211service.com
Un progetto per fermare gli attacchi al browser
Poiché i contenuti generati dagli utenti sono diventati più popolari online, i siti Web hanno consentito sempre più agli utenti di personalizzare, ad esempio, i propri commenti sul blog oi post sui siti di social network con codice HTML. Tuttavia, questo espone anche i siti Web al rischio di un tipo di attacco noto come scripting tra siti, che può consentire agli aggressori di rubare informazioni agli utenti tramite un sito attendibile.
La prossima settimana, al Simposio IEEE su sicurezza e privacy , a Oakland, in California, ricercatori del Università dell'Illinois a Chicago presenterà un nuovo modo per difendersi dallo scripting tra siti. L'approccio consente a un sito Web di controllare il modo in cui il contenuto generato dall'utente viene trasmesso a un browser Web, neutralizzando potenzialmente gli attacchi di scripting tra siti prima che possano raggiungere la vittima designata.
Lo scripting tra siti implica che il browser di un utente esegua uno script non autorizzato inserito da qualche parte nelle pagine di un sito Web apparentemente affidabile. Lo script potrebbe consentire a un utente malintenzionato di rubare le credenziali di accesso di un utente o altre informazioni sensibili.
Lo scripting cross-site è la vulnerabilità più diffusa su Internet, afferma Geremia Grossman , fondatore e chief technology officer di Sicurezza del cappello bianco , che non è stato coinvolto nella ricerca. È una specie di scarafaggio là fuori nel settore. Grossman afferma che i siti Web più recenti sono meglio attrezzati per difendersi dallo scripting tra siti, ma ci sono ancora milioni di siti vulnerabili su Internet. Abbiamo bisogno di alternative alla correzione del codice, dice.
I ricercatori dell'Università dell'Illinois hanno sviluppato uno strato di software, chiamato Blueprint, che gli sviluppatori Web possono inserire tra le pagine generate dagli utenti e il browser. I ricercatori hanno progettato Blueprint per funzionare con otto principali browser, che rappresentano oltre il 96% dell'attuale quota di mercato, e hanno testato il sistema contro 94 tipi di attacchi di scripting cross-site presi da un repository Internet chiamato XSS Cheat Sheet. Hanno scoperto che ha impedito con successo ogni attacco sulla lista.
Blueprint si trova sui server di un sito Web, legge l'HTML generato dall'utente e lo confronta con una lista bianca di codice attendibile. Rimuove tutti gli script potenzialmente dannosi e decide come deve apparire il contenuto in un browser. Quindi riformatta le informazioni e le trasmette al browser. Blueprint si assicura, ad esempio, di evitare caratteri e simboli che a volte vengono utilizzati per inviare segnali di scripting non autorizzati al browser di un utente. I contenuti non dannosi dovrebbero superare il processo inalterato, affermano i ricercatori.
La radice del problema, spiega V. N. Venkatakrishnan , un assistente professore di informatica che è stato coinvolto nel progetto, è che i browser sono stati originariamente progettati per perdonare il codice di pagine Web scritto male. I browser cercano di eseguire il miglior rendering possibile di qualsiasi tipo di contenuto mal formattato, afferma.
Nel corso degli anni, diversi browser hanno sviluppato i propri modi di interpretare i contenuti formattati male. Gli aggressori possono trarne vantaggio inserendo HTML che verrà eseguito come script nel browser corretto. Questo rende il problema del filtraggio del contenuto HTML per gli script molto, molto impegnativo, afferma Venkatakrishnan. Sono in corso sforzi per cambiare il modo in cui funzionano i browser, ma i ricercatori affermano che nel frattempo è necessaria un'altra soluzione.
Quello che vogliamo fare è togliere la possibilità al parser del browser di prendere qualsiasi decisione di identificazione dello script sul contenuto non attendibile fornito dall'applicazione Web, afferma Venkatakrishnan.
Robert Hansen , CEO e fondatore della società di sicurezza Internet SecTheory, che gestisce XSS Cheat Sheet, afferma che, sebbene Blueprint protegga dalla maggior parte delle principali minacce di scripting cross-site, non copre tutte le possibili minacce. Esistono altri modi per eseguire il rendering di elementi all'interno di un browser e, sfortunatamente, questo non copre nessuno di questi, afferma.
Hansen aggiunge che il sistema dei ricercatori protegge il contenuto avvolgendolo in uno script che i motori di ricerca non possono leggere. Questa non è una panacea, dice, ma questo è il grosso problema. Hansen afferma che lo scripting tra siti è un problema troppo complesso per essere interrotto senza modificare il funzionamento del browser.