Proti takovým útokům se lze vcelku efektivně bránit. Stačí, aby uživatel vzal do hrsti zdravý rozum a respektoval základní pravidla počítačové bezpečnosti. Jedno z nich říká, že by si uživatel neměl instalovat software z neznámého nebo neprověřeného zdroje. Jsou však mnohem rafinovanější útoky, kdy uživatel nemusí dělat absolutně nic. Stačí pouhé načtení stránky ve webovém prohlížeči.
Někteří uživatelé se cítí v bezpečí, protože se vyhýbají tzv. rizikovým webům, o kterých se více či méně oprávněně traduje, že mohou být nebezpečné. Jde nejčastěji o stránky s obsahem pro dospělé, stránky věnované hazardu nebo nelegálnímu šíření softwaru. I když bezpečnostní rizika jsou skutečně na webových stránkách tohoto ražení vyšší, útok může přijít prakticky z libovolné webové stránky.
Problém je v tom, že k šíření záškodnických programů může docházet na libovolných webových stránkách. Tedy i tam, kde uživatel ztrácí přirozenou ostražitost a surfuje s falešným pocitem bezpečí. Jak je to možné? Hacking. Útočníci odhalí slabé místo v zabezpečení jinak důvěryhodné stránky a propašují skrze něj kód, který ohrožuje nic netušící návštěvníky.
Navzdory všeobecným představám, hackerům ve většině případů nejde o to napadený web odstavit. Takové adresné útoky, které jsou často politicky motivované, jsou jen kapkou v moři. Skutečně vážný problém s masivním dopadem představují roboti hledající slabá místa v zabezpečení webových stránek, přes která se snaží do jinak regulérního webu vpašovat záškodnický kód.
První bojová linie? Antivir s webovým štítem
Jak se uživatel může bránit, když nebezpečí může na webu číhat prakticky kdekoliv? Základem je antivirový program s webovým štítem, který v reálném čase reálně kontroluje obsah načítaných webových stránek a je schopen zablokovat případné nebezpečí. Z bezplatných antivirů takovou ochranu poskytuje třeba český Avast Free, který je pro osobní použití k dispozici zdarma. V poslední době hodně oblíbený antivir Microsoft Security Essentials takovou ochranu neposkytuje.
Část uživatelů žije v domnění, že jim podobnou ochranu poskytuje webový prohlížeč. Prohlížeče se často chlubí funkcí pro blokování přístupu na záškodnické a podvodné weby. Všechny mainstreamové prohlížeče skutečně tuto funkci mají. Jenže nejde o antivirovou kontrolu v reálném čase, nýbrž o blokování přístupu na základě průběžně aktualizované černé listiny. To je samozřejmě mnohem slabší ochrana.
Pokud používáte antivir bez webového štítu a nechcete spoléhat jen na černé listiny prohlížečů, můžete si instalovat aktivní ochranu v podobě bezplatného programu AVG LinkScanner. Ten skutečně prověřuje bezpečnost webových stránek v reálném čase a je schopen odrazit útok při načítání škodlivého obsahu a prověřovat odkazy, které servírují vyhledávače jako třeba Google.
Který prohlížeč je nejbezpečnější?
Bezpečnost je pro tvůrce prohlížečů nepochybně velké téma a různé tábory se snaží uživatele přesvědčit, že právě jejich prohlížeč je tím nejbezpečnějším. Existují k tomu i studie. Například respektovaná organizace NSS Labs v posledních letech připravila několik testů bezpečnosti prohlížečů, které vyhrál vždy Internet Explorer.
Lze však pochybovat na skutečné nezávislosti těchto testů, když jejich realizaci platil Microsoft, jehož dílem prohlížeč Internet Explorer je. Problém spočívá také v tom, že testy se omezily jen na schopnost prohlížeče blokovat přístup na záškodnické a podvodné webové stránky, což je ovšem jen jedna z mnoha bezpečnostních disciplín. Na to také upozorňují tvůrci konkurenčních prohlížečů.
Ve výše zmíněném případě jde tedy maximálně o test černých listin, které jednotlivé prohlížeče využívají. Společnost Accuvant, která se zabývá výzkumem v oblasti počítačové bezpečnosti, však na konci roku 2011provedla důkladnější srovnání. Vyhrál jej prohlížeč Google Chrome, kde je velmi vyzdvihován sandbox izolující potenciální hrozby na webu od zbytku systému. Závěry poněkud kalí fakt, že právě Google toto srovnání financoval, což ovšem neznamená, že sandbox není vynikající funkce.
Aktualizovat, aktualizovat, aktualizovat
Ať už používáte jakýkoliv prohlížeč, měli byste jej pravidelně aktualizovat a instalovat tak nejnovější bezpečnostní záplaty. Všechny běžné prohlížeče mají integrovaný mechanismus, který přinejmenším upozorní na dostupnost novější verze. Rezervy jsou často v aplikování stažených aktualizací. Bývá totiž potřeba restartovat prohlížeč nebo případně i celý operační systém, což uživatelé často odkládají.
Google Chrome využívá aktualizační službu, která běží na pozadí a o aktualizaci prohlížeče se stará automaticky bez potřeby jakékoliv součinnosti s uživatelem. Podobně může fungovat služba Windows Update aktualizující mj. Internet Explorer. Tzv. tiché aktualizace bude volitelně podporovat také Mozilla Firefox v některé ze svých nejbližších verzí. Z bezpečnostního hlediska je tiché a plně automatizování velmi dobrou funkcí.
Někteří uživatelé však toto tiché aktualizování berou jako nepřijatelný zásah do své kontroly nad počítačem. Nelíbí se jim, že se jim prohlížeč může bez upozornění nebo dotazu aktualizovat tak říkajícíc pod rukama. Tiché automatické aktualizování tak vypínají nebo blokují. To je legitimní přístup, ovšem vyžaduje však dostatečnou disciplinovanost při ručním aktualizování prohlížeče.
Část uživatelů se domnívá, že pro své bezpečí během surfování po webu dělá maximum, když pravidelně aktualizuje webový prohlížeč. Jenže to nestačí. Bezpečnostní nedostatky se mohou objevovat také v nainstalovaných doplňcích a zásuvných modulech. I ty je tedy třeba pravidelně aktualizovat, byť se na to někdy zapomíná.
I plně aktualizovaný prohlížeč může být slavobránou pro vstup počítačové infekce do systému, pokud se v něm nachází nainstalovaný například neaktualizovaný Flash Player (to je jeden z důvodů, proč se Google Chrome o jeho aktualizaci stará coby o součást prohlížeče sám). Pak záleží na schopnostech antiviru, jak se k hrozbě postaví. Roli hraje i to, jak je antivir aktualizován a nakolik je schopen detekovat nové a zatím ještě neznámé hrozby.
Aktualizace doplňků a zásuvných modulů přítomných ve webovém prohlížeči je tedy rovněž nutná. Velmi hlasitě na to v osvětové kampani upozorňuje Mozilla. Připravila dokonce praktickou službu Kontrola zásuvných modulů (v originále Mozilla Plug-in Check), která umí ve všech hlavních prohlížečích zkontrolovat jejich aktuálnost a případně nasměrovat uživatele k jejich aktualizaci. Spolehlivě funguje ale jen u těch nejběžnějších zástupců, typicky např. Flash, Java nebo Silverlight.
Sečteno a podtrženo
Pojďme si stručně shrnout předešlé informace. Nebezpečí může číhat na jakémkoliv webu. Zdrojem infekce mohou být vinou hacknutí i jinak regulérní a nezávadné weby, o čemž se bohužel nehovoří tak často, jak by bývalo bylo vhodné. Prohlížeče sice nabízejí ochranu před nebezpečnými weby, ovšem pouze na základě průběžně aktualizované černé listiny, což nemusí být vždy dostatečné.
V této disciplíně je podle testů NSS Labs dlouhodobě nejlepší Internet Explorer, tyto testy ovšem platí Microsoft. Při zohlednění všech relevantních faktorů výzkumná agentura Accuvant vyhlásila za nejbezpečnější prohlížeč Google Chrome. Výzkum sice zaplatil Google, ale pravdou je, že zejména díky přítomnému sandboxu a plně automatizované aktualizaci je jeho prohlížeč právem vychvalován.
Skutečně aktivní ochranu před nebezpečím na webu může poskytnout jedině antivirový program s rezidentním webovým štítem, který bude v reálném čase kontrolovat zdrojový kód načítaných webových stránek. Jde o běžnou funkci internetových bezpečnostních balíčků od předních dodavatelů. Z bezplatných řešení ji nabízí třeba český Avast Free.
Uživatelé by měli z preventivních důvodů dbát na pravidelnou aktualizaci svého webového prohlížeče. Ti pohodlnější si mohou zvolit Google Chrome, který se o vše potřebné stará sám na pozadí a aktualizuje automaticky rovněž Flash Player. Tím se dostáváme k celkem zásadní informaci, že vedle aktualizace samotného prohlížeče je potřeba i aktualizace nainstalovaných zásuvných modulů. S ověřením jejich stavu pomůže služba Mozilla Plug-in Check.
Zkontrolujte si svůj web
A na závěr tu máme ještě jeden tip pro provozovatele webových stránek. Prověřit, jestli nebyly kompromitovány a nešíří nyní nebezpečný obsah, pomůže služba Sucuri SiteCheck, která provede antivirový test vzorku webové prezentace a zároveň prověří, jestli web není z nějakého důvodu veden na některé z častěji používaných černých listin.
