• 快科技
  • 中文科技资讯专业发布平台
德国联邦信息安全局:浏览器只有Firefox靠谱
2019-10-21 17:10:53  出处:雷锋网  作者:灵火K 编辑:上方文Q   点击可以复制本篇文章的标题和链接

10月21日消息,在德国网络安全机构“德国联邦信息安全局(BSI)”针对几大Web浏览器进行的审查中,Firefox在安全性上获得了最高分,成为唯一通过所有强制性安全功能最低要求的浏览器。

不过,BSI只针对Mozilla Firefox 68(ESR)、Google Chrome 76、Microsoft Internet Explorer 11、Microsoft Edge 44进行了测试,并不包括Safari、Brave、Opera与Vivaldi等浏览器。

德国联邦信息安全局:浏览器只有Firefox靠谱

据悉,此次测试启用了BSI于2019年9月发布的“现代安全浏览器”指南,严格按照其中详述的规则进行。

BSI通常根据该指南来对各类浏览器记性检测,并以此作为依据向政府机构和私营公司提供建议。

此次指南更新完善了现代浏览器新增和改进的安全措施与机制,例如HSTS、SRI、CSP2.0、遥测处理和改进的证书处理机制。

根据BSI的新指南,被认为安全的现代Web浏览器必须满足以下最低要求:

必须支持TLS

必须具有受信任证书的列表

必须支持扩展验证(EV)证书

必须根据证书吊销列表(CRL)或在线证书状态协议(OCSP)验证加载的证书

浏览器必须使用图标或颜色高亮来显示通信何时加密到远程服务器或采用明文形式

仅在经过特定用户的批准后,才允许连接到使用过期证书运行的远程网站

必须支持HTTPStrictTransportSecurity(HSTS)(RFC6797)

必须支持SameOriginPolicy(SOP)

必须支持ContentSecurityPolicy(CSP)2.0

必须支持子资源完整性(SRI)

必须支持自动更新

必须为关键的浏览器组件和扩展支持单独的更新机制

必须对浏览器更新进行签名和验证

浏览器的密码管理器必须以加密形式存储密码

必须仅在用户输入主密码之后允许访问浏览器的内置密码库

用户必须能够从浏览器的密码管理器中删除密码

用户必须能够阻止或删除cookie文件

用户必须能够阻止或删除自动完成历史记录

用户必须能够阻止或删除浏览历史记录

组织管理员必须能够配置或阻止浏览器发送遥测/使用数据

浏览器必须支持一种机制来检查有害内容/URL

浏览器应允许组织运行本地存储的URL黑名单

必须支持一些设置,用户可以在其中启用/禁用插件、扩展或脚本

浏览器必须能够导入集中创建的配置设置,非常适合大规模企业部署

必须允许管理员禁用基于云的配置文件同步功能

必须在初始化后以最小的操作系统权限运行在操作系统中

必须支持沙箱

所有浏览器组件必须彼此隔离,并且与操作系统隔离。隔离组件之间的通信只能通过定义的接口进行,不能直接访问隔离组件的资源

网页需要彼此隔离,最好以独立进程的形式,还要允许线程级隔离

必须使用支持堆栈和堆内存保护的编程语言对浏览器进行编码

浏览器供应商必须在公开披露安全漏洞后不超过21天提供安全更新。如果主浏览器供应商未能提供安全更新,则组织必须移至新的浏览器

浏览器必须使用OS内存保护,例如地址空间布局随机化(ASLR)或数据执行保护(DEP)

组织管理员必须能够管理或阻止未经批准的附件/扩展的安装

根据BSI的说法,Firefox是唯一支持以上所有要求的浏览器,其它浏览器测试不通过的原因包括:

缺少对主密码机制的支持(Chrome、IE、Edge)

没有内置的更新机制(IE)

没有阻止遥测收集的选项(Chrome、IE、Edge)

不支持SOP(IE)

不支持CSP(IE)

不支持SRI(IE)

不支持浏览器配置文件/不同的配置(IE、Edge)

缺乏组织透明度(Chrome、IE、Edge) 

微信公众号搜索" 驱动之家 "加关注,每日最新的手机、电脑、汽车、智能硬件信息可以让你一手全掌握。推荐关注!【微信扫描下图可直接关注

文章价值打分
当前文章打分0 分,共有0人打分
文章观点支持

+0
+0