211service.com
Aprire Chrome OS
Oggi al Black Hat, una conferenza sulla sicurezza informatica a Las Vegas, i ricercatori hanno descritto come sono stati in grado di rubare dati da Chrome OS, un sistema operativo realizzato da Google che richiede all'utente di fare quasi tutto tramite il Web. Utilizzando il design basato sul Web del sistema operativo contro se stesso, i ricercatori sono stati in grado di accedere ai nomi e alle password degli utenti e persino alle informazioni bancarie. Sebbene le vulnerabilità specifiche che hanno sfruttato possano essere eliminate, i ricercatori affermano che non c'è modo di bloccare la minaccia più ampia.
Google ha pubblicizzato Chrome OS come un approccio rivoluzionario all'informatica e ne ha enfatizzato la sicurezza. Poiché le applicazioni vengono eseguite sul Web, gli utenti non eseguiranno software obsoleto, il che di solito li espone a vulnerabilità di sicurezza. Il sistema viene inoltre aggiornato automaticamente e poco viene memorizzato sul computer dell'utente. Se un software dannoso tenta di entrare in un computer Chrome, Google può ripristinare in remoto il sistema operativo a uno stato originario. Questi aspetti dovrebbero renderlo meno vulnerabile a virus e altre minacce.
Ma i ricercatori, Matt Johansen e Kyle Osborn, della società di sicurezza delle applicazioni Web White Hat Security, hanno dimostrato che il passaggio al Web comporta una serie di pericoli. Non c'è accesso al disco rigido, ma non ci interessa, dice Johansen. Cerchiamo informazioni. Non stiamo cercando di creare una botnet sul tuo Chromebook.
La coppia ha utilizzato tecniche di hacking comuni. Hanno avuto successo quasi immediatamente con un metodo chiamato cross-site scripting. Ciò comporta l'inserimento di una pagina Web con codice che viene eseguito nei browser dei visitatori del sito. Il codice esegue quindi attività dannose sui computer di quei visitatori.
Chrome OS è progettato per limitare i danni che questa tecnica potrebbe causare. Lo fa tramite una tecnica chiamata sandboxing, che ha lo scopo di impedire che ciò che sta accadendo in una scheda del browser influisca su un'altra. Johansen e Osborn hanno utilizzato lo scripting tra siti per attaccare le estensioni del browser di Chrome OS, che in genere aggiungono nuove funzionalità.
In Chrome OS, le estensioni sono più potenti che in altri browser e non sono soggette alle stesse regole sandbox delle schede del browser. Questo perché esistono, in parte, per fornire funzioni che interessano più schede. Stai parlando di una versione super ridotta del sistema operativo, dice Osborn, e stanno cercando di ricostruire le funzionalità attraverso le estensioni.
I ricercatori hanno scoperto che le estensioni possono ottenere un ampio accesso a ciò che accade nelle schede del browser degli utenti. Pertanto, qualcuno potrebbe usarli per rubare nomi utente e password, cookie e informazioni sulla cronologia di navigazione, comprese le informazioni provenienti da siti che non presentano vulnerabilità.
Estensione della minaccia: Chrome OS si basa sulle estensioni del browser, mostrate qui, per aggiungere funzionalità complete al sistema operativo. Ma i ricercatori dicono che possono anche aprire il sistema a minacce alla sicurezza.
I ricercatori hanno scoperto che molte estensioni esistenti disponevano di ampie autorizzazioni ed erano vulnerabili allo scripting tra siti. Hanno anche dimostrato che è possibile creare estensioni dannose. Potrebbero essere camuffati, ad esempio, come modi per ottenere immagini di pop star.
I ricercatori affermano che non c'è modo di bloccare questa minaccia perché chiunque può creare un'estensione e Google non le esamina prima che siano rese disponibili agli utenti. Ci saranno quasi sempre alcune estensioni con vulnerabilità di sicurezza, offrendo agli hacker un modo per aggirare le protezioni altrimenti solide di Chrome OS.
I ricercatori sono stati anche in grado di rubare dati da LastPass , un sistema di gestione delle password, assumendo un'estensione diversa e utilizzandola per aprire nuove schede. Ciò ha permesso loro di vedere le informazioni sulla password che LastPass ha inserito. Sebbene LastPass abbia cambiato il suo sistema in modo che le informazioni dell'utente non vengano più inserite automaticamente, ciò non proteggerebbe comunque un utente da un hacker che è entrato attraverso un'estensione dannosa, affermano i ricercatori. Un hacker dovrebbe solo aspettare che l'utente apra una nuova scheda.
Di chi è questo problema nel complesso? Johansen afferma, osservando che sia Google che i produttori di estensioni potrebbero avere la responsabilità di proteggersi dall'attacco.
Google ha risolto i problemi con le proprie estensioni e sta contattando i produttori di estensioni che potrebbero essere in grado di aiutare. Venerdì, la società ha pubblicato un post sul blog enfatizzando la potenza della sicurezza integrata di Chrome: continuiamo a migliorare funzionalità come la nostra API Navigazione sicura e il nostro modello di estensioni che aiutano a proteggere gli utenti da contenuti Web dannosi. Tuttavia, Google afferma che gli utenti devono stare attenti a quali autorizzazioni concedono alle estensioni e a dove viaggiano sul Web.
Anche Google ha emesso linee guida per gli sviluppatori sulla scrittura delle estensioni in modo più sicuro. E la prossima versione di Chrome supporterà anche a politica di sicurezza dei contenuti progettato per ridurre il rischio di attacchi di scripting cross-site.
Questa conversazione riguarda il Web, non Chrome OS, afferma una dichiarazione di Google. [Computer che eseguono Chrome] elevano le protezioni di sicurezza sull'hardware di elaborazione a nuovi livelli. Sono anche meglio attrezzati per gestire gli attacchi web che possono colpire i browser su qualsiasi dispositivo informatico, grazie in parte a un modello di estensioni attentamente progettato e alla sicurezza avanzata disponibile tramite Chrome che molti utenti ed esperti hanno abbracciato.
In altre parole, trasferire l'esperienza informatica interamente sul Web può risolvere una serie di problemi di sicurezza aprendo una scatola piena di nuovi.