211service.com
Un minaccioso mashup Facebook-Google
Gli informatici hanno dimostrato che le funzionalità che molti siti Web espongono agli sviluppatori, per consentire loro di creare potenti applicazioni Web, possono anche essere combinate in modi potenzialmente nefasti.
Un team dell'Università della California, San Diego, ha utilizzato le interfacce di programmazione delle applicazioni (API) di Google e Facebook per creare un sistema che consentisse a una persona di navigare sul Web in anonimato. I ricercatori, che presenteranno il lavoro questa settimana Conferenza sulla sicurezza Usenix a Bellevue, Washington, affermano che un tale servizio potrebbe potenzialmente consentire ai criminali informatici di coprire le proprie tracce.
La nostra intenzione è fare in modo che i servizi riconoscano questo problema, afferma Jiaqi Zhang , uno studente di dottorato in informatica presso la UCSD e membro del team. Speriamo che quando vedranno il nostro lavoro, cercheranno di fare qualcosa per difendere i loro servizi in modo che non ne soffriranno e altri non ne soffriranno.
Altri ricercatori hanno mostrato come un'API possa essere utilizzata in modi non intenzionali, ad esempio per trasformare un account Gmail in un disco rigido online. Ma i ricercatori dell'UCSD sono i primi a combinare più servizi in questo modo.
Il servizio di anonimizzazione dei ricercatori, chiamato CloudProxy, utilizza i servizi Google per archiviare i contenuti Web: quattro account Google Docs ciascuno contenente 10 fogli di calcolo sono stati utilizzati per memorizzare nella cache i dati ASCII dai siti Web. I contenuti non ASCII sono stati archiviati utilizzando un altro servizio Google. Hanno anche utilizzato un servizio Web di Facebook per formattare correttamente le loro richieste Web e il servizio di abbreviazione degli URL di Google per creare richieste che potrebbero essere facilmente inserite negli altri servizi Web.
I ricercatori hanno testato il servizio caricando una varietà di contenuti da vari siti Web e quindi utilizzando un programma di acquisizione di rete, WireShark, per confermare che nessuna informazione identificativa potesse essere raccolta dalle richieste.
Mike Geide, ricercatore di sicurezza senior per fornitore di sicurezza Web Zscaler , afferma che la tecnica potrebbe essere particolarmente dannosa perché molte tecnologie di sicurezza Web dipendono dall'identificazione di siti Web dannosi e dal loro blocco. Nessuno bloccherebbe il traffico da Google o Facebook, osserva.
Quello che chiedi alla fine della giornata è determinare l'intento dell'attività, dice. Google deve parlare con Facebook, perché è così che funziona il Web. Quindi, come si determina l'intento di tali richieste?
Garantire l'anonimato agli utenti di Internet è solo uno degli scenari possibili. Zhang di UCSD aggiunge che Google, Facebook e altri servizi Web potrebbero amplificare notevolmente l'impatto di un attacco, forse contribuendo a mettere offline un sito Web o un server di computer target in un attacco denial-of-service. Google ha molte risorse e larghezza di banda, quindi se un hacker può utilizzare un servizio Google, non deve costruire una rete di zombi, può semplicemente utilizzare Google per eseguire un attacco denial-of-service, afferma Zhang.
Tuttavia, Mark O'Neill, chief technology officer del provider di sicurezza cloud Vantaggio , afferma che i fornitori di servizi Web dovrebbero essere in grado di mettere in atto difese per rendere più difficile l'abuso delle proprie API. Osservando i modelli di utilizzo, afferma, un servizio potrebbe rilevare gli utenti che cercano di sfruttare le API in modi nuovi.