La Bundesamt für Sicherheit in der Informationstechnik o BSI es la Agencia de Seguridad Cibernética Alemana. Esta agencia lleva publicando anualmente desde 2017 un serie de informes donde se evalúan las características de cada uno de los navegadores más actuales y aquellas que serían deseable que cumplieran.
Este año la BSI ha publicado una nueva guía donde se probaron los siguientes navegadores; Mozilla Firefox 68 (ESR), Google Chrome 76, Microsoft Internet Explorer 11, y Microsoft Edge 44 para analizar cuales de ellos podían ofrecer un entorno seguro al usuario en función de una lista de puntos.
Según la nueva guía del BSI, para ser considerado “seguro”, un navegador moderno debe cumplir estos requisitos mínimos:
– Debe ser compatible con TLS
– Debe tener una lista de certificados de confianza – Debe admitir certificados de validación extendida (EV)
– Debe verificar los certificados cargados con una Lista de revocación de certificación (CRL) o un Protocolo de estado de certificado en línea (OCSP)
– El navegador debe usar íconos o resaltados de color para mostrar cuando las comunicaciones a un servidor remoto están encriptadas o en texto sin formato – Las conexiones a sitios web remotos que se ejecutan en certificados caducados deben permitirse solo después de la aprobación específica del usuario
– Debe ser compatible con HTTP Strict Transport Security (HSTS) (RFC 6797)
– Debe admitir la Política del mismo origen (SOP) – Debe admitir la Política de seguridad de contenido (CSP) 2.0
– Debe admitir la integridad de los recursos secundarios (SRI)
– Debe admitir actualizaciones automáticas – Debe admitir un mecanismo de actualización separado para componentes y extensiones cruciales del navegador
– Las actualizaciones del navegador deben estar firmadas y ser verificables
– El administrador de contraseñas del navegador debe almacenar las contraseñas en forma cifrada – El acceso a la bóveda de contraseñas incorporada del navegador solo debe permitirse después de que el usuario haya ingresado una contraseña maestra
– El usuario debe poder eliminar las contraseñas del administrador de contraseñas del navegador
– Los usuarios deben poder bloquear o eliminar archivos de cookies – Los usuarios deben poder bloquear o eliminar el historial de autocompletar
– Los usuarios deben poder bloquear o eliminar el historial de navegación
– Los administradores de la organización deben poder configurar o bloquear los navegadores para que no envíen datos de telemetría / uso – Los navegadores deben admitir un mecanismo para verificar el contenido / URL dañinos
– Los navegadores deberían permitir a las organizaciones ejecutar listas negras de URL almacenadas localmente
– Debe admitir una sección de configuración donde los usuarios puedan habilitar / deshabilitar complementos, extensiones o JavaScript. Los navegadores deben poder importar configuraciones de configuración creadas centralmente, ideales para implementaciones empresariales a gran escala.
– Debe permitir a los administradores deshabilitar las funciones de sincronización de perfiles basadas en la nube
– Debe ejecutarse después de su inicialización con derechos mínimos en el sistema operativo – Debe admitir sandboxing. Todos los componentes del navegador deben estar aislados unos de otros y del sistema operativo. La comunicación entre los componentes aislados solo puede tener lugar a través de interfaces definidas. El acceso directo a los recursos de componentes aislados no debe ser posible.
– Las páginas web deben aislarse unas de otras, idealmente en forma de procesos independientes. El aislamiento a nivel de hilo también está permitido.
– Los navegadores deben codificarse utilizando lenguajes de programación que admitan las protecciones de memoria de pila y montón – El proveedor del navegador debe proporcionar actualizaciones de seguridad a más tardar 21 días después de la divulgación pública de una falla de seguridad. Si el proveedor del navegador principal no puede proporcionar una actualización de seguridad, las organizaciones deben pasar a un nuevo navegador.
– Los navegadores deben usar protecciones de memoria del sistema operativo, como la asignación aleatoria del diseño del espacio de direcciones (ASLR) o la prevención de ejecución de datos (DEP). Los administradores de la organización deben poder regular o bloquear la instalación de complementos / extensiones no autorizadas.
La agradable sorpresa viene cuando de toda esta lista Firefox ha sido el único navegador que cumple con todos los requerimientos descritos.
La lista completa de test realizados está publicada y puede consultarse en el siguiente enlace.
Fuente: ubuntizando
