211service.com
Firefox mira a scollegare gli attacchi di scripting
I siti che si basano su contenuti creati dagli utenti possono essere inconsapevolmente impiegati per attaccare i propri utenti tramite JavaScript e altre forme comuni di codice Web. Questo problema di sicurezza, noto come scripting cross-site (XSS), può, ad esempio, consentire a un utente malintenzionato di accedere all'account di una vittima e rubare dati personali.
Attacco Patsy: un utente malintenzionato (mostrato in rosso) può utilizzare lo scripting tra siti per costringere il computer di un utente (a sinistra) ad attaccare un altro sistema (al centro), semplicemente visitando un sito Web apparentemente innocente (in alto).
Ora i creatori del Browser web Firefox pianificare di adottare una strategia per bloccare gli attacchi. La tecnologia, denominata Content Security Policy (CSP), consentirà al proprietario di un sito Web di specificare quali domini Internet sono autorizzati a ospitare gli script eseguiti sulle sue pagine.
In questo caso, non stanno creando una nuova tecnologia alternativa all'HTML, né proteggono l'utente da un problema esistente, afferma Eduardo Vela, un ricercatore di sicurezza indipendente che parlerà degli attacchi XSS alla conferenza sulla sicurezza Black Hat del mese prossimo, a Las Vegas. Stanno effettivamente rimuovendo le funzionalità in HTML che hanno permesso questi problemi in primo luogo.
Gli attacchi XSS hanno causato numerosi grattacapi, in particolare per i social network e le società Web 2.0, consentendo agli aggressori di dirottare le aste di eBay, ad esempio, e creare un worm che ha fatto sì che gli utenti di MySpace diventassero automaticamente amici di un utente di nome Samy. Il problema principale è che molti siti consentono agli utenti non attendibili di aggiungere il proprio contenuto alle pagine mentre i browser Web considerano tutto il contenuto restituito da un sito Web come proveniente dalla stessa entità. Se il sito Web è attendibile, anche il contenuto creato da un utente sconosciuto è attendibile. Il problema è stato annoverato come uno dei 25 problemi di codifica più gravi dal SANS Institute, un'organizzazione di formazione per amministratori di sistema e programmatori.
In molti casi, le società Web possono dare la caccia e limitare i contenuti pericolosi creati dagli utenti. Ma poiché molti siti sono così grandi, trovare e correggere tutte le vulnerabilità è un compito lungo e difficile. Inoltre, molti siti, in particolare quelli di social network, vogliono lasciare ai propri utenti un certo margine di manovra per creare contenuti interessanti.
Il CSP di Mozilla romperà con la tradizione dei browser Web di trattare tutti gli script allo stesso modo. Al contrario, sarà necessario che i siti Web partecipanti inseriscano i propri script in file separati e indichino esplicitamente quali domini sono autorizzati a eseguire gli script.
La Mozilla Foundation, che realizza il browser Firefox, ha selezionato l'implementazione perché consente ai siti di scegliere se adottare le restrizioni. La gravità del problema XSS in natura e il costo dell'implementazione di CSP come mitigazione sono aperti all'interpretazione da parte dei singoli siti, ha scritto Brandon Sterne, responsabile del programma di sicurezza per Mozilla sul blog sulla sicurezza di Mozilla . Se il rapporto costo/beneficio non ha senso per alcuni siti, sono liberi di continuare a fare affari come al solito.
La nuova misura di sicurezza si basa sui suggerimenti forniti dallo specialista di sicurezza Web Robert Hansen nel 2005. Il ricercatore aveva studiato diversi tipi di attacchi Web e aveva identificato un'idea interessante: consentire ai siti Web di modificare il livello di sicurezza del browser dell'utente.
Hansen capovolse l'idea e, invece, elaborò un modello che chiamò Restrizioni di contenuto. Il modello non dovrebbe essere, se ti fidi di me, disabilitare tutta la sicurezza; il modello dovrebbe essere, fidati di me per dirti di non fidarti di me, afferma Hansen, che ora è CEO della società di consulenza sulla sicurezza Web SecTheory. Se so che una pagina è cattiva, dovrei essere in grado di dirti che la pagina è cattiva.
Un ingegnere della Mozilla Foundation, Gervase Markham, ha sostenuto l'idea all'interno del team di Firefox e ha sviluppato ulteriormente la tecnologia, e ha notato che il ricercatore di sicurezza Web Jeremiah Grossman ha pubblicamente chiesto l'adozione della tecnica. Quattro anni dopo, Mozilla si è impegnata a implementare la tecnologia.
La nuova funzione di sicurezza di Firefox potrebbe aiutare a bloccare un'altra forma di attacco, nota come clickjacking, che consente a un utente malintenzionato di indurre un utente a fare clic su un pulsante non sicuro, ad esempio, avviando un bonifico bancario quando crede di inviare un'e-mail. Tuttavia, il clickjacking è un problema così pervasivo che un modello opt-in non funziona davvero, afferma Hansen.
Non tutti sono d'accordo sul fatto che tali Restrizioni ai Contenuti siano la strada da percorrere. Microsoft ha creato un filtro di scripting cross-site in Internet Explorer 8 che impedisce a probabili attacchi di raggiungere il browser della vittima. L'azienda ha anche introdotto una nuova funzionalità, chiamata X-FRAME-OPTIONS, in Internet Explorer 8, che può essere utilizzata dai siti per limitare l'uso di script negli iframe, un trucco utilizzato dagli aggressori per eseguire il codice in modo invisibile.
Tali sforzi e la difficoltà di incorporare CSP nell'architettura Web del gigante del software, .NET, rendono probabile che il CSP di Mozilla non sarà adottato da altri produttori di browser, sostiene Vela, che prevede di presentare la propria soluzione a Black Hat. Sinceramente non credo che sarà ampiamente adottato, dice, soprattutto perché è così complicato.
Mozilla, che ha rifiutato di commentare oltre il post sul blog, probabilmente avrà la tecnologia pronta da incorporare in Firefox in 6-12 mesi, afferma Hansen. Il prossimo passo è convincere eBay e MySpace a prenderlo e dire: 'Ehi, è fantastico', dice il ricercatore.