你的瀏覽器安全嗎？德國聯邦信息安全局：也就Firefox靠譜

雷鋒網 10 月 21 日消息，在德國網絡安全機構“德國聯邦信息安全局（BSI）”針對幾大 Web 瀏覽器進行的審查中，Firefox 在安全性上獲得了最高分，成為唯一通過所有強制性安全功能最低要求的瀏覽器。

不過，BSI只針對 Mozilla Firefox 68（ESR）、Google Chrome 76、Microsoft Internet Explorer 11 和 Microsoft Edge 44 進行了測試，并不包括 Safari、Brave、Opera 與 Vivaldi 等瀏覽器。

據悉，此次測試啟用了BSI于 2019年9月發布的“現代安全瀏覽器”指南，嚴格按照其中詳述的規則進行。

雷鋒網了解到，BSI通常根據該指南來對各類瀏覽器記性檢測，并以此作為依據向政府機構和私營公司提供建議。此次指南更新完善了現代瀏覽器新增和改進的安全措施與機制，例如 HSTS、SRI、CSP 2.0、遙測處理和改進的證書處理機制。

根據 BSI 的新指南，被認為安全的現代Web瀏覽器必須滿足以下最低要求：

必須支持 TLS

必須具有受信任證書的列表

必須支持擴展驗證（EV）證書

必須根據證書吊銷列表（CRL）或在線證書狀態協議（OCSP）驗證加載的證書

瀏覽器必須使用圖標或顏色高亮來顯示通信何時加密到遠程服務器或采用明文形式

僅在經過特定用戶的批準后，才允許連接到使用過期證書運行的遠程網站

必須支持 HTTP Strict Transport Security (HSTS) (RFC 6797)

必須支持 Same Origin Policy (SOP)

必須支持 Content Security Policy (CSP) 2.0

必須支持子資源完整性（SRI）

必須支持自動更新

必須為關鍵的瀏覽器組件和擴展支持單獨的更新機制

必須對瀏覽器更新進行簽名和驗證

瀏覽器的密碼管理器必須以加密形式存儲密碼

必須僅在用戶輸入主密碼之后允許訪問瀏覽器的內置密碼庫

用戶必須能夠從瀏覽器的密碼管理器中刪除密碼

用戶必須能夠阻止或刪除 cookie 文件

用戶必須能夠阻止或刪除自動完成歷史記錄

用戶必須能夠阻止或刪除瀏覽歷史記錄

組織管理員必須能夠配置或阻止瀏覽器發送遙測/使用數據

瀏覽器必須支持一種機制來檢查有害內容/URL

瀏覽器應允許組織運行本地存儲的 URL 黑名單

必須支持一些設置，用戶可以在其中啟用/禁用插件、擴展或腳本

瀏覽器必須能夠導入集中創建的配置設置，非常適合大規模企業部署

必須允許管理員禁用基于云的配置文件同步功能

必須在初始化后以最小的操作系統權限運行在操作系統中

必須支持沙箱

所有瀏覽器組件必須彼此隔離，并且與操作系統隔離。隔離組件之間的通信只能通過定義的接口進行，不能直接訪問隔離組件的資源

網頁需要彼此隔離，最好以獨立進程的形式，還要允許線程級隔離

必須使用支持堆棧和堆內存保護的編程語言對瀏覽器進行編碼

瀏覽器供應商必須在公開披露安全漏洞后不超過 21 天提供安全更新。如果主瀏覽器供應商未能提供安全更新，則組織必須移至新的瀏覽器

瀏覽器必須使用 OS 內存保護，例如地址空間布局隨機化（ASLR）或數據執行保護（DEP）

組織管理員必須能夠管理或阻止未經批準的附件/擴展的安裝

根據 BSI 的說法，Firefox 是唯一支持以上所有要求的瀏覽器，其它瀏覽器測試不通過的原因包括：

缺少對主密碼機制的支持（Chrome、IE、Edge）

沒有內置的更新機制（IE）

沒有阻止遙測收集的選項（Chrome、IE、Edge）

不支持 SOP（IE）

不支持 CSP（IE）

不支持 SRI（IE）

不支持瀏覽器配置文件/不同的配置（IE、Edge）

缺乏組織透明度（Chrome、IE、Edge） 

參考來源：IT之家

雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。