ฉันสังเกตเห็นว่า Firefox ซึ่งแตกต่างจาก Chrome และ Internet Explorer ไม่ทำงานในระดับต่ำสุดที่บังคับ (aka โหมดที่ได้รับการป้องกันความน่าเชื่อถือต่ำ)

Google Chrome:

Microsoft Internet Explorer:

Mozilla Firefox:

ทำตามคำแนะนำของ Microsoftฉันสามารถบังคับ Firefox เข้าสู่ Low Integrity Mode ได้ด้วยตนเองโดยใช้:

icacls firefox.exe /setintegritylevel Low 

อย่างไรก็ตาม Firefox ไม่ตอบสนองได้ดีต่อการไม่ทำงานโดยมีสิทธิ์เพียงพอ:

ฉันชอบความปลอดภัยในการรู้ว่าเบราว์เซอร์ของฉันทำงานโดยมีสิทธิ์น้อยกว่าที่ฉันมี มีวิธีการใช้ Firefox ในโหมดสิทธิต่ำหรือไม่ Mozilla กำลังวางแผนที่จะเพิ่ม "โหมดป้องกัน" บางครั้งหรือไม่? มีคนพบวิธีแก้ปัญหาสำหรับ Firefox ที่ไม่จัดการโหมดสิทธิ์ต่ำใช่ไหม

ปรับปรุง

จากการสัมภาษณ์เมื่อเดือนกรกฎาคม 2550 กับ Mike Schroepferรองประธานฝ่ายวิศวกรรมของ Mozilla Foundation:

... เรายังเชื่อในการป้องกันในเชิงลึกและกำลังตรวจสอบโหมดการป้องกันพร้อมกับเทคนิคอื่น ๆ อีกมากมายเพื่อปรับปรุงความปลอดภัยสำหรับรุ่นอนาคต

หลังจากสามปีที่ผ่านมาดูเหมือนว่าจะไม่ได้รับความสำคัญ

ปรับปรุง

• 2013/09/28
• 5 ปีต่อมา
• Firefox 24.0
• ยังไม่รองรับโหมดที่ได้รับการป้องกัน

น่าเสียดายที่ขณะนี้ไม่มีวิธีการใช้ Firefox ในโหมดที่ได้รับการป้องกัน

หากคุณไม่ได้ทำงาน Windows 64-bit, คุณจะได้รับสิ่งที่ค่อนข้างคล้ายกันโดยใช้Sandboxie

คุณสามารถเรียกใช้ Firefox ในโหมดความสมบูรณ์ต่ำโดยใช้คำสั่งต่อไปนี้:

icacls "C:\Program Files\Mozilla Firefox\Firefox.exe" /setintegritylevel low
icacls "C:\Program Files\Mozilla Firefox" /setintegritylevel(oi)(ci) low /t

icacls "C:\Users\*username*\AppData\Local\Temp" /setintegritylevel(oi)(ci) low /t
icacls "C:\Users\*username*\AppData\Local\Mozilla" /setintegritylevel(oi)(ci) low /t
icacls "C:\Users\*username*\AppData\Roaming\Mozilla" /setintegritylevel(oi)(ci) low /t
icacls "C:\Users\*username*\Downloads" /setintegritylevel(oi)(ci) low /t

โปรดทราบว่าคุณจะต้องเรียกใช้ชุดที่สองสำหรับผู้ใช้แต่ละคนในระบบของคุณกำหนดชื่อผู้ใช้มิฉะนั้นพวกเขาจะได้รับกล่องข้อความ "Firefox ทำงานอยู่แล้ว"

อย่างไรก็ตามการตั้งค่านี้จะทำให้เกิดนิสัยใจคอต่อไปนี้:

1. ตัวจัดการโปรไฟล์อาจทำงานไม่ถูกต้อง
2. คุณจะได้รับคำเตือนด้านความปลอดภัยทุกครั้งที่คุณเริ่ม Firefox
3. การดาวน์โหลดสามารถอยู่ในไดเรกทอรีที่มีความถูกต้องต่ำเท่านั้น (ดังนั้นการดาวน์โหลดจะถูกทำเครื่องหมายว่ามีความสมบูรณ์ต่ำด้านบน)
4. การเปิดการดาวน์โหลดโดยตรงจาก Firefox โดยทั่วไปจะล้มเหลว

เอียนคุณไม่เข้าใจว่าโหมดการป้องกันทำงานอย่างไร โซลูชันของ Simon Capewell เป็นวิธีที่ถูกต้องในการเพิ่มความปลอดภัยของ Firefox ตัวอย่างคุณยืนยันว่าวิธีการแก้ปัญหาของเขาปิดการใช้งานการป้องกันทั้งหมดของระดับความสมบูรณ์ต่ำเป็นเท็จอย่างสมบูรณ์ Chrome และ IE ใช้วิธีการเดียวกันเนื่องจากการดาวน์โหลดจะถูกเขียนไปยังโฟลเดอร์ดาวน์โหลดแม้อยู่ในโหมดป้องกัน IE มิฉะนั้นคุณจะไม่สามารถดาวน์โหลดอะไรได้เลย แม้ว่า IE อาจใช้ wrapper ได้หลายชนิดดังนั้นการแยกกระบวนการหลักจากกระบวนการที่ไม่น่าเชื่อถือสำหรับการรักษาความปลอดภัยเพิ่มเติมเช่นเดียวกับ Chrome แต่นี่คือ moot ตามที่อธิบายไว้ข้างต้นส่วนประกอบทั้งหมดของ Firefox จะถูกแยกออกจากการดัดแปลงระบบ ในขณะที่ใน Chrome กระบวนการหลักทำงานที่ Medium integrity และกระบวนการเรนเดอร์ที่ Low integrity

การกำหนดค่า Firefox ด้วยวิธีนี้จะป้องกัน Windows และ Program Files จากการแก้ไขดังนั้นการแยก Firefox จากเครื่องที่เหลือของคุณ Firefox ถูกป้องกันไม่ให้ส่งมัลแวร์ไปยังโฟลเดอร์ Startup ของคุณหรือเพิ่มรายการรีจิสตรีซึ่งเริ่มมัลแวร์ที่ถูกทิ้งลงในโฟลเดอร์ดาวน์โหลดของคุณโดยอัตโนมัติ (ซึ่ง Firefox อนุญาตให้เขียนถึง) เมื่อเริ่มต้น นอกจากนี้การเรียกใช้ Firefox ในระดับความสมบูรณ์ต่ำจะช่วยป้องกัน Firefox ที่พยายามเลี่ยงผ่าน ACL ที่บังคับใช้โดยวิธีการต่าง ๆ เช่นการสร้างเธรดในกระบวนการระยะไกลเพื่อเรียกใช้โค้ดในบริบทความปลอดภัยของกระบวนการนั้น Firefox ยังคงได้รับอนุญาตให้วางไฟล์ลงในโฟลเดอร์ชั่วคราวและอาจเรียกใช้งานได้เช่นเดียวกับ Chrome และ IE ดังนั้นระดับความสมบูรณ์จะต้องรวมกับ SRP หรือ AppLocker เพื่อป้องกันการเรียกใช้ไฟล์เอ็กซีคิวต์ใด ๆ ที่หล่นลงในไดเรกทอรีที่ Firefox อนุญาตให้เขียน ข้อกำหนดนี้มีอยู่ใน IE และ Chrome ด้วย

เมื่อเสร็จแล้ว Firefox จะถูกต่อต้านจากการดาวน์โหลดด้วยไดรฟ์และได้รับการปกป้องมากกว่า IE เนื่องจาก Protected Mode IE ไม่ได้เมื่อไม่รวมกับ SRP หรือ Applocker ให้การป้องกันที่เพียงพอ ไม่อนุญาตให้ Firefox เขียนไปยังไดเรกทอรีของตัวเองและโฟลเดอร์ชั่วคราวใด ๆ ที่แตกต่างจากสิ่งที่ได้รับการป้องกันโหมด Chrome และโหมดป้องกัน IE ได้รับอนุญาต

ข้อผิดพลาดเพียงอย่างเดียวจากวิธีแก้ไขปัญหานี้: ฉันมีนิสัยที่ไม่ดีในการทิ้งไฟล์ปฏิบัติการไว้ในโฟลเดอร์ดาวน์โหลดซึ่งฉันเรียกใช้ในภายหลัง ไฟล์ปฏิบัติการเหล่านี้อาจถูกแก้ไขหาก Firefox ถูกใช้ประโยชน์หลังจากดาวน์โหลด ดังนั้นหลังจากดาวน์โหลดไฟล์แล้วให้ย้ายออกจากโฟลเดอร์ดาวน์โหลด นอกจากนี้ยังมีความเสี่ยงเล็กน้อยที่ช่องโหว่ใน Firefox ถูกโจมตีเพื่อแก้ไขไฟล์ชั่วคราวในโฟลเดอร์ชั่วคราวที่ได้รับอนุญาตซึ่งจะทำการเจาะช่องโหว่ในกระบวนการระดับความสมบูรณ์ที่สูงขึ้นเมื่อใช้ไฟล์ชั่วคราวนั้น อย่างไรก็ตามสิ่งนี้จะไม่เกิดขึ้นและเป็นเพียงช่องโหว่ทางทฤษฎีเท่านั้น

อ่านเพิ่มเติม / แหล่งที่มา:

Windows 7 SRP (ทำงานบน Home Premium แม้ว่าคุณจะไม่มี AppLocker):

http://www.wilderssecurity.com/showthread.php?t=262686

ระดับความซื่อสัตย์:

http://www.symantec.com/connect/articles/introduction-windows-integrity-control

โหมดป้องกัน IE:

http://msdn.microsoft.com/en-us/library/bb250462(VS.85).aspx

ข้อมูลพื้นฐานเกี่ยวกับ "ไดรฟ์ดาวน์โหลด":

http://www.wilderssecurity.com/showthread.php?t=241732

รายละเอียดของ Chrome บน Windows Sandboxing (ระดับความสมบูรณ์มากกว่า):

http://www.chromium.org/developers/design-documents/sandbox

ไม่จำเป็นต้องใช้ SRP เนื่องจากกระบวนการที่ดำเนินการโดยกระบวนการระดับความสมบูรณ์ต่ำสืบทอดระดับความสมบูรณ์ต่ำด้วยตนเอง อย่างไรก็ตามมันเป็นอีกชั้นของการป้องกันและยังคงเป็นความคิดที่ดี!