.
En esta edición de Conociendo más... evaluamos los avances en la seguridad realizados por estos dos actores en lo que se refiere a ofrecer una experiencia más segura en Internet.

Ambos navegadores también han realizado mejoras en simplicidad, capacidad de uso y de ampliación, pero estas no serán mencionadas aquí para poder concentrarnos solamente en los logros de seguridad obtenidos.

Consideraciones generales

Con el avance de Internet y la introducción de nuevas ideas y plataformas para el entretenimiento, como por ejemplo, YouTube o Virtual Earth 3D, que dependen de un navegador para recuperar contenido remoto, además del incremento en la velocidad de conexión y el florecimiento de los servicios por Internet, tales como servicios bancarios en línea, la necesidad de un navegador seguro se ha incrementado en gran medida.
Dado que los navegadores realizan un enlace de dos vías entre su ordenador e Internet (por ejemplo, cuando compra un libro en Amazon, su información de cuenta se envía al sitio remoto para ser verificada y se recibe la información de caja en su navegador) es importante que la conexión sea segura y que el navegador, un intermediario entre el usuario e Internet, sea completamente confiable.

Además, el peligro de una posible infección con un troyano o programa espía, con tan solo navegar inocentemente por Internet y aterrizar en el sitio equivocado, exige que los navegadores modernos estén protegidos contra el riesgo de instalación automática de código malicioso.

Nuevas características de seguridad en Internet Explorer

Internet Explorer 7 ha sido promocionado como un navegador revolucionario en el tema seguridad.
Su antecesor tuvo una historia de accidentes de este tipo y, no es sorprendente, que los creadores de Internet Explorer 7 hayan comenzado por fortalecer, de manera significativa, la seguridad integral del navegador.
Sin más preámbulos, vayamos directo a nuestro tema: nuevas mejoras de seguridad en Internet Explorer:

Mejora en la administración de direcciones de Internet

En versiones anteriores, el análisis de direcciones (procesamiento de sitios de Internet a los que se refiere una página HTML) era realizado en múltiples áreas, lo que causaba conflictos y problemas de sobrecarga del sistema. Estos problemas ocurren cuando la aplicación del navegador de Internet del cliente trata de procesar direcciones mal creadas que contienen caracteres en exceso o extraños. Entonces el navegador se sobrecarga con entradas inválidas y es obligado a ejecutar código malicioso implantado, de manera fraudulenta por los propietarios del sitio, en la dirección accedida.
En la nueva versión de Internet Explorer, el código interno para realizar análisis fue desarrollado nuevamente por completo y todas las rutinas de análisis son llevadas a cabo por un administrador.
Esto garantiza que el analizador de direcciones reconoce ciertos patrones de ataque y puede albergar la globalización de direcciones, conjuntos de caracteres internacionales y nombres de dominios.

Dicho de otra forma, el procesamiento de direcciones ha sido revisado para proteger a los usuarios contra las numerosas explotaciones relacionadas con la sobrecarga del sistema que acechaba a las versiones anteriores.
Esto es, por supuesto, una mejora que no puede ser medida fácilmente por un usuario con conocimientos comunes en la seguridad de los ordenadores. Tenemos que confiar en la promesa de Microsoft en ese sentido y ver qué tan potente es esta implementación contra los desagradables flagelos del código malicioso que hemos visto en el pasado y esperamos en el futuro.

Barreras contra el cruce de dominios

Debido a las fallas en la administración de guiones en el cruce entre dominios, que existían en versiones previas de Internet Explorer, los sitios maliciosos podían interactuar con otras ventanas en un ordenador, o acceder, así como reemplazar otro contenido externo con versiones modificadas.
Esto dio lugar a que los piratas entregaran contenido de sitios benignos dentro del contexto de una página de Internet creada de forma maliciosa y así, engañaban a los usuarios para que revelaran su información personal allí.
La explotación de las fallas también ha permitido a los agresores interceptar, y así controlar, los cuadros de diálogo que muestran otras ventanas, y reducir el nivel de protección de otros programas instalados.

Esto ya no es más posible con esta nueva versión, porque Internet Explorer, evita que los guiones contenidos en una página de Internet abandonen los límites de esa página y, de ese modo, garantiza que el código implementado, que pertenecen a un dominio en particular, no se inicie o interfiera con el contenido perteneciente a otros dominios.
Esto también evita la descarga, o ejecución de contenido malicioso, a través del cruce de guiones aprovechando la existencia de vulnerabilidades entre dominios.

Soporte de nombres de dominio internacionales (IDN)
y alerta de falsificación

Internet Explorer 7 soporta ahora caracteres internacionales en nombres de dominio, de forma tal que es posible registrar y acceder a sitios cuyos nombres/direcciones estén escritas en caracteres que no sean latinos, como por ejemplo, www.vinadelmar.cl.
Internet Explorer convierte automáticamente esas entradas al conjunto tradicional de caracteres ASCII, lo que permite crear nombres en sus idiomas nativos.

Los piratas han explotado, durante mucho tiempo, la incapacidad de los navegadores para reconocer un intento de falsificación del nombre de un sitio con una dirección alterada.
De esta forma, el nombre www.citigroup.com se convertiría, por ejemplo, en www.CITIGR0UP.com (donde la letra “O” es reemplazada por el cero), lo que es apenas detectable a simple vista.
Los usuarios desprevenidos podrían convertirse en víctimas de esas artimañas y brindar, sin intención, sus datos privados a delincuentes que han tratado que el nombre y la apariencia del sitio falso parezca real.

Con la llegada de los nombres de dominio internacionales, la tarea de los operadores de sitios maliciosos se simplifica aún más.

Ahora es posible crear fácilmente un sitio imitando una organización conocida y registrar su nombre con una pequeña diferencia, reemplazando partes de una dirección con caracteres tomados de otros alfabetos (por ejemplo, www.chase.com, donde la letra “à” se reemplaza con un símbolo tomado del conjunto de caracteres cirílico). El resultado final es que el nombre se vería exactamente igual en la escritura, pero sería interpretado por el navegador de una manera totalmente diferente.

Para evitar esto, Internet Explorer detecta si múltiples conjuntos de caracteres están contenidos dentro de una única etiqueta de nombre de dominio (como por ejemplo, www.agnitum.com) y alerta el usuario.
También muestra una notificación cuando un idioma no contenido en la lista de idiomas preferidos para Internet Explorer es ingresada en la barra de direcciones.

Restricciones opcionales de ActiveX

El usuario verá un mensaje si se intentara inicializar tipos de controles ActiveX, no utilizados previamente.

El uso de elementos ActiveX es, de alguna forma dudoso, ya que los desarrolladores de código malicioso pueden crear, colocar y engañar a los usuarios para que ejecuten este tipo de código almacenado en sitios corruptos.
Es muy positivo que Microsoft haya realizado avances positivos en la detención de la proliferación de código ActiveX falso, pero algunos expertos creen que no es suficiente e indican que este código debería ser directamente eliminado.

Otro punto preocupante en relación con ActiveX es que, por defecto, Internet Explorer 7 permite que se ejecuten estos controles y complementos en páginas de Internet. Esta configuración convierte a la navegación en una experiencia desalentadora, ya que cualquier sitio podría ejecutar estos elementos sin limitaciones.

Reparar mi configuración

Proporciona una opción para restaurar la configuración de seguridad de Internet Explorer, que haya sido modificada, al nivel recomendado por defecto.
Si un usuario debe reducir el nivel de seguridad para que cumpla con los requerimientos temporarios de algunos sitios que, de otra forma, no se visualizarían de forma adecuada, el navegador brinda una notificación visible, además de la barra de direcciones. Esta opción ofrece la posibilidad de revertir automáticamente la configuración modificada y retornar a la configuración segura.

Sin embargo, tuvimos algunos problemas con esta característica, dado que, sin querer, redujimos la configuración de seguridad al nivel mínimo y navegamos algunos sitios clandestinos con esos valores establecidos, y no se desplegó ningún alerta.
Sólo cuando cambiamos la configuración al nivel medio predeterminado apareció el alerta de perfil de seguridad poco estricto.
Esto podría atribuirse al efecto de “demora en la respuesta” y será solucionado por Microsoft más adelante.

Filtro contra la falsificación de sitios

Microsoft ha equipado a su producto con protección contra falsificación de sitios (Phishing).
Esta opción advierte al usuario de un sitio potencialmente fraudulento, cuando el programa detecta patrones coincidentes en una dirección de Internet.
Microsoft mantiene una base de datos de sitios falsificados conocidos que es actualizada a cada hora con la ayuda de sus socios de seguridad, y brinda esa información a Internet Explorer, de forma tal que el programa pueda detener el acceso a esos sitios.
El filtro contra falsificación funcionó bien en nuestro caso, prohibiendo el acceso a prácticamente la mitad de los sitios falsificados visitados.

Barra de estado de seguridad

Consiste en un sistema de alertas en color que notifica al usuario acerca de los problemas de seguridad o privacidad en un sitio. Las notificaciones aparecen a la derecha de la barra de direcciones, y brindan información avanzada y fácilmente accesible acerca del estado de seguridad de la página de Internet visitada.

Este campo puede mostrar diferente información dependiendo de la situación. Podrían ser datos de certificados de seguridad (aparecerá un icono de candado que se puede pulsar para obtener más información) o, si el sitio ha sido reconocido como fraudulento o sospechoso, su color se modifica a rojo o amarillo respectivamente.

Barra de direcciones siempre visible

Garantiza que el navegador siempre muestre una dirección de la página de Internet, sin importar si se trata de una ventana emergente o una página de Internet completa. Esta información ayuda a los usuarios a entender la ubicación exacta y las propiedades de asociación de la página.

Sin embargo, este proceso no siempre funciona: una página originada en un sitio de Internet de piratas evadió el bloqueador de ventanas emergentes integrado:

Aunque parte de la dirección todavía es visible, si el título hubiera sido cambiado en la figura anterior, sería casi imposible discernir la ubicación exacta de la página.
Internet Explorer tiene algunos elementos para mejorar aquí.

Complementos y complementos desactivados

Internet Explorer permite instalar diversos complementos y utilizarlos en el navegador. Estos pequeños programas pueden mejorar la funcionalidad del navegador y brindar mejoras adicionales en la capacidad de uso.
Dado que estos complementos son pequeños programas, no son invencibles contra fallas en el código y podrían, potencialmente, dañar al mismo navegador.
Para que esta aplicación sea más resistente a posibles fallas en estos elementos adicionales, se implementó el modo Complementos desactivados, que evita que Internet Explorer cargue los programas adicionales instalados y, en su lugar, los ejecute en un modo aislado y limpio.

Eliminar historial de navegación

Una opción para eliminar, de manera instantánea, categorías específicas del historial de navegación o todo el historial.
Es útil cuando se necesita ocultar detalles de un sitio que visitó anteriormente o simplemente desea eliminar toda la lista.

Características específicas de la versión Windows Vista

Además de características puras del programa, Internet Explorer realizó algunas mejoras diseñadas para funcionar en conjunto con la próxima versión de Windows Vista.
Específicamente, estarán disponibles dos refuerzos importantes para la seguridad: El modo restringido de Internet Explorer (para limitar Internet Explorer y la interacción con el sistema de archivos) y los controles para padres.

Nuevas características de seguridad en Mozilla Firefox

Recientemente, Firefox ha sido actualizado a la versión 2.0 y, aunque no recibió muchas características nuevas de seguridad, por lo general, se cree que el programa es más seguro que Internet Explorer.
Qué tan buena será la protección real para los dos navegadores renovados, solamente el futuro nos lo mostrará cuando sean expuestos a la prueba de la vida real. Aquí simplemente enumeraremos las opciones de seguridad de Firefox nuevas o mejoradas.

Protección contra falsificación de sitios

La herramienta de protección contra falsificación de sitios incorporada en Firefox es casi la misma que la de Internet Explorer.
El principio de funcionamiento es similar: si la dirección coincide con la base de datos de sitios falsificados informados, Firefox muestra una advertencia y trata de alejar al usuario de la página de Internet sospechada como falsa:

A diferencia de Internet Explorer, el navegador Firefox mostrará, en segundo plano, el contenido de la página de Internet bloqueada y utilizando una representación en color.

Actualización automática

A diferencia de Internet Explorer, Firefox se actualiza automáticamente a la última versión, reduciendo el periodo durante el cual alguna vulnerabilidad descubierta permanezca sin parches.
Los ingenieros de Firefox merecen un reconocimiento por ese esfuerzo. Lo que resulta también interesante es que Firefox no solamente puede descargar las actualizaciones completas de las próximas versiones sino también las actualizaciones incrementales de cualquier componente vulnerable de Firefox.

Ejecución de código externo e instalación de complementos

Firefox instala complementos y descarga archivos desde Internet únicamente con consentimiento explícito de parte del usuario. Cualquier elemento que el navegador trate de ejecutar será acompañado por un mensaje.
Firefox no soporta los guiones ActiveX y, por lo tanto, no es vulnerable a los males del mismo.

Eliminación inmediata de datos privados

Internet Explorer copió la capacidad de Firefox de eliminar rápidamente el historial de navegación y otro contenido relacionado.
Todo es simple y llano en Firefox: se pulsa un botón y se elimina la información seleccionada, lo que ayuda a navegar de una forma más personal y privada.

Código fuente abierto y colaborativo

Firefox es un navegador gratuito de código abierto, que se actualiza, a través de la Fundación Mozilla, con mayor frecuencia que Internet Explorer de Microsoft.
Además, cualquier persona que desee revisar, editar o mejorar el código subyacente puede hacerlo. Se comenta que la comunidad de código abierto tiene horizontes ilimitados para incorporar mejoras gracias a los estándares abiertos del programa. Todo esto habla a favor de Firefox.

Conclusión

Microsoft ha realizado una gran jugada para mejorar su navegador en relación con su antecesor obsoleto. La riqueza de las nuevas características de seguridad es muy prometedora y debería atraer a los usuarios avanzados. Pero la fuerza impulsora más importante tras la revisión de Internet Explorer, es proteger a los usuarios comunes contra el incremento de código malicioso y la actividad fraudulenta de los piratas.

Firefox ha sido cada vez más reforzado y parece el navegador casi perfecto desde el punto de vista de la seguridad.

Solo el tiempo y las respuestas de los usuarios mostrarán cómo estos competidores realmente funcionan para proteger a los usuarios contra los riesgos en Internet.
De todas formas, es igualmente importante mantener otras precauciones de seguridad como por ejemplo nunca confiar en sitios o personas desconocidos en Internet, verificar los archivos recibidos con un programa antivirus actualizado y utilizar un cortafuegos para protegerse mientras navega.