I 2022 var det en enorm hype rundt nettlesersikkerhet og bedriftsnettlesere. Men selv om de hevder å gi "bedriftssikkerhet", er bedriftsnettlesere faktisk langt fra perfekte. Faktisk har de noen kritiske ulemper.

Hva er de og hva er alternativet? I denne bloggen vil jeg skille mellom nettlesersikkerhet og bedriftsnettlesere, ta for meg fordeler og ulemper ved hver enkelt, og kaste lys over nettlesergjelden som oppstår ved migrering til en bedriftsnettleser. Les videre for å se hvilke krav som fremsettes av nettleserselskaper for bedrifter og om de faktisk kan leve opp til dem.

Nettleseren trenger mer sikkerhet. Er en bedriftsnettleser den rette løsningen?

De siste par årene har det vært noen tektoniske endringer i IT. Disse endringene gjorde tradisjonelle sikkerhetsløsninger, som brannmurer, SWG-er, VDI-er og VPN-er, irrelevante. Nettverkssikkerhetsverktøy kan ikke inspisere komplekse SaaS-applikasjoner, som blir utbredt i hele arbeidsstyrken. Ansatte jobber eksternt og hater å surfe via en VPN. Data er spredt mellom utallige applikasjoner og er vanskelig å beskytte. Virtuelle skrivebord er dyre og gir dårlig ytelse; de er feil verktøy for jobben med å få tilgang til nettapplikasjoner.

Med andre ord, de mest brukte verktøyene i bedriftens cybersikkerhetsstabel blir ubrukelige. Dette er en perfekt storm som fikk organisasjoner til å lengte etter en moderne nettlesersikkerhetsløsning som gir synlighet, sikkerhet og kontroll i hver nettøkt. 

Ekte nettlesersikkerhet krever adressering av nettleserens synspunkt, for å sikre at den tar hensyn til ende-til-ende-kryptering og gjengivelsesprosessen. Med tanke på nettleserarkitekturen kan en slik løsning leveres på en av to måter:

  • En nettleserutvidelse på toppen av den eksisterende nettleseren (resultatet ligner på en EDR på toppen av operativsystemet)
  • Bruke Firefox eller Chromium-gjengivelsesmotorer for å bygge en ny nettleser (resultatet ligner på å tilpasse et Linux/Android OS for å skape en ny smak)

Hva er en bedriftsnettleser?

Enterprise-nettlesere (AKA "sikre bedriftsnettlesere") er Chromium-baserte (eller Firefox-baserte) nettlesere som er bygd for bedriftsmiljøet. De gir Chrome (eller Firefox) gjengivelsesmuligheter. Men i stedet for de opprinnelige Chrome/Edge-funksjonene, introduserer de sine egne sikkerhets-, administrasjons- og identitetsfunksjoner.

Enterprise-nettlesere ber kunder om å si farvel til deres elskede Chrome, Edge, Firefox og Safari til fordel for noe nytt og angivelig sikrere. Til gjengjeld påløper de en månedlig abonnementsavgift, en ikke-så-enkel distribusjonsprosess og rigid leverandøravhengighet.

Påstandene fra nettleserleverandører for bedrifter, ment å overbevise organisasjoner om å velge dem, er ikke gyldige fra mitt synspunkt. I neste avsnitt vil jeg referere til hver av disse påstandene og gi mine to cybercent om dem.

"En halv sannhet er ofte en stor løgn" - Benjamin Franklin

 

Påstand #1: Chrome er den mest sårbare nettleseren

FALSK

Dette er et klassisk eksempel på overlevelsesskjevhet. Google er ikke den mest sårbare nettleseren, men den mest lappede nettleseren! Googles prosjekt null er det beste eksemplet på programvaresårbarhetsskanning i IT-historien.

De fleste Chromium-sårbarheter oppdages av Googles ingeniører, og bare noen få blir utnyttet i naturen. Dessuten er antallet tydelige sårbarheter som kreves for å kunne utnytte denne nettleseren i en bratt økning. Som et faktum er ordet på den digitale gaten at hvis du kan utføre ekstern kodekjøring med en sandkasse-escape, kan du selge den for noen få millioner dollar.

Du bør faktisk være mer bekymret for produkter som ikke avslører deres sårbarheter. Hvis de ikke avslører dem, fikser de dem ikke. Google, tvert imot, er åpen og transparent om Chromiums sårbarheter, opprettholder det som et åpen kildekode-prosjekt og demonstrerer den raskeste patcherutinen i IT-bransjen. 

Den underliggende sannheten for CISO-er er at Chromium-nettlesere gir den beste sikkerhetsarkitekturen i deres miljø. Det er faktisk IT-verktøyene uten skikkelig sårbarhetsavsløring de bør bekymre seg for.

Hvis du ikke er enig, prøv å finne en CISO som opplevde en Chrome null-dagers utnyttelse eller bare prøv å utnytte Chrome selv.

Påstand #2: Enterprise-nettlesere retter opp sårbarheter raskere enn Chrome

STORST FALSKT

Google har en forutsigbar programvareutgivelseslivssyklus. Hver programvareoppdatering distribueres i henhold til følgende trinn: kanarifugl, beta, ustabil og stabil. Noen ganger vil det ta noen uker før en ny kodebit går fra å bli skrevet til å bli distribuert over hele verden.

Noen bedriftsnettlesere hevder å sende programvareoppdateringer til produksjon raskere enn Google, noe som betyr at de angivelig retter opp sårbarheter raskere enn Chrome.

Effektive sårbarheter blir imidlertid faktisk rettet av Google på en måte utenfor båndet, i løpet av dager og utenfor Chromes vanlige utgivelseslivssyklus. Dette betyr at når vi håndterer en type sårbarhet (alvorlig, utnyttet i naturen, osv.), gjør Google en enestående innsats for å fikse det på kort tid.

Denne nye kodebiten i Chromium er ikke merket som relatert til sikkerhetsproblemer, og den går rett til produksjon. Med andre ord, bedriftsnettlesere har ingen mulighet til å vite at det er betydelig og hvilke kompatibilitetsproblemer som kan oppstå.

Mitt råd vil være å be bedriftens nettleser om å gi ut versjonshistorikken. Det er god praksis for programvareleverandører å være transparente om deres faktiske utgivelsessyklus.

Påstand #3: Enterprise-nettleserkode er sikrere enn kommersiell nettleserkode og er immun mot angrep på nettleseren

KAN VÆRE

Enhver programvare har sine sårbarheter og sikkerhetsproblemer (selv en bedriftsnettleser). Spørsmålet er – er det sikkerhetshull i standard nettlesere? Den beste måten å svare på det spørsmålet på er å sjekke måtene som muliggjør brudd på kommersielle nettlesere. 

Svaret er gitt av både skadelig programvare og antivirusprogramvare. Begge ønsker tilgang til nettleseren for å overvåke aktivitet – skadelig programvare for å stjele passord og antivirusprogramvare for å blokkere skadelig programvare. Begge gjør vanligvis dette ved å distribuere en lokal nettleserutvidelse. Dette betyr at det er vanskelig å overvåke nettleseraktivitet, ettersom nettleseren er isolert i en sandkasse med begrenset tilgang til resten av systemet, og bruker kryptering for å beskytte data. Det er faktisk sikkert nok på kodenivå. 

Det finnes hull, men ikke på kodenivå. Nettleserdatafiler (informasjonskapsler, passordfiler og nedlastinger) kan nås av skadelig programvare. Men dette krever ikke å endre hele nettleseren. I tillegg, hvis malware er det du er redd for, er det beste alternativet å bruke en endepunktbeskyttelsesløsning. Bruk riktig verktøy for jobben.

For å legge til en sidenotat – jeg vil personlig frykte at bedriftsnettleseren vil introdusere flere sårbarheter enn de den kan lappe. Grunnen til dette er at Chromium støttes av både Google og et enormt økosystem involvert i åpen kildekode-prosjektet. Chromium-koden har en fantastisk standard for sikkerhetsgrunnlag. Jeg vil frykte mye mer fra ny kode som forstyrrer den eksisterende koden og den eksisterende måten å jobbe på enn av Chromium-kode.

Påstand #4: Kommersielle nettlesere gir ikke tilstrekkelige styrings- og administrasjonsevner

DELVIS SANN

For Google Workspace-kunder er Chrome Enterprise gratis og gir klare administrasjonsmuligheter. For Office365-brukere er det administrerte Edge-innstillinger som kan angis av enhetsadministrasjonsverktøy. De er ikke så detaljerte som bedriftsnettlesere er, men disse hullene kan løses med en bedriftsnettleserutvidelse.

En nettleserutvidelse for bedrifter (som f.eks LayerX) legger til administrasjonsfunksjoner i økter og kontrollerer ulike nettleser-APIer. Dette gjør det mulig å tilpasse eksisterende nettlesere og gjøre dem om til sikre nettlesere i bedriftsklasse. Mens nettleseren bringer tilgjengeligheten og påliteligheten til nettrafikk, legger utvidelsen til sikkerhet og styringsmuligheter på toppen av det.

Faktisk er dette nøyaktig hva nettleserleverandører med vilje tillater. Administrerte nettlesere (Chrome og Edge), samt Firefox og Safari, støtter alle rike og stabile tilpasningsmuligheter med nettleserutvidelser for bedrifter.

Påstand #5: Utvidelser er ikke like kraftige som nettleseren

IRRELEVANT OG STORST FALSKT

Denne påstanden tilsvarer å si at en spiseskje er kraftigere enn en teskje. Det kommer veldig an på hva du vil røre.

Når det gjelder nettlesersikkerhet, er de fleste brukstilfeller relatert til det gjengitte innholdet (i enkle ord – nettsidene vi surfer til). Utvidelser har samme tilgjengelighet til det gjengitte innholdet (dvs. postdekryptering, kildekode, DOM, nettleserfeilsøker og massevis av morsomme ting). Dette betyr at et enklere verktøy enn nettleseren kan få jobben gjort med mindre innsats.

Funksjoner som en utvidelse ikke kan håndtere behandles allerede ganske godt av nettleserleverandørene. Google, Microsoft, Mozilla og Apple gjør en utrolig jobb med å tilby et SOTA-produkt med tonnevis av sikkerhetsfunksjoner inni. Med andre ord, du sammenligner ikke bedriftsnettlesere vs. en utvidelsesløsning, men faktisk bedriftsnettlesere vs Chrome+utvidelseskombinasjonen.

I tillegg er kraften til bedriftsnettlesere et tveegget sverd. Jo flere endringer de gjør i Chromium, desto større sjanse er det for at de vil forkaste det, noe som gjør dem umulige å oppdatere innen rimelige tidsrammer. Meningen med dette er at bedriftsnettlesere sannsynligvis vil gjøre så få endringer som mulig i Chromium-koden, mens de baserer mesteparten av sikkerheten på en medfølgende utvidelse eller på en lokal proxy.

Krav #6: Enterprise-nettlesere gir samme opplevelse som Chrome

HALV SANNHETEN

Det er Chromium som gir en LIGNENDE opplevelse som Chrome. Opplevelsen er ikke identisk, og ingen lover at Google vil fortsette å dele det meste av koden med sine konkurrenter. Over tid ser vi at Google legger til spesifikke funksjoner i Chrome som ikke er en del av Chromium.

Hva bedriftsnettlesere ikke vil fortelle deg

Jeg forventer at bedriftsnettlesere i tillegg til sine unike fordeler også vil ha noen uvelkomne ulemper som vil få mange IT-team til å gråte i de kommende årene.

Disse ulempene inkluderer:

  • Upålitelig og inkonsekvent patcherutine: Enterprise-nettlesere publiserer ikke oppdateringsrutinene sine. Men ekstrapolert fra Brave og Edge, kan det ta dem minst 12 timer (og opptil flere dager) å lappe Chromium zero-day sårbarheter som ble lappet av Google på en out-of-band måte.
  • Potensiell applikasjonsinkompatibilitet: Bedrifter vil fortsette å bygge applikasjonene sine for Chrome og Edge. Men selv om en bedriftsnettleser i dag er fullt kompatibel, er det ingen som garanterer at morgendagen blir den samme. Enhver ekstra kode på toppen av Chromium kan ha sine egne problemer og feil, noe som betyr at ansatte kanskje ikke har tilgang til applikasjonene de trenger for å få arbeidet gjort.
  • Delvis synlighet: Dine ansatte vil fortsatt bruke kommersielle nettlesere så mye de kan (enten for jobb eller moro). Dette betyr at du vil sitte igjen med enorme hull, som kan innebære tap av funksjonsdata og trusler.
  • Den verste leverandørlåsen i cybersikkerhetens historie: Tenk deg at du bruker en bedriftsnettleser. Du er fornøyd med det. En bedre bedriftsnettleser kommer imidlertid til en billigere pris. Hvordan vil du migrere? Alle dine preferanser, identiteter, passord og informasjonskapsler lagres i din eksisterende nettleser. Nettleserselskapene annonserer at alle informasjonskapslene deres er kryptert og at alt minne er fullstendig isolert. Hvis den gjør jobben den sier den gjør, vil du finne deg selv i en leverandørlås.
  • Mister gratis evner: Dine eksisterende nettlesere kommer med noen fantastiske funksjoner. Chrome har den beste blokkeringslisten i bransjen. Edge har den beste lokale isolasjonstjenesten (AppGuard). Firefox har utrolige personvernfunksjoner. Listen fortsetter og fortsetter. Husk at ved å bruke disse nettleserne får du stor verdi uten kostnad.
  • Uendelig friksjon: En dag vil noe ikke fungere med bedriftsnettleseren. Det kan skyldes et problem på nettleserleverandørens side, Google begrenser muligheten for andre nettlesere til å bruke Chromium, eller en ren ansattfeil. En ting er sikkert – det er mest sannsynlig at den ansatte sier «denne nettleseren fungerer ikke. Det suger." Bruk av en bedriftsnettleser vil sannsynligvis innebære mye friksjon med arbeidsstyrken din, da svært få sikkerhetsprodukter ber ansatte endre måten de jobber på. Å endre måten folk jobber på er mer en kulturell byrde enn en sikkerhetsverdi.
  • Den digitale identitetskampen: Nummer én funksjon i Chrome og Edge (rosinen på kaken) er deres integrasjon med skykontorets identitet. Dette betyr at for organisasjoner som bruker Google Workspace, gir Chrome en nettleserprofil knyttet til Google-identiteten. For Office365-brukere gir Edge en nettleserprofil knyttet til Microsoft-identiteten. Dette betyr at nesten alle organisasjoner der ute allerede har en betalt administrert nettleser (enten Chrome eller Edge) som fungerer utrolig med den relevante SaaS-applikasjonspakken. Å flytte til en annen nettleser vil forringe denne opplevelsen og legge til enda en (unødvendig) identitetstjeneste til IT-stakken. I stedet for å legge til sikkerhet, vil det bare skape forvirring blant ansatte og øke overheaden på IT.

Det sikre og friksjonsfrie alternativet til bedriftsnettlesere

Det er én ting som bedriftsnettleserselskapene er skarpe på; nettleseren er det viktigste arbeidsområdet og den mest verdifulle synlighetskilden i organisasjonen. Hos LayerX tenker vi at løsningen for å sikre nettleserne er enkel – vi må bringe så mye sikkerhet som mulig til eksisterende nettlesere.

På samme måte som driftssystemer er sikret med endepunktbeskyttelse løsninger (i stedet for en herdet Linux-smak) og e-posttjenester med e-postsikkerhetsverktøy (i stedet for en tilpasset "sikker e-post"), er en nettlesersikkerhetsplattform løsningen for nettlesersikkerhetsproblemer.

Bruke en nettleserutvidelse for bedrifter bringer alle mulige sikkerhetsfunksjoner til nettleseren, uten å kompromittere brukeropplevelsen.