إعدادات أمان المتصفح وإضافاته

متصفح الويب هو التطبيق الأكثر استخدامًا، وأحد أكثر التطبيقات تعرضًا للهجوم. تنفذ المتصفحات تعليمات برمجية من مصادر غير موثوقة (مواقع الويب)، وتتعامل مع بيانات حساسة، ولها وصول مباشر إلى بيانات اعتماد المستخدمين وجلساتهم.

يصدر مورّدو المتصفحات تصحيحات أمنية بشكل متكرر. وقد يكون المتصفح القديم عرضة لعمليات استغلال معروفة، بما في ذلك التنزيلات عبر التصفح والهروب من العزل. فعّلوا التحديثات التلقائية — ولا تؤجلوا تحديثات المتصفح مطلقًا.

تدعم المتصفحات الحديثة الوضع HTTPS-Only (أو ترقيات HTTPS). عند تفعيله، يرفض المتصفح الاتصال بمواقع HTTP ويطالب بالتأكيد قبل تحميلها. ويمنع ذلك الإرسال غير المقصود للبيانات الحساسة عبر اتصالات بنص واضح.

لا تتجاهلوا تحذيرات شهادات المتصفح مطلقًا. فقد تشير الشهادة غير الصالحة أو غير المتطابقة إلى:

• شهادة منتهية الصلاحية أو ملغاة
• شهادة موقعة ذاتيًا (احتمال هجوم MitM)
• عدم تطابق النطاق (زيارة موقع خاطئ أو موقع تصيد احتيالي)

لا تتجاوزوا التحذير إلا عند اختبار أنظمة داخلية معروفة بأمانها.

إعدادات المتصفح الأساسية التي ينبغي تهيئتها:

• تفعيل الحماية من التصيد الاحتيالي والبرامج الضارة
• حظر ملفات تعريف الارتباط التابعة لجهات خارجية
• تفعيل Safe Browsing (Chrome) / Enhanced Tracking Protection (Firefox)
• تعطيل حفظ كلمات المرور في المتصفح (واستخدام مدير مخصص لها)
• تعطيل الأذونات غير الضرورية لمواقع الويب (الكاميرا والميكروفون والموقع)

إضافات المتصفح الموصى بها:

• uBlock Origin — يحظر الإعلانات والنطاقات الضارة
• Privacy Badger — يحظر أدوات التتبع غير المرئية
• HTTPS Everywhere (مدمج الآن في معظم المتصفحات)
• Bitwarden — مدير كلمات المرور

كلما قل عدد الإضافات صغر سطح الهجوم. لا تثبتوا إلا الإضافات الموثوقة وذات التقييمات الجيدة.

تتمتع إضافات المتصفح بوصول واسع إلى صفحات الويب، ويمكنها:

• قراءة جميع بيانات المرور وإرسالات النماذج
• سرقة كلمات المرور أثناء كتابتها
• حقن تعليمات برمجية ضارة في الصفحات

غالبًا ما تبدو الإضافات الضارة شرعية. راجعوا الأذونات بعناية، وألغوا الإضافات غير المستخدمة.

تعزل المتصفحات الحديثة كل علامة تبويب وإضافة في عمليات منفصلة، مما يحد من الضرر الناتج عن اختراق محتوى الويب. ولا ينبغي لخلل في عملية العرض أن يعطل المتصفح بأكمله أو يهرب إلى نظام التشغيل — مع أن عمليات الهروب من العزل تحدث في عمليات الاستغلال المتقدمة.

يشغّل عزل المواقع (Chrome وFirefox) كل أصل في عملية منفصلة. ويمنع ذلك JavaScript الضار في أحد المواقع من الوصول إلى ذاكرة عملية موقع آخر — مما يحد من ثغرات وحدات المعالجة المركزية من فئة Spectre وسرقة البيانات بين المواقع.

يتيح JavaScript معظم وظائف الويب الحديثة، لكنه يتيح أيضًا معظم هجمات الويب (XSS والتنزيلات عبر التصفح). وكانت الإضافات البرمجية مثل Flash (المتوقف) من أبرز نواقل الهجوم. وتحظر أدوات شبيهة بـNoScript JavaScript افتراضيًا — وهو أسلوب متشدد لكنه فعال في البيئات عالية الأمان.

يؤدي استخدام ملفات تعريف أو متصفحات منفصلة للأنشطة المختلفة إلى إضافة طبقة من العزل:

• ملف تعريف العمل: مواقع الشركات والخدمات المصرفية
• ملف التعريف الشخصي: وسائل التواصل الاجتماعي
• ملف تعريف البحث: زيارة المواقع المجهولة أو المشبوهة

لا يؤثر الاختراق في أحد ملفات التعريف على الملفات الأخرى.

ما إضافة المتصفح الموصى بها على نطاق واسع لحظر النطاقات الضارة والإعلانات من دون الحاجة إلى ضبطها؟

تُعد المتصفحات سطح هجوم رئيسيًا. احرصوا على تحديثها، وفعّلوا وضع HTTPS-only، واضبطوا إعدادات الخصوصية. استخدموا إضافات موثوقة مثل uBlock Origin. انتبهوا إلى أن الإضافات تتمتع بإمكانية وصول واسعة إلى الصفحات. يحدّ كل من عزل المتصفح وعزل المواقع من الأضرار الناجمة عن عمليات الاستغلال المستندة إلى الويب.