Onderzoek: niet-gepatchte webbrowsers voorkomen op internet

Slechts 59,1 procent van de mensen gebruikt up-to-date, volledig gepatchte webbrowsers, waardoor de rest risico loopt op groeiende bedreigingen door toegewijde hackers, volgens een nieuwe studie gepubliceerd door onderzoekers in Zwitserland.

De dinsdag gepubliceerde studie is een van de meest uitgebreide analyses van welke versies van webbrowsers mensen op het internet gebruiken. Het onderzoek werd uitgevoerd door onderzoekers van het Zwitserse Federale Instituut voor Technologie, Google en IBM Internet Security Services.

Webbrowsers vormen vaak een zwakke schakel in de beveiligingsketen, omdat kwetsbaarheden in de software het voor hackers gemakkelijk kunnen maken om controle te krijgen over een PC. Wanneer dat gebeurt, kunnen hackers kwaadwillende handelingen uitvoeren zoals het stelen van persoonlijke gegevens of het omzetten van pc's in spattende drones.

[Lees meer: ​​Hoe u malware van uw Windows-pc kunt verwijderen]

Wat de onderzoekers vonden, is dat hoewel software leveranciers bieden patches voor beveiligingsproblemen, het kan dagen, weken of maanden duren voordat mensen hun applicaties updaten. In de tussentijd lopen die gebruikers risico.

Maar het is niet alleen de schuld van gebruikers, omdat verkopers van webbrowsers het patchen niet eenvoudig hebben gemaakt, zei Stefan Frei, een promovendus aan het instituut, bekend als ETH Zürich, en een van de auteurs van het rapport. De webbrowser is nog steeds vrij jonge technologie en de industrie moet nog kiezen voor een dominant, beproefd ontwerp, zei hij.

In het onderzoek werden zoek- en webtoepassingsserverloggegevens door Google bekeken om te zien welke versies van de Firefox-, Opera- of Safari-browsers die mensen gebruikten, zei Frei. Microsoft Internet Explorer vertelt webservers alleen welke belangrijke versie een persoon gebruikt, zoals IE 6 of IE 7. De onderzoekers vertrouwden op gegevens van mensen die een tool op hun pc hebben geïnstalleerd, de Personal Software Inspector, van het Deense beveiligingsbedrijf Secunia, dat incrementele versies van IE kan detecteren, zei Frei.

Firefox-gebruikers waren de beste in het upgraden: 83,3 procent gebruikt de nieuwste versie (de studie zojuist gekeken naar Firefox 2.0). Voor Apple's Safari gebruikt 65,3 procent de nieuwste versie; 56,1 procent voor Opera en 47,6 procent voor Microsoft Internet Explorer.

Firefox van Mozilla kwam als beste uit de bus dankzij de automatische updatefunctie, die een gebruiker laat weten dat een nieuwe patch beschikbaar is en één klik biedt om te upgraden. Binnen drie dagen zijn de meeste Firefox-gebruikers up-to-date, aldus de studie.

Frei beveelt aan dat alle browsermakers een automatische updatefunctie gebruiken, omdat het proces nu omslachtig en traag is.

Nu krijgen gebruikers van Opera te horen er is een nieuwe versie, maar ze moeten naar de website van Opera gaan en hetzelfde installatieproces doorlopen alsof ze de browser voor het eerst hebben gedownload.

Safari gebruikt een externe updater die alleen voor polls wordt gebruikt updates met bepaalde intervallen. De updates van Microsoft worden op de tweede dinsdag van de maand verspreid. Die lacunes in de tijd tussen het moment waarop een kwetsbaarheid openbaar wordt gemaakt en patches zijn cruciaal, omdat ze een open venster zijn voor een aanval.

Het probleem met lakse patches valt vierkant op de schouders van de applicatieverkopers - gebruikers vaak kan eenvoudig niet zien of hun browser moet worden geüpgraded, zegt Frei.

Hij pleit ervoor dat softwareleveranciers de keuzen van de voedselindustrie oppakken en een "vervaldatum" recht boven de browser plaatsen om mensen de browser te laten weten staat. Er kan bijvoorbeeld een waarschuwing naast de adresbalk verschijnen: "145 dagen verlopen, drie patches ontbreken"

"Het is een niet-technische suggestie," zei Frei. "Hoe kun je mensen verwachten dat ze de update uitvoeren als ze het niet eens weten? We denken dat dit hetzelfde is als een snelheidslimiet op een snelweg."

Zelfs zoekmachines zoals Google kunnen dezelfde waarschuwing hierboven weergeven zoekresultaten, omdat de browserversie naar zijn servers wordt verzonden wanneer iemand een zoekopdracht uitvoert, zei Frei.

Als alternatief kunnen beveiligingsbedrijven toepassingsversie een deel van hun consumentenproducten laten scannen, wat ze hebben gedaan voor sommige software op bedrijfsniveau, zei Frei.

Maar het probleem van verouderde browsers verbleekt in vergelijking met het moeras van plug -ins, die extra functionaliteit aan de browser toevoegen, zoals Adobe's Flash en Apple's QuickTime multimedia-programma.

Gemiddeld hebben mensen tussen de zes tot tien plug-ins, waarvan vele afkomstig zijn van verschillende leveranciers met verschillende patches en planningen, Zei Frei.

"De browser is het brood, en zelfs als het brood in orde is, als de ham verrot is, heb je een probleem," zei Frei.

Slechts één softwarematige kwetsbaarheid in een plug-in kan de pc van een persoon in gevaar brengen. Frei stelt voor dat een organisatie zoals een nationaal Computer Emergency Response Team een ​​dienst opzet waarbij browsers kunnen controleren of het de nieuwste versie van een plug-in heeft.

Naast Frei werd het onderzoek ook uitgevoerd door Thomas Dübendorfer van Google, Gunter Ollmann van IBM Internet Security Systems en Martin May van ETH. De studie zal volgende maand worden gepresenteerd op de Defcon-veiligheidsconferentie in Las Vegas.