Vrije browserkeuze verzuurt leven hackers

Beveiligingsspecialisten raden steeds vaker aan Internet Explorer te vervangen door een veiliger alternatief. In deze test worden een aantal alternatieve browsers afgezet tegen Microsofts paradepaardje. Is een vrije browserkeuze werkelijk mogelijk?

Naarmate Microsoft succesvoller werd in het elimineren van concurrenten, gingen de hackers en malware-auteurs zich juist meer op Microsoft-producten richten. Vandaar dat we in toenemende mate virussen, trojans, wormen, adware, spyware en allerhande andere beveiligingslekken en -problemen te verwerken kregen.
Steve Ballmer, ceo van Microsoft, liet zich onlangs verontwaardigd ontvallen dat als een ander product of besturingssysteem even succesvol zou zijn op de desktop als Windows, dat het dan ook het mikpunt voor aanvallen zou zijn van het gespuis op internet.

Lekken

Dat mag dan wel waar zijn, maar dat betekent niet dat dit gespuis dan hetzelfde succes gekend zou hebben! Het is immers een publiek geheim dat Microsoft allerlei keuzes heeft gemaakt tijdens het ontwikkelen van zijn software die rampzalig blijken vanuit beveiligingsoogpunt. Zo kregen applicaties onder Windows vrijwel onbeperkt toegang tot het volledige geheugen en zelfs tot het besturingssysteem zelf. Ook werden allerlei controles niet ingebouwd in de software om die sneller ‘af’ te hebben. Dat laatste leidde tot de steeds vaker voorkomende beveiligingsproblemen in verband met buffer overflows.
Andere keuzes die Microsoft maakte, hadden als bedoeling tot een zogenaamde ‘product lock-in’ te leiden, dus om concurrerende technologie een hak te zetten. Zo werd ActiveX ontwikkeld als tegenwicht voor de dreiging van Java. Alleen wil ActiveX zeggen dat je pure Windows-code vanaf een website in je pc laadt en dan uitvoert. Een opgelegde kans voor malware!

Alternatief = veilig?

Vanuit het oogpunt van functionaliteit heeft het voor veel bedrijven nauwelijks zin om een alternatief voor Internet Explorer (kortweg IE) te overwegen. Met IE kunnen medewerkers immers alle websites bekijken, zoals ze door de makers ontworpen werden. IE werkt nog snel ook. Er zijn wel bepaalde functies die het niet ondersteunt en die nochtans erg populair blijken in andere browsers, zoals tabbed browsing. Hierbij worden nieuwe webpagina’s niet in een nieuw browservenster geopend, maar in een nieuw tabblad. Dat is veel overzichtelijker en het neemt minder plaats in beslag op de desktop. Vrijwel alle alternatieve browsers ondersteunen dit, maar IE dus niet.
Een andere vrij populaire functionaliteit heet mouse gestures, letterlijk muisgebaren. Men beweegt de muis in een bepaalde baan, figuur of symbool en als deze handeling voltooid is, reageert de software daarop alsof een functietoets is ingetikt. De precieze handeling en de daarbij horende actie definieert de gebruiker zelf. Als men mouse gesture onder de knie heeft, kan men gewoon niet meer zonder.
Vanuit beveiligingsstandpunt bestaan er wel gegronde redenen om over te stappen op een alternatieve browser. Een alternatieve browser zou uiteraard minstens gelijke functionaliteit en werksnelheid moeten bieden, maar minder en liefst helemaal niet gevoelig zijn voor malware op het internet.
Als men overschakelt naar een alternatieve browser, is men dan beschermd tegen internetgespuis? Nee, want men werkt nog altijd onder Windows. Alles waar de gebruiker met IE op kon klikken en dat schade berokkent, kan ook met een alternatieve browser. Malware die echter denkt in het systeem te sluipen via IE, komt echter van een koude kermis thuis. Op die manier is men dus wel veiliger dan met IE. De gebruiker moet echter nog altijd beveiligingssoftware installeren tegen virussen, ad- en spyware en hackers. De meest voorkomende malware richt zich echter puur op IE en die wordt dus door een alternatieve browser geblokkeerd.

De test

Er is gesurft naar een flink aantal bij bedrijven populaire websites, zoals bedrijfssites, overheidssites, en on line-shops. Ontsonden er problemen en zo ja, welke. Ook is er ‘gesurft’ naar CoolWebSearch (http://www.coolwebsearch.com) en nog een paar andere sites met slechte reputatie. Pas er overigens voor op om de site van CoolWebSearch zelf uit te proberen, want die installeert ongevraagd een bijzonder hardnekkig stuk spyware in het systeem als er met IE wordt gewerkt. Dat gebeurt overigens ook als men Windows XP met ServicePack 2 draait, alle beveiligingen inschakelt die SP2 toevoegt én de nieuwste beveiligingsupdates binnenhaalt van de Windows Update site. Dat CoolWebSearch er onder die omstandigheden toch nog in slaagt om ongevraagd malware te installeren is het beste bewijs dat IE gewoon niet veilig is!
Er is ook gekeken of bij gebruik van een alternatieve browser deze spyware ook geactiveerd werd als we met een alternatieve browser naar CoolWebSearch en andere malware-sites surften. Als dat zo was, viel zo’n alternatieve browser direct af. Verder is ook de functionaliteiten van de alternatieve browsers onder de loep genomen. Doen ze bepaalde dingen anders, meer of beter dan IE? Of wellicht juist slechter?

Mozilla Suite

Hoewel tegenwoordig het alleenstaande browserdeel Firefox de meeste persaandacht krijgt, bestaat er nog wel degelijk een volledige internetapplicatiesuite onder de naam Mozilla Suite of kortweg Mozilla. Die wordt onverminderd verder ontwikkeld. Mozilla bestaat uit zes verschillende applicaties. Navigator is de webbrowser. De mailclient heet nogal fantasieloos ‘Mail & Newsgroups’. De gebruiker kan hiermee zoveel e-mailaccounts en nieuwsservers aanspreken als hij maar wil. Composer is de applicatie waarmee men een eigen website kan ontwerpen. De derde applicatie is het adresboek, waarin de e-mail- en IRC-adressen van correspondenten worden bewaard. Met ‘IRC Chat’ kan men chatten met anderen op het internet via het standaard IRC-protocol. Ten slotte is er Mozilla Calendar, een kalender met agenda en takenlijst.
Voor wat het webbrowsen betreft ondersteunt Mozilla Navigator standaard ’tabbed browsing’. Voor muisgebaren moet men wel een – eveneens gratis te downloaden – uitbreiding installeren. Er is een standaardvoorziening voor het blokkeren van ongewenste pop-ups. De Mozilla Suite is beschikbaar in meerdere talen en voor meerdere platformen. Standaard wordt elke nieuwe versie ontwikkeld voor Windows, Linux, Solaris en MacOS. Externe vrijwilligers zorgen nog voor andere platformen, bijvoorbeeld OS/2.
Mozilla is gebouwd rond XUL, een soort programmeertaal waarmee allerlei uitbreidingen aan Mozilla vastgemaakt kunnen worden. Daar bestaan er overigens al een flink aantal van. Mozilla ondersteunt ook diverse thema’s en skins. Standaard heeft hij er twee, maar op het internet kan men er meerdere honderden downloaden.
Indien men alleen de mozilla browser wil gebruiken en niet de vijf toegevoegde internetapplicaties doet men er goed aan de Mozilla Suite niet te downloaden. Men kan bij installatie er wel voor kiezen alleen de browser te activeren, maar het is verstandiger om dat te kiezen voor Mozilla Firefox (zie hieronder).
De Mozilla Navigator pikte geen vieze dingen op bij het surfen, ook niet de hardnekkige spyware van CoolWebSearch. Wel waren er enkele problemen bij sites die afrolmenu’s bouwen met behulp van DHTML: dat is vaak IE-specifieke code en die werkt dus niet onder Mozilla. Op zo’n site kan men dan alleen maar navigeren als er een sitemap beschikbaar is. En als het echt niet anders gaat kan er natuurlijk nog altijd tijdelijk teruggrepen worden naar IE.

Mozilla Firefox

Firefox kreeg heel wat persaandacht bij het uitkomen van de allereerste versie 1.0. Het gaat om het browserdeel van Mozilla, maar Firefox is eigenlijk vrijwel van de grond af herschreven. Het gevolg: Firefox is compacter en sneller dan Mozilla zelf. Toekomstige versies van Mozilla zullen echter gebruik maken van bepaalde code uit Firefox en omgekeerd. Het gaat dus om twee levende en samenlevende projecten. Ook de andere internetapplicaties van de Mozilla Suite komen als alleenstaande compacte programma’s beschikbaar. De mail- en nieuwsgroepenclient is er al onder de naam ThunderBird. De Composer is in een alfastadium als NVU (spreek uit: New View) te downloaden, maar van de andere applicaties is nog niets bekend.
Op het gebied van functionaliteit lijkt Firefox als twee druppels water op Mozilla Navigator. Ook hier ’tabbed browsing’, de mogelijkheid tot uitbreiding van de functionaliteit met allerlei downloads en het veranderen van het uiterlijk met thema’s en skins, plus de gedetailleerd configureerbare pop-upkiller. Firefox is beschikbaar in allerlei talen en voor allerlei platforms, in principe dezelfde als bij de Mozilla Suite. Niet alle talen waren echter al beschikbaar toen deze test werd uitgevoerd.
Firefox werd tijdens het surfen niet geïnfecteerd door wat dan ook. We surften ongeschonden naar CoolWebSearch en andere kwaadaardige sites. Net als Mozilla blijkt Firefox problemen te hebben met sommige sites die afrolmenu’s via DHTML presenteren.
Tijdens het surfen konden geen echte voor- en nadelen worden ontdekt tussen Firefox en Mozilla Navigator: de keuze tussen beide browsers is dus vooral een kwestie van smaak.

K-Meleon

K-Meleon is een op Mozilla gebaseerd project, specifiek voor Windows ontworpen en gecompileerd. Een soortgelijke inspanning bestaat overigens voor Linux (Galeon) en voor MacOS (Camino), maar die zijn telkens van andere auteurs. Het idee achter K-Meleon is, dat een browser veel compacter en sneller kan zijn als die voor maar één platform geschreven is en dus niet alle zooi van andere platformen moet meeslepen. K-Meleon start erg snel op: binnen een seconde. De tabs van Mozilla en Firefox bestaan hier ook, maar ze heten ‘layers’ (lagen). Allerlei uitbreidingen van Mozilla en Firefox (zoals muisgebaren) zijn standaard aanwezig. Er bestaat wel een ‘Favorites-plugin’ waarmee men de favorieten van IE kan delen. Ook als de vorige browser Opera was, biedt K-Meleon een plug-in waarmee de favorieten met Opera kunnen worden gedeeld.
K-Meleon heeft net zoals Mozilla en Firefox problemen met sommige sites die afrolmenu’s met IE-specifieke DHTML gebruiken, maar werd niet geïnfecteerd door spyware en adware. Het is zeker een interessant alternatief op Firefox ,omdat het veel compacter en een beetje sneller is. Het is echter de of dit nevenproject met even veel enthousiasme wordt voortgezet als Firefox en Mozilla zelf.

Opera

Opera is afkomstig van de gelijknamige Noorse firma die al sinds 1995 bezig is met het ontwikkelen van een alternatieve browser. Tien jaar later zitten we aan versie 8. Opera is een commerciële onderneming en wil dus geld verdienen. Vandaar dat de Opera browser reclamebanners voorschotelt tenzij de gebruiker registreert (en dus betaalt). In dat geval kan men ook beroep doen op ondersteuning. Opera kost 34 euro (inclusief Noorse BTW). Daarvoor krijgt men een browser die ook een mail- en chatclient aan boord heeft, spam- en pop-upfilters, en ondersteuning voor tabs en muisgebaren. Ook deze browser blijkt niet in staat een afrolmenu met IE-specifieke DHTML-code correct weer te geven. Opera is beschikbaar voor Windows, MacOS, Linux, FreeBSD en Solaris. Er bestaat ook nog een oude versie 5.42 voor OS/2, maar geen nieuwere.
De browser kweet zich goed van zijn taken. Het lukte – ondanks heldhaftige pogingen – niet ad- of spyware aan boord te krijgen. We zien de voordelen van Opera ten opzichte van IE, maar niet in vergelijking met Mozilla – zeker als men bedenkt dat deze laatste volkomen gratis is én open source.

ICEbrowser

Het bijzondere aan de ICEbrowser is dat het om een Java-applicatie gaat. Waarschijnlijk is de bekendste Java-browser HotJava van Sun, maar die is niet in de test opgenomen, omdat de ontwikkeling daarvan is gestopt. ICEbrowser is een commercieel product en dus niet gratis.
Het grootste voordeel van een Java-browser is natuurlijk de garantie op uniformiteit. Het draait op ieder platform met een Java-runtime en de gebruiker kan een browserpakket centraal beheerd naar iedere client sturen: zo is hij er zeker van dat iedereen met dezelfde versie en mogelijkheden werkt. De producent heet ICEsoft en levert een installatiebestand voor Windows. Dat is een gewone EXE die men maar hoeft te starten en alles wordt geïnstalleert, van de Java-omgeving tot de ICEbrowser. Dat is met 62 MB wél een hele hap.
ICEsoft kent drie verschillende edities van de ICEbrowser. Er is de ‘Advanced AWT RI’, de ‘Generic RI’ en de ‘Swing RI’. De ‘Advanced AWT RI’ is vermoedelijk de populairste editie. Deze ziet een behoorlijk anders uit dan de andere geteste browsers. Vrijwel alle bedieningsknoppen staan namelijk onderaan in plaats van bovenaan. ICEsoft maakte er een visueel erg aantrekkelijke interface van, met de belangrijkste functies in grote ronde buttons en een combinatie van grijze en koningsblauwe achtergronden.
Het laden en ook het ‘renderen’ (visueel samenstellen) van webpagina’s gaat merkbaar trager dan bij de voor Windows gecompileerde browsers, maar het is zeker niet storend. Enigszins verrassend liet ICEbrowser de testpagina met IE-specifieke op DHTML-code gebaseerde afrolmenu’s correct zien, maar er zaten wel vrij veel presentatiefouten in andere pagina’s of websites. Zelfs de vrij eenvoudige thuispagina van de Europese Unie die werd gebruikt om de bij dit artikel gevoegde schermafdrukken te maken, wordt door de ICEbrowser verkeerd weergegeven.
Het was te verwachtten dat ICEbrowser als Java-applicatie niet besmet zou worden door malware. Dat werd bevestigd nadat we uitgebreid gesurft hadden naar een paar beruchte sites met kwaadaardige elementen aan boord.
Ofschoon het een leuke browser is, is de conclusie dat hij teveel weergavefouten laat zien om echt IE te kunnen vervangen.

Lynx

Uit de Unix-wereld komt de tekstgebaseerde webbrowser Lynx. De bedoeling is om in erg weinig en compacte code een razendsnelle browser te bouwen die uitstekend geschikt is om snel door tekst heen te bladeren. Lynx toont dus een tekstvenster met daarin de tekstuele inhoud van de website, waarbij alle normaal aanklikbare links genummerd zijn. Men typt het gewenste nummer in en Lynx volgt die link dan. Afbeeldingen worden uiteraard niet getoond, maar wel de titel als die gegeven was. Er bestaat ook nog een kloon van Lynx genaamd Links (zie links.browser.org). Ook is er de firma Twibright Labs, die Links omvormde naar een grafische versie die in essentie ook nog tekstueel werkt, maar alle plaatjes, kleurtjes, achtergronden en – in beperkte mate – fonts wel toont. Meer informatie is te vinden op atrey.karlin.mff.cuni.cz/~clock/twibright/links/. Als vervanger voor IE lijkt Lynx of Links (ook de grafische editie) niet geschikt, maar als men iets klein en fijns zoekt om razendsnel door grote hoeveelheden tekst op websites te snuffelen dan kan het wel degelijk van dienst zijn.

Windows-specifieke alternatieven

Er bestaan ook een aantal niet op de Gecko-engine gebaseerde Windows-browsers die vooral een hogere werksnelheid dan IE beloven.
De AvantBrowser is een andere grafische interface bovenop de systeembibliotheken van IE. Hij biedt tabbed browsing, een ingebouwde flashspeler, pop-upblokkering en een redelijk drukke grafische interface met heel wat meer mogelijkheden dan IE. Het probleem is natuurlijk, dat aangezien IE als basis gebruikt wordt, alle beveiligingsproblemen van IE ook in die AvantBrowser ervaren kunnen worden. AvantBrowser is daarom zeker niet geschikt als alternatief voor IE. Men kunt het overwegen als men absoluut niet van IE af wil, maar wel graag meer functionaliteit zou hebben.
NeoPlanet heeft een opvallende interface, maar blijkt ook op IE gebaseerd te zijn. Hij is dus even onveilig. Omdat NeoPlanet ook nog spyware installeert, is het verstandig om deze ‘browser’links te laten liggen.
NetCaptor, naar eigen zeggen de krachtigste browser ter wereld, is gratis voor particulieren, maar voor professioneel of commercieel gebruik kost hij 29,95 dollar. Ook deze browser blijkt gebaseerd op IE en dat betekent dat alle sites goed getoond worden, maar dat NetCaptor bloot staat aan dezelfde beveilingsproblemen als IE. Qua beveiliging is het wel interessant dat NetCaptor de mogelijkheid biedtt in het menu te kiezen voor het aan- of uitzetten of om bevestiging vragen van dan wel voor het uitvoeren van scripts en ActiveX-elementen. Helaas helpt dat niet tegen de websites met malware en ons testsysteem raakt wel degelijk besmet met rommel.

Conclusie

Als men op zoek is naar een browser die meer bescherming biedt, dan moet hij nietgebaseerd zijn op IE. In dat geval raden wij een Gecko-gebaseerde browser aan. Deze zijn gratis, open source, ze worden voortdurend en enthousiast verder ontwikkeld én zijn veilig. Vandaar: Mozilla als men alle internetapplicaties wil vervangen en Firefox of K-Meleon als het alleen maar gaat om een browser. In het laatste geval is de beste keus Firefox als men eenzelfde browser wil hebben voor alle platformen in het bedrijf. Wordt er uitsluitend met Windows gewerkt, dan komt K-Meleon ook in aanmerking. Deze laat echter de indruk achter dat de ontwikkeling altijd iets achter loopt op Firefox.< BR> 
Download het pdf-bestand met de volledige specificaties