Kajian: Pelayar Web Unpatched Terlibat di Internet

Hanya 59.1 peratus orang menggunakan pelayar web yang terkini, yang ditapis sepenuhnya, meletakkan sisanya berisiko daripada ancaman yang semakin meningkat daripada penggodam yang rajin, menurut kajian baru yang diterbitkan oleh para penyelidik di Switzerland.

Kajian yang diterbitkan pada hari Selasa, adalah salah satu analisis yang paling komprehensif mengenai versi web pelayar yang digunakan oleh pengguna di Internet. Kajian ini dijalankan oleh para penyelidik di Institut Teknologi Persekutuan Swiss, Google dan IBM Internet Security Services.

Peramban web seringkali merupakan pautan yang lemah dalam rantaian keselamatan, kerana kelemahan perisian dapat mempermudah para peretas mendapatkan kendali PC. Apabila itu berlaku, penggodam boleh melakukan perbuatan yang berniat jahat seperti mencuri data peribadi atau menjadikan PC menjadi drone spam-spewing.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari PC Windows Anda]

Apa yang ditemui penyelidik adalah walaupun perisian vendor menyediakan patch untuk masalah keselamatan, ia boleh mengambil hari, minggu atau bulan sebelum orang mengemas kini aplikasi mereka. Sementara itu, pengguna tersebut berisiko.

Tapi itu bukanlah salah bagi pengguna, kerana vendor pelayar Web tidak betul-betul membuat penampalan mudah, kata Stefan Frei, seorang pelajar doktor di institut, yang dikenal sebagai ETH Zurich, dan salah satu daripada penulis laporan itu. Pelayar Web masih teknologi yang agak muda, dan industri belum menyelesaikan reka bentuk yang teruji dan dominan, katanya.

Kajian ini melihat data log pelayan aplikasi pencarian dan Web yang disediakan oleh Google untuk melihat versi apa Pelayar Firefox, Opera atau Safari orang yang menggunakannya, kata Frei.

Internet Explorer Microsoft, bagaimanapun, hanya memberitahu pelayan web apa versi utama yang digunakan seseorang, seperti IE 6 atau IE 7. Para penyelidik bergantung pada data dari orang yang telah memasang alat pada PC mereka yang disebut Inspektor Perisian Peribadi, dari syarikat keselamatan Denmark, Secunia yang dapat mengesan versi tambahan IE, kata Frei.

Pengguna Firefox adalah yang terbaik dalam peningkatan: 83.3 persen menggunakan versi terbaru (yang belajar hanya melihat Firefox 2.0). Bagi Safari Apple, 65.3 peratus menggunakan versi terkini; 56.1 peratus untuk Opera dan 47.6 peratus untuk Internet Explorer Microsoft.

Firefox Mozilla muncul di atas kerana ciri auto-kemas kini, yang memberitahu pengguna patch baru boleh didapati dan menawarkan cara satu klik untuk meningkatkan.

Frei mengesyorkan bahawa semua pembuat pelayar dimasukkan ke dalam ciri auto-kemas kini kerana proses sekarang adalah rumit dan lambat.

Sekarang, pengguna Opera diberitahu ada versi baru, tetapi mereka perlu pergi ke laman web Opera dan melalui proses pemasangan yang sama seolah-olah mereka mula-mula memuat turun penyemak imbas buat kali pertama, kata Frei.

Safari menggunakan pengemaskinian luaran yang hanya mengundi untuk kemas kini pada selang masa tertentu. Kemas kini Microsoft diedarkan pada Selasa kedua bulan itu. Jurang-jurang itu dalam masa antara ketika kerentanan didedahkan secara terbuka dan patch orang adalah penting, kerana ia adalah tingkap terbuka untuk serangan.

Masalah dengan penempelan longgar jatuh tepat pada bahu vendor aplikasi - pengguna sering ia tidak dapat dilihat secara visual jika penyemak imbas mereka perlu dinaik taraf, kata Frei.

Dia menganjurkan vendor perisian mengambil petunjuk dari industri makanan dan meletakkan "tarikh tamat tempoh" di atas pelayar untuk memberitahu orang ramai tentang pelayar negeri. Sebagai contoh, amaran boleh muncul di sebelah bar alamat: "145 hari tamat tempoh, tiga petanda hilang"

"Ini adalah cadangan bukan teknikal," kata Frei. "Bagaimanakah anda boleh mengharapkan orang yang menjalankan pembaharuan jika mereka tidak tahu? Kami fikir ia adalah sama seperti mempunyai had laju di lebuh raya."

Malah syarikat enjin carian seperti Google boleh memaparkan amaran yang sama di atas hasil carian, sebagai versi pelayar dihantar ke pelayannya apabila seseorang melakukan pertanyaan, kata Frei.

Sebagai alternatif, syarikat-syarikat keselamatan boleh membuat versi pengimbasan aplikasi sebahagian daripada produk pengguna mereka, yang telah mereka lakukan untuk beberapa perisian peringkat perusahaan, kata Frei.

Tetapi masalah pelayar yang sudah lama tidak diperbaiki berbanding dengan pasang palam - yang menambahkan fungsi tambahan kepada penyemak imbas, seperti Adobe Flash dan program multimedia QuickTime Apple.

Rata-rata, orang mempunyai antara enam hingga 10 pemalam, kebanyakan daripadanya berasal dari vendor yang berlainan dengan rejim dan jadual tampalan yang berbeza, Kata Frei.

"Pelayar adalah roti, dan walaupun roti itu baik-baik saja, jika hamnya busuk, anda mempunyai masalah," kata Frei.

Hanya satu kelemahan perisian dalam plug-in meletakkan PC seseorang dalam bahaya. Frei mencadangkan bahawa organisasi seperti Pasukan Respons Kecemasan Komputer kebangsaan membuat perkhidmatan di mana penyemak imbas boleh mengesahkan jika ia mempunyai versi terkini pemalam.

Selain Frei, kajian ini juga dijalankan oleh Thomas Dübendorfer dari Google, Gunter Ollmann dari IBM Sistem Keselamatan Internet dan Martin May dari ETH. Kajian itu akan dibentangkan di persidangan keselamatan Defcon bulan depan di Las Vegas.