ここ数年、Pwn2Ownブラウザハッキングコンテストでは、Chromeが主要ブラウザの中で最も悪用されにくく、最も安全であることが示されました。ドイツのセキュリティ企業X41 D-Secは、Chrome、Edge、Internet Explorerに対する様々な攻撃をテストすることで、この事実を改めて証明しました。
サンドボックス化技術
ブラウザはますます多くの機能と新しいHTML仕様のサポートを追加することで複雑化しており、それに伴い表面的な攻撃も増加しています。しかし、幸いなことに、ブラウザメーカーもここ数年でセキュリティへの注力を強化してきました。
Chrome と Edge はどちらも、ブラウザのさまざまなコンポーネントをサンドボックス化し、最新のエクスプロイト緩和技術を採用して攻撃に対する耐性を高めることに特に重点を置いています。
しかし、これらの機能はすべて同等というわけではなく、X41の調査では、ChromeはEdgeよりもセキュリティ制限を効果的に適用していることが分かりました。また、Chromeはより高度なコンパートメント化機能も備えています。Qubes OSが示すように、これが攻撃を阻止する最も効果的な方法となる傾向があります。
Edgeの最大の弱点は、MicrosoftがレガシーブラウザとしてInternet Explorerに依存し続けていることにあるようです。Edgeはウェブサイトのリストを保持しており、ユーザーはそのリストにアクセスするとInternet Explorerに切り替えるよう促されます。そのため、EdgeブラウザがInternet Explorerに比べて最新の保護機能を持っていなくても、そのリストを回避してしまうのです。
悪意のある攻撃者がEdgeの保護を回避し、システムを乗っ取る方法の一つは、対象となるウェブサイトの1つにマルウェアを感染させ、Internet Explorer経由でペイロードを配信することです。X41は、Edgeのレガシーウェブサイトリストに引き続き表示される期限切れドメインの1つを購入し、標的のブラウザをEdgeからInternet Explorerにダウングレードすることで、このことを実証しました。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
X41はまた、Edgeで使用されているAppContainerサンドボックス技術は優れた分離機能を備えているものの、MicrosoftはこれらのAppContainerにネットワーク、ファイルシステム、Windowsレジストリなどのリソースへの部分的なアクセスを許可していることも発見しました。一方、Chromeは異なる技術を用いて、信頼できないコンテンツによるこれらのリソースへのアクセスを完全に遮断しています。
研究者によると、マイクロソフトはコンテンツ プロセスをサンドボックス化して悪用から守るために、オペレーティング システムとコンパイル時のセキュリティ機能を最も多く採用しているが、それでもコンテンツ プロセスに与えている機能が多すぎると研究者は感じているという。
X41の研究者たちは、サンドボックス機能の数よりも、それらの機能がどのようにウェブサイトや設定、拡張機能などの他の種類のコンテンツを分離するために使用されているかが重要だと指摘しました。Chromeの分離はEdgeの分離よりも完全ですが、研究者たちはChromeの実験的なサンドボックス機能の1つに抜け穴を発見しました。
研究者らはまた、ChromeがService Workers、WebUSB、Web Bluetoothといった新しいHTML機能を採用することで、Chromeが新たな種類の攻撃にさらされる可能性もあると警告した。あるChromeセキュリティエンジニアも、つい最近、同様の危険性について警告していた。
フィッシング対策
X41のセキュリティ研究者たちは、フィッシングが重要な攻撃ベクトルであると考え、3つのブラウザすべてをこのタイプの攻撃に対してテストしました。その結果、EdgeとInternet Explorerは、主にレガシー機能のサポートが原因で、3つの中でフィッシングに対して最も脆弱であることがわかりました。しかし同時に、攻撃者は悪意のある拡張機能を介してChromeブラウザをほぼ完全に乗っ取ることが可能であることも判明しました。X41 D-Secグループは、Chromeウェブストアのセキュリティチェックを回避し、まさにそれを実行しました。
研究者らはまた、Google の Safe Browsing サービスが Microsoft の SmartScreen よりも正確であることも発見したが、どちらも標的型スピアフィッシング攻撃に対して効果を発揮する可能性は低いと指摘した。
セキュリティ企業の調査結果によれば、グーグルのエンジニアは報告されたバグをより早く修正し、危険なバグをより早く修正するために予定外のパッチをChromeに配信しているが、マイクロソフトは通常、ブラウザパッチの展開に月例パッチバンドルを待つという。
まとめると、X41の調査によると、Edgeも最新のセキュリティ機能に対応しているように見えますが、従来のInternet Explorerブラウザへのフォールバックによってセキュリティが著しく損なわれていることがわかりました。Edgeと比較して、Chromeはより厳格なセキュリティデフォルトを採用し、高度なコンパートメント化を実現しているため、より多くの攻撃を回避できます。
ルシアン・アルマスは、Tom's Hardware USの寄稿ライターです。ソフトウェア関連のニュースやプライバシーとセキュリティに関する問題を取り上げています。
