การโต้เถียงหา Browser ที่ดีที่สุดบนเดสก์ท็อปจะไม่มีวันสิ้นสุด 有人 สาบาน Chrome 有人 ชื่นชอบ Safari และยังมีคนยึดมั่น Internet Explorer (IE) ถึงแม้จะถูกวิพากษ์วิจารณ์อย่างต่อเนื่อง
การกำหนดคุณสมบัติของ "The Best" ก็ยาก nhưกัน แต่อาจจะลงมาที่ User Experience
แต่ว่า Browser ไหนปลอดภัยที่สุด? ทุกตัวก็โฆษณาว่ามีการป้องกันที่เหนือกว่า แต่ในปี 2017 Browser ไหนคือตัวเลือกสำหรับคนที่ใส่ใจ Security และ Privacy?
"Mainstream" หมายถึงอะไร
กำหนดขอบเขตไว้ก่อน หากเปิดให้ครอบคลุมทุก Browser จะไม่มีวันจบ และไม่มีข้อสรุป
สำหรับผู้ไม่ใช่ Tech-savvy เราไม่ได้จัดอันดับ OS (Linux, Mac, Windows) เน้นแค่ Browser ที่ใช้เล่นอินเทอร์เน็ต
ครอบคลุมทุกระดับความเชี่ยวชาญ ไม่รวม VPN เช่น Tor เพราะผู้ใช้น้อย
เน้น 6 Browser ยอดนิยม (ข้อมูลตอนเขียน): Chrome (59.61%), Internet Explorer (14.18%), Firefox (12.85%), Edge (5.15%), Safari (5.08%), Opera (1.27%) เฉพาะ Desktop ถ้ารวม Mobile Chrome ยังนำหน้า Safari เพิ่มขึ้นมากเพราะเป็น Default ของ iPhone
Google Chrome
Google โด่งดังด้าน Security Measures อาจเป็นเหตุผลที่หลายคนดาวน์โหลด Chrome ส่วนใหญ่เปลี่ยนมาจากความผิดหวังกับ IE ด้วย Market Share เกือบ 60% ล้านคนใช้ Chrome และหลายคนใช้ Google Search ด้วย
สรุป: คนส่วนใหญ่ใช้และไว้วางใจ Google
แต่พวกเขาถูกต้องหรือไม่?
Sandboxing
แนวคิดสำคัญที่ Chrome ทำได้ดีที่สุด: Sandboxing
Sandboxing คือการจำกัดความเสียหาย สร้างพื้นที่ปลอดภาะแยกจากส่วนอื่นของคอมพิวเตอร์: สิ่งที่เกิดใน Sandbox อยู่ใน Sandbox เว้นแต่คุณอนุญาตให้มีผลกระทบกว้างขึ้น
ทุกหน้า/แท็บที่เปิดใน Chrome ถูก Sandbox ไม่สามารถส่งผลเสียต่อ OS หรือแอพอื่นได้ หนึ่งเว็บค้าง แท็บอื่นทำงานต่อได้ ถ้าเจอเว็บอันตราย ไวรัสไม่แพร่กระจาย ปิดหน้าต่างแล้วหายไป
Extensions เช่น Flash (ที่มีช่องโหว่แต่ใช้กันมาก) ก็ถูก Sandbox เช่นกัน ปัญหา Flash ไม่ส่งผลต่อ OS ส่วนอื่น
Chrome ไม่ใช่ Browser เพียงตัวเดียวที่ใช้ Sandboxing Smartphone ก็ใช้ (ถ้าโหลดแอพจาก Official Store เท่านั้น) Browser ที่ใช้ Source Code ของ Chromium Projects ก็มี Sandboxing แต่ Chrome ใช้ Source Code ต้นฉบับ
ข้อจํากัดของ Sandboxing
ถ้าใช้ Chrome และเคยโดนไวรัส ทำไม? ถ้าทุกอย่าง Sandbox ควรปลอดภัยใช่ไหม?
ไม่ใช่แบบนั้น Malware รวม Ransomware ถูกควบคุมโดย Sandbox แต่ทันทีที่คุณ ดาวน์โหลด ใดๆ คุณก็ปลิดประตูให้ช่องโหว่ คุณอนุญาตให้มีการเปลี่ยนแปลงบน PC อาจเป็นการเพิ่ม PDF ใน Documents หรือรันโค้ดอันตรายในพื้นหลัง
เพราะฉะนั้น Email Provider ให้ดู Attachment ออนไลน์: วิธีนี้เก็บอันตรายไว้ใน Sandbox การดาวน์โหลดควรทำก็ต่อเมื่อแน่ใจว่าปลอดภัย
จุดเด่นอื่นๆ
Sandboxing ใช้กันทั่วไป ไม่ใช่ข้อได้เปรียบเพียงอย่างเดียวของ Chrome
Safe Browsing: คำเตือน Pop-up เมื่อเว็บอาจเป็นอันตราย (Malware/Phishing) Google Search ก็เตือนผลลัพธ์ที่ไม่ปลอดภัย
Chrome ตั้งค่า Default ให้ปลอดภัยที่สุดโดยไม่กระทบประสบการณ์ใช้งาน Address Bar บอกว่าเว็บปลอดภัยหรือไม่ (SSL/TLS) คลิก Padlock ดูรายละเอียดการเชื่อมต่อ ได้คำแนะนำว่าส่งข้อมูลละเอียดอ่อนได้ปลอดภัยหรือไม่
Default อนุญาตโหลด Images, JavaScript, Background Sync ส่วนสิทธิ์อื่นๆ (Webcam, Mic, Location) Chrome จะถามก่อน ทุกอย่างปรับแต่งได้ แต่ Default ก็เพียงพอ
จุดเด่นสุดๆ: Updates ทุก 15 วัน Google เป็น Browser หลักที่ตอบสนองช่องโหว่เร็วที่สุด Browser ที่เช็ค Patch บ่อยครั้งอย่างนี้ควรได้รับการยกย่อง
นอกจากนี้ Developer สร้าง Extensions ให้ Chrome มากมาย การปรับแต่ง 10 นาที ช่วยเพิ่มความปลอดภัยได้มาก
รายงานช่องโหว่
ในการแข่งขันแฮ็ก Pwn2Own (2 วัน) ปี 2016 และ 2017 Chrome ได้รางวัลชนะเลิศ ไม่มีแฮกเกอร์เจาะได้ในเวลาที่กำหนด
ไม่ได้หมายความว่าไม่มีใครเจาะได้เลย แต่เป็นสัญญาณดีว่า Chrome แข็งแกร่ง
Chromium Projects มี Chrome Reward Program ตั้งแต่ 2010 ให้เงินรางวัลผู้ที่รายงานช่องโหว่แทนการ exploit รางวัลสูงสุด $15,000 สำหรับช่องโหว่ Sandboxing รางวัลอื่นสำหรับ Bugs เล็กๆ Patch จะออกผ่าน Updates
มีจุดอ่อนไหม
มีครับ ไม่มีอะไรทนทานทุกอย่าง
จุดอ่อนหนึ่ง: ความนิยม 听起来ขัดแย้ง แต่เพราะใช้กันมากที่สุด จึงเป็นเป้าหมายใหญ่ที่สุด ในปี 2016 Chrome มีช่องโหว่ที่พบมากที่สุด (172 ช่องโหว่ vs Edge 135) สถิตินี้ไม่นับ Severity ความรวดเร็วในการ Patch หรือช่องโหว่ที่ยังไม่ถูกค้นพบใน Browser อื่น
Patch ออกมาแล้วแต่ User ไม่ Update ปัญหาทุก Browser มี Chrome ไม่ใช่สieurs แม้ ~50% ไม่ Update แท้ที่ Update ง่ายมาก: คลิก 3 จุดขวาบน > Help > About Google Chrome จะ Update เอง ใช้ไม่กี่วินาที ต้อง Relaunch แท็บยังคงอยู่
Privacy: Google รวบรวมข้อมูลผู้ใช้มากมาย ใช้สร้างโฆษณาแบบ Personalized ไม่ว่าจะใช้ Incognito Mode ก็ตาม ระหว่าง Gmail, YouTube, Search Terms Google รวบรวมข้อมูลเยอะมาก
ควรกังวลหรือไม่? ขึ้นกับแต่ละคน หลายคนกังวล Google แต่โพสต์ Facebook อย่างสบายใจ ใช้ VPN และ Search Engine ที่ไม่เก็บข้อมูลหากกังวลมาก
Internet Explorer
Browser ที่เป็นตัวตลก แต่ยังมี Market Share 14.18% อันดับ 2 หลัง Chrome
มีจุดดีไหม
มันตายแล้ว Support ทุก Version ยกเว้น IE11 หยุดแล้ว IE11 ก็คงเหลือไม่กี่เวลา
ยังคงอยู่ใน Windows 10 Microsoft ดันให้เปลี่ยน Edge การย้ายจะค่อยเป็นค่อยไป Microsoft Push Update ทุก 30 วัน บ้าง Frequency จะลดลง
ได้รับการสนับสนุนจาก OS แนะนำ Windows Defender SmartScreen ตรวจสอบเว็บ/แอพน่าสงสัยกับ Microsoft บล็อกไซต์ที่ไมไว้วางใจได้
โปร่งใสในการตั้งค่า Security/Privacy: คลิก Cog > Internet Options มองเห็น Trusted/Restricted Sites, Protected Mode (Sandboxing แบบ IE) แท็บ Privacy: หยุดเว็บขอ Location, ตั้งค่า InPrivate Browsing, Pop-up Blocker
ดูไม่แย่ขนาดนั้น
ไม่ได้แย่จนพูด IE มีชื่อเสียงแย่ Microsoft จึงฆ่ามันเพื่อ Edge อาจไม่ได้แย่ขนาดที่คิด
ยังเป็น Microsoft นโยบาย Privacy คล้าย Google ทั้งคู่ทำเงินจากข้อมูลผู้ใช้ ไม่คาดหวัง Ethics มากไป
แต่กำลังสูญหาย ใน 5 ปี IE จะเป็นของเก่า บางคนคิดว่ามันเป็นของเก่าแล้ว
ทำไมต้องหลีกเลี่ยง IE
ตั้งค่า Security/Privacy ไม่ Default ให้ปลอดภัยที่สุด ต้องตั้งเอง แย่สำหรับผู้ใช้ IE ที่มักไม่ Tech-savvy
ปัญหาหลัก: ขาด Updates ในอนาคตใกล้ Microsoft ยัง Push Patch เพราะ Market Share 14% แต่ไม่ยาวนาน ระบบเก่าแล้ว ในปี 2016 พบช่องโหว่ 129 ช่อง จะเพิ่มขึ้นเรื่อยๆ และรายงานช่องโหว่จะน้อยลง
ถ้าไม่ใช่ IE11 ต้อง Update หรือเปลี่ยน Browser IE11 รองรับ Windows 8.1+ เท่านั้น OS เก่ากว่านั้น = IE เก่า = ไม่ปลอดภัย ต้องเปลี่ยน Browser ทันที
Firefox
ผู้ใช้ Firefox ลดลง แต่ยังมี Market Share 12.85%
เหตุผลที่ควรใช้ Firefox: ใช้ Memory น้อยกว่า ไม่กังวล Monopoly ของ Google Mozilla เป็น Non-profit
แต่ Security และ Privacy ดีแค่ไหน?
ชมพันธกิจของ Firefox
คนที่ใส่ใจ Security มักใส่ใจ Privacy Firefox ดีที่สุดตรงนี้
Mozilla สู้เพื่อสิทธิ์คุณ ควบคุมข้อมูลส่วนตัวเอง เก็บข้อมูลน้อย ไม่ขายข้อมูล ผ่าน Private Browsing with Tracking Protection โหมด Incognito ที่จริงจัง บล็อก Trackers และ Add-ons ที่เก็บข้อมูล
Browser อื่นจำ Contact/Password ด้วย Cookies Firefox ลบทุกอย่างพอปิดหน้า Facebook Plugins สร้าง Shadow Profiles Firefox บล็อก Trackers ทั้งหมด Browser เพียงตัวเดียวที่ทำได้โดยอัตโนมัติ
"We believe the Internet is for people, not profit. Unlike other companies, we don't sell access to your data. You're in control over who sees your search and browsing history. Choice -- that's what a healthy Internet is all about!"
ปัญหา Sandboxing
Firefox สถาปัตยกรรมเก่า (สร้าง 2002) ต้องแก้ Sandboxing Mozilla ฟังชุมชน: พัฒนา Project Electrolysis ตั้งแต่ 2009 เริ่ม Phase In Sandboxing ตั้งแต่ Aug 2016 ใช้เวลานานเพราะต้องรองรับ Extensions เดิม
Firefox 54 (June 2017) ใช้งานจริง Electrolysis Multi-process แตกต่างจาก Chromium: Chrome สร้าง Process ใหม่ต่อ Tab Firefox จำกัด 4 Processes แท็บเพิ่มเติมจะ "แบ่งปัน" Process หลัก 4 ตัว
เพื่อประหยัด Memory: Chrome แท็บเยอะ = ช้า Firefox แบ่งพลังงานได้ดีกว่า ได้ข้อได้เปรียบ Sandboxing แต่เร็วกว่า
คุณสมบัติ Security อื่นๆ
Update Time โดดเด่น: Major Updates ~28 วัน Minor Patches บ่อยกว่า Google เร็วกว่า Major Updates Firefox เร็วกว่า Minor Tweaks เพราะ Open Source โค้ดเข้าถึงได้ ตรวจสอบว่าไม่มีอันตรายใต้ฝ้า
Extensions เสริม Security ได้มาก เช่น NoScript Security Suite จำกัด Java ให้ Trusted Domains เท่านั้น Flash ก็มี Sandboxing เพิ่ม
มีปัญหาไหม
Firefox มีช่องโหว่เหมือน Browser อื่น (133 ช่องโหว่ 2016) แต่ Patched เร็ว
Pwn2Own 2016: แฮกเกอร์ไม่พยายามเจาะ Firefox Brian Gorenc (HP Enterprise): "We wanted to focus on browsers that have made serious security improvements in the last year."
Pwn2Own 2017: Firefox กันได้หลายครั้ง แต่โดนเจาะ 1 ครั้ง คาดว่า Patch ออกเร็ว
~33% ผู้ใช้ Firefox ไม่ใช่ Version ล่าสุด อาจไม่ได้รับประโยชน์จาก Multi-process แต่ Firefox พัฒนาความคืบหน้ามากในไม่กี่เดือน
Microsoft Edge
Windows 10 มี Edge Default Market Share 5.15%
Microsoft ดันให้ย้าย IE → Edge เพื่อ Security เท่านั้น คุ้มค่าหรือไม่?
ความใหม่ส่งผลต่อ Security อย่างไร
Browser ใหม่สุดในรายการ ยังไม่ผ่าน מבחן הזמן Chrome ผ่านมาหลายปีและตอบสนองช่องโหว่ทันใจ
ปี 2015 (ปีเปิดตัว) พบช่องโหว่ 270 ช่อง มากกว่า Chrome, IE, Firefox, Safari ปี 2016 ลดเหลือ 135 ช่อง (ลดครึ่ง) ยินดี แต่ยังอันดับ 2 จากท้าย (มากกว่า Chrome) ช่องโหว่ที่ "พบ" ไม่ได้หมายความว่า Browser อื่นไม่มีมากกว่า แค่ยังไม่ถูกค้นพบ
ความใหม่ให้ความหวัง: Microsoft ดัน Edge เป็นอนาคต คาดว่าจะเฝ้าระวังช่องโหว่ ใช้เวลา >1 ปีเพิ่ม Extensions (Windows 10 Anniversary Update) ดูเหมือน Vet Add-ons อย่างรigor
Edge มี Edge จริงไหม
Edge เป็น Priority สูงของ Microsoft ได้ดูแลมาก Updates บ่อย: Patch 2-3 ครั้ง/เดือน Support จะลดลงเวลาผ่านไป เพราะความใหม่ท้าทาย Cybercriminals
มี Sandboxing (มาตรฐานปัจจุบัน) มี SmartScreen (พัฒนาจาก IE Phishing Filter) บล็อก 99% Malware/Phishing (NSS Labs Test 2016) vs Chrome 85.8% Firefox 78.3% รายการเว็บอันตรายของ Microsoft ครอบคลุมมาก
มี InPrivate Mode: ไม่เก็บ Password, Contact, Cookies ซ่อนจากคนอื่นใช้คอมร่วม แต่ Advertisers ยัง Track ได้ Microsoft ยังทำเงินจากข้อมูล ไม่คาดหวัง Privacy ระดับ Firefox/VPN
จุดอ่อน
IE → Edge ควรเปลี่ยน Edge ดีกว่าแทบทุกด้าน แต่ ~75% User IE/Edge ใช้ Version เก่า ปัญหาใหญ่
จุดกังวลจริง: Microsoft ยังมีงานมาก ถึงจะอ้าง Edge ปลอดภัยที่สุด แต่ ตกตำแหน่งสุดท้ายใน Pwn2Own 2017 5 ช่องโหว่ถูกเจาะ (แย่กว่า 2016 ที่เจาะได้ 2 ช่อง) Patch คาดว่าออกแล้ว แต่มาพร้อมช่องโหว่ใหม่
Safari
ล้านคนใช้ Safari ทุกวัน Default บน iPhone/iPad/Mac Market Share 5.08% (เพิ่มมากถ้ารวม Mobile)
ส่วนใหญ่ไว้วางใจ Security ของ Apple แต่ Safari ดีจริงหรือ?
เหตุผลใช้ Safari
Default บน Apple ใช้ต่อเนื่อง เหมาะกับ Mac มาก (Chrome ก็เลือกได้) Apple ใช้ WebKit Rendering Engine ทุก Software iPhone Apps ถูก Sandbox ต้องขอ Permission เข้าถึง Camera/Photos/Social Safari เหมือนกัน: ขอ Permission ทุก Action
Apple เป็นธุรกิจ ข้อมูลบางส่วนใช้ทำโฆษณา Safari มีฟีเจอร์ Security ครบ
ทำไม 54 วัน Update ของ Safari จึงไม่ใช่ปัญหา
Apple Major Updates ทุก 54 วัน ช้ากว่า Browser อื่น แต่มีมุมมอง 2 ด้าน:
มุมมองบวก: ช่องโหว่ที่พบน้อยกว่า Chrome, IE, Firefox, Edge ปี 2016 พบ 56 ช่อง (Chrome 172) ปี 2015 แย่ (135) แต่ Safari เป็น Browser ที่มีช่องโหว่น้อยที่สุดทุกปี
Patch น้อยกว่า OK ถ้าช่องโหว่น้อยกว่า
มุมมองลบ: 54 วันสำหรับ Major Updates น่ากลัว Minor Patches ออกบ่อยกว่า
ผู้ใช้ Safari ที่ใช้ Version เก่า ~33% (น้อยที่สุดเท่ากับ Firefox) User คง Update บ่อยกว่าถ้า Update ไม่บ่อย Edge ต้อง Restart Windows ไม่น่าเบื่อเท่า Safari
เหตุผลไม่ควรใช้ Safari
ขัดแย้งกับข่าวว่า Safari มีช่องโหว่มากกว่า IE Google Project Zero ทดสอบ 5 Browser ด้วย Domato (100M Iterations) พบ 31 Exploits รวม: Chrome 2, IE 4, Firefox 4, Edge ?, Safari 17
"Apple Safari is a clear outlier... significantly higher number of bugs found. Especially worrying given attackers' interest in the platform..." - Ivan Fratric
Google ทดสอบเอง Chrome จึงอันดับ 1 แต่ผลลัพธ์เชิงตัวเลข ช่องโหว่มีอยู่จริง Patch ออกแล้วแต่ยังกังวล เพราะ WebKit เป็น Architecture พื้นฐานของ Apple ทุกเครื่อง
Pwn2Own 2017: Safari แย่หลายครั้งเจาะได้ บางครั้งล้มเหลว ดีกว่า Edge แต่ยังリスク
Opera
Market Share 1.27% อันดับ 6
ความสัมพันธ์ Opera และ Chrome
Opera เก่าที่สุดในรายการ (1995) Market Share น้อยที่สุด แต่มีการเปลี่ยนแปลงครั้งใหญ่ 2013: ใช้ Source Code เดียวกับ Chromium Projects → มี Security เท่า Chrome (Sandboxing, SSL/TLS Check)
Malware Protection บล็อกสิ่งอันตราย Ad-blocker Built-in ทำให้ปลอดภัยและเร็วกว่า Customization ดี เพิ่ม Extensions ได้ รวม Chrome Extensions ด้วย
ทำไมเลือก Opera แทน Chrome
Opera = Chrome นิยมน้อยกว่า? มีเหตุผลดีมาก: Opera มี VPN Built-in!
Proxy Server เข้ารหัสข้อมูลระหว่างคุณและเว็บ VPN สำคัญสำหรับ Online Banking (HTTPS) ป้องกัน Cookies ยากต่อการแฮ็ก ใช้ Public Wi-Fi ปลอดภัยกว่า Bypass Blocks ได้ ฟรี ไม่จำกัด ขึ้นอยู่กับ Opera รองรับ
Settings > Privacy and security > Enable VPN เปิดได้ ทำงานทั้ง Browser หรือเฉพาะ InPrivate
จุดอ่อน
ไม่ใช่ Logless ทั้งหมด Opera เก็บข้อมูลบ้าง: Email, IP, Device Maker, Screen Resolution ข้อมูลแบ่งปันกับ Third-parties (Add-ons) Privacy ดีแต่次于 Firefox เพราะยังเก็บข้อมูล
Auto-update ทุก 48 วัน (ช้ากว่า Chrome/Firefox/Edge เร็วกว่า Safari) STO (Security Through Obscurity) จากความนิยมน้อย ไม่ Open Source อธิบาย Update ช้า
Opera ไม่ได้เข้าร่วม Pwn2Own 2017 (เพราะ Base Chromium) แต่อาจควรเข้าร่วม 2018
คำเตือนสุดท้ายเกี่ยวกับการดาวน์โหลด
OS ส่วนใหญ่มี Browser Default: Windows ใหม่ = Edge, Mac = Safari, Linux = Firefox
จะลอง Browser ใหม่ ต้องใช้ Browser Default หาตัวใหม่ (Irony: หลายคนโหลด Chrome ผ่าน IE)
สำคัญที่สุด: ดาวน์โหลดจากที่ถูกต้อง ไม่งั้น Malware/Ransomware อาจเข้ามา
Link ดาวน์โหลด: Chrome, Edge, Firefox, Opera, Safari (Mac Only)
Browser หลักที่ปลอดภัยที่สุดคืออะไร
สรุป: ดู 6 Browser Market Share Top อื่นๆ มีแต่ไม่ต้องหา
ตอนนี้ Chrome และ Opera ปลอดภัยที่สุด ใช้เทคนิคเดียวกัน และเป็น Browser ที่มี Market Share มากที่สุดและน้อยที่สุดในรายการ ถ้าคุ้นเคยตัวหนึ่ง ลองอีกตัว จะประทับใจ
จ่ายเงินซื้อ VPN หรือใช้ VPN ฟรีของ Opera ถ้าอยู่สบายกับ Cookies (จำ Username) ใช้ Chrome
Firefox ดีมาก โฟกัส Privacy ช่องโหว่มีทุก Browser รวม Safari ไม่ Invincible แต่ดี
ถ้ายังใช้ IE ต้อง Upgrade เป็น Edge ทันที ดีกว่าแค่ Updates บ่อย
สรุป: 5/6 Browser ปลอดภัยดี Chrome และ Opera นำหน้า
อย่าลืม: Update Browser ให้เป็นล่าสุดเสมอ
