브라우저 보안 - 위키백과 , 우리 모두 의 백과사전 
 브라우저 보안 은 웹 브라우저 의 인터넷 보안 에 대한 적용 으로서 [ 1 ] 네트워크 화 된 데이터 와 컴퓨터 시스템 을 악 성 소프트웨어 나 사생활 침해 로부터 보호 하 기 위한 것 이 다 . 브라우저 의 보안 익스 플로 잇 은 종종 자바 스크립트 - 가끔 은 사이트 간 스크립팅 ( XSS ) [ 2 ] - 를 사용 하 며 , 가끔 은 어도비 플래시 [ 3 ] 를 이용 한 부차 적 인 페이로드 를 사용 한다 . 보안 익스 플 로 잇 은 또한 웹 브라우저 들 에서 의 보안 취약점 을 이용 할 수 있 다 . 
 1 . 1 플러그인 과 확장 
 2 프라이버시 
 2 . 1 플래시 
 3 하드웨어 브라우저 
 4 브라우저 강화 
 웹 브라우저 들 은 아래 의 방법 들 에 의해 뚫릴 수 있 다 . 
 운영 체제 가 뚫려서 악성 코드 가 관리자 모드 에서 브라우저 메모리 영역 을 읽 거나 수정 할 수 있 을 때 [ 4 ] 
 운영 체제 가 백 그라운드 에서 돌아가 는 악 성 코드 를 갖 고 있 는 경우 관리자 모드 에서 브라우저 메모리 영역 은 읽 거나 수정 될 수 있 다 . 
 주요 브라우저 실행 파일 이 해킹 될 수 있 다 . 
 브라우저 구성 요소 들 이 해킹 될 수 있 다 . 
 브라우저 플러그 인 들 이 해킹 될 수 있 다 . 
 머신 외부 에서 브라우저 네트워크 통신 이 가로채 질 수 있 다 . [ 5 ] 
 브라우저 는 위 와 같이 뚫린 사실 을 인식 하 지 못하 고 안전 한 연결 이 만들 어 졌 다고 사용 자 에게 보여 줄 수 있 다 . 
 브라우저 가 웹 사이트 와 통신 할 때 마다 , 웹 사이트 는 브라우저 의 몇몇 정보 를 모은다 . [ 6 ] 만약 악의 적 인 코드 가 웹 사이트 의 내용 에 삽입 되 었 다거나 최악 의 경우 웹 사이트 가 의도 적 으로 악의 적 인 코드 의 호스트 로서 설계 되 었 다면 취약점 들 은 이 악의 적 인 코드 를 의도 하 지 않 은 방법 으로 브라우저 내 에서 실행 되 게 할 수 있 다 . [ 7 ] 공격자 가 방문자 의 머신 에서 프로세스 를 실행 할 수 있 다면 , 알려진 보안 취약점 을 공격 함 으로써 공격자 는 감염 된 시스템 에 대해 특권 적 접근 ( 만약 브라우저 가 이미 특권 적 접근 으로 실행 중 이 지 않 다면 ) 을 얻 을 수 있 다 . [ 8 ] 
 웹 브라우저 보안 을 위반 하 는 것 은 보통 웹 버그 나 클릭 재 킹 , 라이 크 재 킹 , HTTP 쿠키 , 좀 비 쿠키 또는 플래시 쿠키 같 은 툴 들 을 사용 해서 디지털 마케팅 이나 신원 도용 등 을 위해 개인 정보 를 모으 는 팝업 창 [ 9 ] 을 표시 하 기 위한 목적 이 다 . [ 10 ] [ 11 ] [ 12 ] [ 13 ] 이 외 에 도 애드웨어 , 바이러스 , 트로이 목마 같 은 스파이 웨 어 또는 MITB ( man - in - the - browser ) 공격 을 사용 하 는 온라인 뱅킹 절도 를 포함 하 는 악 성 소프트웨어 의 설치 도 있 다 . 
 웹 브라우저 의 취약점 들 은 브라우저 소프트웨어 업데이트 를 유지 함 으로써 자체 적 으로 최소 화 될 수 있 지만 , [ 14 ] 하부 의 운영 체제 가 루트킷 에 감염 된 경우 에 는 충분 하 지 않 을 것 이 다 . [ 15 ] 몇몇 스크립팅 , 애드온 그리고 쿠키 [ 16 ] [ 17 ] [ 18 ] 같 은 브라우저 의 하부 구성 요소 들 은 특히 취약 하 다 . 
 종심방어 의 원리 에 따르 면 , 완전히 패치 되 고 정확 하 게 설정 된 브라우저 도 브라우저 관련 보안 문제 가 발생 하 지 않 을 것 이 라고 확신 하 기 에 는 충분 치 않 다 . 예 를 들 면 루트킷 은 은행 사이트 에 로그인 할 경우 키로깅 을 하 거나 네트워크 트래픽 을 수정 해서 중간자 공격 을 수행 할 수 있 다 . DNS 하이재 킹 또는 DNS 스푸핑 은 잘못 타이핑 한 웹 사이트 이름 에 대해 긍정 오류 를 반환 하 는 데 사용 되 거나 유명 한 검색 엔진 의 검색 결과 를 바꾸 기 위해 사용 될 수 있 다 . RSPlug 같 은 악 성 코드 는 DNS 서버 를 가리키 는 시스템 의 설정 을 간단 하 게 수정 한다 . 
 브라우저 들 은 몇몇 공격 들 을 방어 하 는 데 도움 을 주 기 위해 통신 프로토콜 의 더 안 전한 방식 들 을 사용 할 수 있 다 . 
 DNS : DNSSec 과 DNSCrypt 
 HTTP : HTTPS 와 SPDY 
 일반 적 으로 악의 적 인 웹 사이트 를 막 고 다운로드 한 파일 의 안티 바이러스 스캔 을 수행 하 는 방화벽 들 과 프록시 서버 필터링 을 통한 둘레 방어 들 은 큰 조직 에서 악의 적 인 네트워크 트래픽 을 막 기 위한 구현 으로서 주로 사용 된다 . 
 브라우저 보안 의 주제 는 " 브라우저 익스 플로 잇 프레임워크 프로젝트 "[ 19 ] 같 은 전체 조직 들 의 생 성 을 유발 할 정도 로 증가 하 고 있 다 . 
 플러그인 과 확장 [ 편집 ] 
 비록 그 자체 가 브라우저 는 아니 지만 브라우저 플러그 인 들 과 브라우저 확장 들 은 공격 목표 로 확장 되 었 다 . 예 를 들 면 어도비 플래시 플레이어 , 어도비 어크로뱃 , 자바 애플릿 , 액티브 X 가 주로 익스 플로 잇 된다 . 악 성 코드 는 브라우저 확장 으로서 구현 될 수 있 다 . [ 20 ] 구글 크롬 이나 모질 라 파이어폭스 같 은 브라우저 들 은 위험 한 플러그 인 들 을 막 거나 사용 자 에게 경고 할 수 있 다 . 
 역 으로 , 브라우저 확장 들 은 보안 설정 을 강화 하 는 데 사용 될 수 있 다 . 
 2009 년 8 월 Social Science Research Network 의 연구 에 의하 면 플래시 를 사용 하 는 웹 사이트 들 중 50 % 가 플래시 쿠키 를 적용 하 지만 , 프라이버시 정책 들 은 거의 그것 들 을 드러내 지 않 으며 , 프라이버시 선호 를 위한 사용자 제어 가 부족 하 다고 밝혔 다 . [ 21 ] 대부분 의 브라우저 들 의 캐시 와 히스토리 삭제 기능 은 자신 의 캐시 에 LSO 를 쓰 는 플래시 플레이어 에 는 영향 을 미치 지 않 는다 . 그리고 사용 자 커뮤니티 들 은 HTTP 쿠키 에 비해 플래시 쿠키 의 존재 와 기능 에 대해 훨씬 적 은 관심 을 갖 고 있 다 . [ 22 ] 그러므로 , 플래시 브라우징 히스토리 가 남 아 있 음 에 도 불구 하 고 사용 자 들 은 HTTP 캐시 와 히스토리 파일 , 캐시 를 지움 으로써 모두 지웠 다고 여기 게 된다 . 
 하드웨어 브라우저 [ 편집 ] 
 쓰 기 불 가능 하 고 읽 기 만 가능 한 파일 시스템 과 웹 브라우저 를 돌리 는 하드웨어 기반 해결책 은 LiveCD 접근 법 에 기반 한다 . 브라이언 크 렙 스 는 조직 화 된 사이버 범죄 로부터 의 보호 를 위해 LiveCD 의 사용 을 추천 한다 . 이러 한 하드웨어 브라우저 의 가장 초기 모델 은 2013 년 에 나온 ZeusGard 보안 하드웨어 브라우저 이 다 . 부트 가능 한 미디어 가 시작 될 때 마다 브라우저 는 알려진 깨끗 한 그리고 안전 한 운영 환경 을 시작 한다 . 데이터 는 절대로 장치 에 저장 되 지 않 으며 미디어 는 겹쳐 써질 수 없 어서 , 부팅 시 마다 깨끗 하 다 . 
 브라우저 강화 [ 편집 ] 
 최소 권한 사용 자 계정 으로 인터넷 을 브라우징 하 는 것 은 웹 브라우저 에서 보안 취약점 의 가능 성 을 제한 한다 . [ 23 ] 
 인터넷 익스플로러 는 블랙리스트 [ 24 ] [ 25 ] [ 26 ] 그리고 화이트 리스트 [ 27 ] [ 28 ] 액티브 X 제어 와 애드온 그리고 브라우저 확장 을 다양 한 방법 으로 허용 한다 . 
 인터넷 익스플로러 7 은 MIC ( Mandatory Integrity Control ) 라고 불리 는 윈도우 비스타 의 보안 샌드 박싱 특징 의 적용 을 통해 브라우저 를 강화 하 는 " 보호 모드 " 를 추가 하 였 다 . [ 29 ] 구글 크롬 은 웹 페이지 가 운영 체제 에 접근 하 는 것 을 제한 하 기 위해 샌드박스 를 제공 한다 . [ 30 ] 
 의심 되 는 악 성 코드 사이트 는 구글 에 보 고 되 며 , [ 31 ] 구글 에 의해 확인 되 고 , 특정 브라우저 들 에서 표시 된다 . [ 32 ] 
 최신 브라우저 라도 강화 를 위한 써드 파티 확장 과 플러그인 이 이 존재 한다 . [ 33 ] 
 프레임 삽입 
 네트워크 보안 정책 
 ↑ 《 Internet security overview 》, 2015 년 7 월 6 일 에 확인 함 
 ↑ Maone , Giorgio . “ NoScript : : Add - ons for Firefox ” . 《 Mozilla Add - ons 》. Mozilla Foundation . 
 ↑ NC ( Social Science Research Network ) . “ BetterPrivacy : : Add - ons for Firefox ” . 《 Mozilla Add - ons 》. Mozilla Foundation . [ 깨진 링크 ( 과거 내용 찾 기 ) ] 
 ↑ Smith , Dave . “ The Yontoo Trojan : New Mac OS X Malware Infects Google Chrome , Firefox And Safari Browsers Via Adware ” . IBT Media Inc . 2013 년 3 월 21 일 에 확인 함 . 
 ↑ Goodin , Dan . “ MySQL . com breach leaves visitors exposed to malware ” . 2011 년 9 월 26 일 에 확인 함 . 
 ↑ Clinton Wong . “ HTTP Transactions ” . O ' Reilly . 2013 년 6 월 13 일 에 원본 문서 에서 보존 된 문서 . 2013 년 6 월 5 일 에 확인 함 . 
 ↑ “ 9 Ways to Know Your PC is Infected with Malware ” . 2013 년 11 월 11 일 에 원본 문서 에서 보존 된 문서 . 2013 년 6 월 5 일 에 확인 함 . 
 ↑ “ Symantec Security Response Whitepapers ” . 
 ↑ Palant , Wladimir . “ Adblock Plus : : Add - ons for Firefox ” . 《 Mozilla Add - ons 》. Mozilla Foundation . 
 ↑ “ Facebook privacy probed over ' like , ' invitations ” . 《 CBC News 》. 2010 년 9 월 23 일 . 2011 년 8 월 24 일 에 확인 함 . 
 ↑ Albanesius , Chloe ( 2011 년 8 월 19 일 ) . “ German Agencies Banned From Using Facebook , ' Like ' Button ” . 《 PC Magazine 》. 2011 년 8 월 24 일 에 확인 함 . 
 ↑ McCullagh , Declan ( 2010 년 6 월 2 일 ) . “ Facebook ' Like ' button draws privacy scrutiny ” . CNET News . 2011 년 12 월 19 일 에 확인 함 . 
 ↑ Roosendaal , Arnold ( 2010 년 11 월 30 일 ) . “ Facebook Tracks and Traces Everyone : Like This ! ”. 2011 년 9 월 27 일 에 확인 함 . 
 ↑ State of Vermont . “ Web Browser Attacks ” . 2012 년 2 월 13 일 에 원본 문서 에서 보존 된 문서 . 2012 년 4 월 11 일 에 확인 함 . 
 ↑ “ Windows Rootkit Overview ” ( PDF ) . Symantec . 2013 년 4 월 20 일 에 확인 함 . 
 ↑ “ Cross Site Scripting Attack ” . 2013 년 5 월 20 일 에 확인 함 . 
 ↑ Lenny Zeltser . “ Mitigating Attacks on the Web Browser and Add - Ons ” . 2013 년 5 월 20 일 에 확인 함 . 
 ↑ Dan Goodin . “ Two new attacks on SSL decrypt authentication cookies ” . 2013 년 5 월 20 일 에 확인 함 . 
 ↑ “ beefproject . com ” . 
 ↑ “ How to Create a Rule That Will Block or Log Browser Helper Objects in Symantec Endpoint Protection ” . Symantec . com . 2012 년 4 월 12 일 에 확인 함 . 
 ↑ “ Soltani , Ashkan , Canty , Shannon , Mayo , Quentin , Thomas , Lauren and Hoofnagle , Chris Jay : Flash Cookies and Privacy ” . 2009 년 8 월 10 일 . 2009 년 8 월 18 일 에 확인 함 . 
 ↑ “ Local Shared Objects -- " Flash Cookies "”. Electronic Privacy Information Center . 2005 년 7 월 21 일 . 2010 년 4 월 16 일 에 원본 문서 에서 보존 된 문서 . 2010 년 3 월 8 일 에 확인 함 . 
 ↑ “ Using a Least - Privileged User Account ” . Microsoft . 2013 년 4 월 20 일 에 확인 함 . 
 ↑ “ How to Stop an ActiveX control from running in Internet Explorer ” . Microsoft . 2014 년 11 월 22 일 에 확인 함 . 
 ↑ “ Internet Explorer security zones registry entries for advanced users ” . Microsoft . 2014 년 11 월 22 일 에 확인 함 . 
 ↑ “ Out - of - date ActiveX control blocking ” . Microsoft . 2014 년 11 월 22 일 에 확인 함 . 
 ↑ “ Internet Explorer Add - on Management and Crash Detection ” . Microsoft . 2014 년 11 월 22 일 에 확인 함 . 
 ↑ “ How to Manage Internet Explorer Add - ons in Windows XP Service Pack 2 ” . Microsoft . 2014 년 11 월 22 일 에 확인 함 . 
 ↑ Matthew Conover . “ Analysis of the Windows Vista Security Model ” ( PDF ) . Symantec Corporation . 2007 년 10 월 8 일 에 확인 함 . 
 ↑ “ Browser Security : Lessons from Google Chrome ” . 
 ↑ “ Report malicious software ( URL ) to Google ” . 
 ↑ “ Google Safe Browsing ” . 
 ↑ “ 5 Ways to Secure Your Web Browser ” . ZoneAlarm .