Снайдер рассказала о безопасности в Mozilla Firefox

Новый директор по безопасности Mozilla, Уиндоу Снайдер (Window Snyder), бывший стратег по защите в Microsoft, основатель Matasano Security, обозначила стратегию создания безошибочных программ. Разработчиков открытого кода проектов Mozilla ждут большие перемены.

Снайдер считает, что Firefox необходимо очистить от функций, которые устарели или не используются, и таким образом закрыть все дополнительные лазейки. «Мы хотим снизить общий риск для Firefox, обнаружив неиспользуемые функции и избавиться от этого кода. Мы хотим, чтобы код Firefox был более плотным, с меньшим числом входов в систему. Если мы найдем процедуру разбора структуры, которая была создана много лет назад для форматов файлов, редко используемых сейчас, где может скрываться возможность уязвимости, мы выиграем, если избавимся от нее». Это не значит, что Firefox будет обрезан по функционалу. Из ядра дополнительные функции перейдут в раздел дополнений, которые можно будет инсталлировать в программу при необходимости.

Что касается степени надежности программы, то Снайдер полагает, что количество уязвимостей — не показатель. «Подсчет уязвимостей — плохое мерило безопасности приложения», — говорит она. В 2005 году Symatec подсчитала, что в Firefox вдвое больше дыр, чем в Internet Explorer, но в марте 2006, пересчитав по другому методу, уравняла эти конкурирующие продукты. «Пользователи должны считать дни риска. Как долго пользователь уязвим? Сколько времени проходит между выпуском заплатки и установкой обновления?», — говорит она. В этих категориях, по словам Снайдер, Firefox намного надежнее: «мы делаем заплатки за несколько дней, а не недель и не месяцев». Это самое главное преимущество над IE, считает она. 90% пользователей обновляют систему в течение 8 дней, а заплатки для IE устанавливаются дольше, потому что корпоративные клиенты должны сначала протестировать их, прежде чем внедрять во всей компании.

Mozilla будет искать новые способы улучшения защищенности браузера. «Мы уже включили антифишинг в Firefox 2.0», — сказала Снайдер. Далее будет новая система управления памятью, подход по технологии «sandbox» — локализации процессов в закрытом пространстве. Среди самых многообещающих моделей — управление кучей (памятью, используемой программой для временного хранения данных) таким образом, чтобы исключить выполнение кода в ней — наиболее частый способ эксплуатации уязвимостей. Снайдер также пообещала тщательно проверять безопасность всей программы перед тем, как вводить новые функции.

Постоянная ссылка к новости: http://www.nixp.ru/news/7741.html. Дмитрий Шурупов по материалам cnews.ru.