Informationsdienst Wissenschaft Pressemitteilung Neue ETH-Studie…

Informationsdienst Wissenschaft

Pressemitteilung


Neue ETH-Studie zur Browsersicherheit
Franziska Schmid, Corporate Communications
Eidgenössische Technische Hochschule Zürich (ETH Zürich)

01.07.2008


Eine Studie im Rahmen einer Forschungszusammenarbeit zwischen der ETH Zürich und Google
zeigt, dass weltweit mehr als 600 Millionen Internetuser nicht die sicherste Version ihres
Webbrowsers verwenden. Daher empfehlen die Forscher ein "Verfallsdatum" für Webbrowser
einzuführen und dieses deutlich sichtbar auf der Benutzeroberfläche zu platzieren.

Die aktuelle Hauptversion 3.0 von Firefox ist aufgrund der hohen Download-Rate in aller Munde. "Gut so",
meinen Forschende der ETH Zürich, die mit Hilfe der täglich ausgewerteten Webserver-Statistiken von
Google, das Updateverhalten von Internet-Benutzern zwischen Januar 2007 und Juni 2008 untersucht
haben. Dank einer neuen Methodik konnten sie erstmals die Anzahl der Browser bestimmen, die nicht auf
dem aktuellsten Stand und somit potentiell gefährdet sind. Diese Browser bieten Angriffen durch infizierte
Webseiten (Drive-by-Downloads) ein leichtes Ziel.

Langsame Umstellung auf aktuelle Browser Versionen
Die soeben veröffentlichte Studie "Understanding the Web Browser Threat" zeigt, dass Anfang Juni 2008
lediglich 59,1% aller Websurfer die aktuellste Hauptversion ("major version") ihres Webbrowsers benutzten.
Die Benutzer des Mozilla Firefox sind dabei deutlich umsichtiger als die des Internet Explorer von Microsoft:
92,2% der Firefox Benutzer verwendeten vor der Lancierung von 3.0 die damals aktuelle Version 2.0 des
Browsers. Bei den Nutzern des Internet Explorer sind es hingegen nur 52,5%, die mit der neusten Version,
dem Internet Explorer 7, im Netz surften. Die Studie hat ergeben, dass weltweit 637 Millionen
Internetbenutzer einen Webbrowser benutzen, der nicht auf dem neusten und sichersten Stand ist. Entweder
wurde nicht die letzte Hauptversion verwendet oder es waren nicht alle Browser-Patches eingespielt.
Angreifer haben es bei diesen Systemen sehr viel leichter, Schwachstellen im Browser auszunutzen.

Vernachlässigte Sicherheitspatches
Die Zahl von mehr als 600 Millionen nicht aktualisierten Browsern sei jedoch nur die Spitze des Eisberges,
betont Stefan Frei von der Communication Systems Group am Institut für technische Informatik und
Kommunikationsnetze (TIK) der ETH Zürich. Hinzu kämen Schwachstellen in den unzähligen Browser-Plug-
Ins, durch die auch aktuelle Browserversionen gehackt werden könnten. Diese stellten den nicht sichtbaren
Teil des Eisbergs dar.

Die Studie zeigt ausserdem, dass in den letzten 18 Monaten maximal 83.3% der Firefox-Benutzer die
neueste Browserversion - die sogenannte "minor version" - mit allen verfügbaren Sicherheitspatches
benutzten. Bei den anderen Brow-sern liegt der Anteil gar nur bei 56,1% (Opera), bzw. 47,6% (Internet
Explorer). Auch bei den Safari-Nutzern sah es nicht viel besser aus: Seit der Veröffentlichung von Apples
Safari 3 sind nur 65.3% der Benutzer auf die aktuellste Safari-Version umgestiegen.

Verfallsdatum für Browser einführen
Die wichtigste Erkenntnis aus dieser Untersuchung ist, dass die bisherigen technischen Ansätze nicht
genügen, um die optimale Sicherheit der Browser zu gewährleisten. Es gelte das Sicherheitsbewusstsein der
Internetnutzer stärker zu entwickeln. Das Problem sei, dass viele User überhaupt nicht wissen, ob sie die
aktuellste Version ihres Browsers benutzen, so die Autoren. Dem Nutzer müsse deshalb auf einfache Weise
klar gemacht werden, dass die Verwendung von veralteter Software im Internet mit erheblichen Risiken
verbunden ist.

Die Autoren schlagen deshalb vor - wie bei Lebensmitteln - eine Art Verfallsdatum für kritische
Softwarekomponenten, vor allem aber Internet-Anwendungen, deutlich sichtbar einzuführen. An gleicher
Stelle müsste auch der Hinweis auf verfügbare Updates zu finden sein. Die damit geschaffene Transparenz
würde massgeblich dazu beitragen, dass Nutzer und Betreiber von Webdiensten die Risiken richtig erkennen
und beurteilen können.

Originalbeitrag
Understanding the Web browser threat: Examination of vulnerable online Web browser populations and the
"insecurity iceberg"
S. Frei1, T. Duebendorfer2, G. Ollmann3, M. May1
1 Communication Systems Group, ETH Zurich, Switzerland
2 Google Switzerland GmbH
3 IBM Internet Security Systems, USA

Download der Studie unter: http://www.techzoom.net/insecurity-iceberg

Weitere Informationen:
ETH Zürich
Stefan Frei
Institut für technische Informatik und Kommunikationsnetze
Telefon +41 (0)44 632 7015
insecurity-iceberg@ee.ethz.ch


URL dieser Pressemitteilung: http://www.idw-online.de/pages/de/news268270
Merkmale dieser Pressemitteilung:
Gesellschaft, Informationstechnologie
überregional

Forschungsergebnisse, Publikationen




© 1995-2008 Informationsdienst Wissenschaft e.V.