211service.com
„Firefox“ siekia atjungti scenarijų atakas
Svetainės, kurios remiasi naudotojų sukurtu turiniu, gali būti netyčia naudojamos atakuoti savo vartotojus per JavaScript ir kitas įprastas žiniatinklio kodo formas. Dėl šios saugos problemos, vadinamos kryžminiu scenarijumi (XSS), užpuolikas gali, pavyzdžiui, pasiekti aukos paskyrą ir pavogti asmeninius duomenis.
Patsy ataka: užpuolikas (rodomas raudonai) gali naudoti scenarijų tarp svetainių, kad priversti vartotojo kompiuterį (kairėje) atakuoti kitą sistemą (viduryje), tiesiog apsilankęs iš pažiūros nekaltoje svetainėje (viršuje).
Dabar kūrėjai „Firefox“ žiniatinklio naršyklė planuoja priimti strategiją, kuri padėtų blokuoti atakas. Technologija, vadinama turinio saugos politika (CSP), leis svetainės savininkui nurodyti, kuriuose interneto domenuose leidžiama priglobti scenarijus, kurie vykdomi jos puslapiuose.
Šiuo atveju jie nekuria naujos technologijos alternatyvos HTML ir neapsaugo vartotojo nuo esamos problemos, sako Eduardo Vela, nepriklausomas saugumo tyrinėtojas, kuris kalbės apie XSS atakas kito mėnesio Black Hat saugumo konferencijoje Las Vegase. Jie iš tikrųjų pašalina HTML funkcijas, kurios leido išspręsti šias problemas.
XSS atakos sukėlė daug galvos skausmo, ypač socialiniams tinklams ir Web 2.0 įmonėms, todėl užpuolikai galėjo užgrobti, pavyzdžiui, „eBay“ aukcionus ir sukurti kirminą, dėl kurio „MySpace“ vartotojai automatiškai susidraugavo su vartotoju, vardu Samy. Pagrindinė problema yra ta, kad daugelis svetainių leidžia nepatikimiems vartotojams į puslapius įtraukti savo turinį, o žiniatinklio naršyklės visą svetainės grąžintą turinį traktuoja kaip iš to paties subjekto. Jei svetainė patikima, pasitikima ir nežinomo vartotojo sukurtas turinys. Sistemų administratorių ir programuotojų mokymo organizacija SANS Institute šią problemą priskyrė vienai iš 25 rimčiausių kodavimo problemų.
Daugeliu atvejų interneto įmonės gali sugauti ir apriboti pavojingą vartotojų sukurtą turinį. Tačiau kadangi daugelis svetainių yra tokios didelės, visų pažeidžiamumų paieška ir pašalinimas yra daug laiko reikalaujanti ir sudėtinga užduotis. Be to, daugelis svetainių, ypač socialinių tinklų, nori suteikti savo vartotojams veiksmų laisvę kurti įdomų turinį.
„Mozilla“ CSP nutrauks žiniatinklio naršyklių tradiciją visus scenarijus traktuoti vienodai. Vietoj to reikės, kad dalyvaujančios svetainės savo scenarijus sudėtų į atskirus failus ir aiškiai nurodytų, kuriuose domenuose leidžiama paleisti scenarijus.
„Firefox“ naršyklę gaminantis „Mozilla Foundation“ pasirinko diegimą, nes leidžia svetainėms pasirinkti, ar taikyti apribojimus. XSS problemos sunkumas laukinėje gamtoje ir CSP diegimo kaip sušvelninimo sąnaudos gali būti interpretuojamos atskiroms svetainėms, rašė „Mozilla“ saugos programų vadovas Brandonas Sterne'as. „Mozilla Security“ tinklaraštyje . Jei kai kurioms svetainėms išlaidų ir naudos santykis nėra prasmingas, jie gali tęsti veiklą kaip įprasta.
Naujoji saugumo priemonė pagrįsta žiniatinklio saugos specialisto Roberto Hanseno pasiūlymais dar 2005 metais. Tyrėjas tyrė įvairių tipų žiniatinklio atakas ir nustatė įdomią idėją: leisti svetainėms pakeisti vartotojo naršyklės saugumo lygį.
Hansenas apvertė idėją ant galvos ir vietoj to sugalvojo modelį, kurį pavadino turinio apribojimais. Modelis neturėtų būti, jei pasitikite manimi, išjungti visą apsaugą; modelis turėtų būti, patikėkite manimi, kad pasakysiu, kad nepasitikėkite manimi, sako Hansenas, kuris dabar yra žiniatinklio saugumo konsultacijų įmonės „SecTheory“ generalinis direktorius. Jei žinau, kad puslapis blogas, turėčiau galėti pasakyti, kad puslapis yra blogas.
„Mozilla Foundation“ inžinierius Gervase'as Markhamas palaikė idėją „Firefox“ komandoje ir toliau plėtojo technologiją, o žiniatinklio saugumo tyrinėtojas Jeremiahas Grossmanas viešai paragino taikyti šią techniką. Po ketverių metų „Mozilla“ įsipareigojo įdiegti technologiją.
Naujoji „Firefox“ saugos funkcija galėtų padėti blokuoti kitą atakos formą, vadinamą „clickjacking“, kuri leidžia užpuolikui apgauti vartotoją spustelėti nesaugų mygtuką, pavyzdžiui, inicijuoti banko pavedimą, kai tiki, kad siunčia el. laišką. Tačiau paspaudimų užgrobimas yra tokia paplitusi problema, kad pasirinkimo modelis tikrai neveikia, sako Hansenas.
Ne visi sutinka, kad tokie turinio apribojimai yra tinkamas būdas. „Microsoft“ sukūrė kelių svetainių scenarijų filtrą „Internet Explorer 8“, kuris blokuoja galimus išpuolius, kad jie nepasiektų aukos naršyklės. Bendrovė taip pat pristatė naują funkciją, vadinamą X-FRAME-OPTIONS, naršyklėje „Internet Explorer 8“, kurią svetainės gali įtraukti, kad apribotų scenarijų naudojimą „iframe“ rėmeliuose.
Dėl tokių pastangų ir sunkumų įtraukiant CSP į programinės įrangos milžinės žiniatinklio architektūrą .NET, tikėtina, kad Mozilla CSP nepriims kiti naršyklių gamintojai, tvirtina Vela, planuojantis pristatyti savo sprendimą Black Hat. Aš nuoširdžiai nemanau, kad jis bus iš esmės priimtas, sako jis, daugiausia dėl to, kad jis toks sudėtingas.
„Mozilla“, kuri atsisakė komentuoti daugiau nei tinklaraštyje, greičiausiai turės technologiją, kurią bus galima įtraukti į „Firefox“ per 6–12 mėnesių, sako Hansenas. Kitas žingsnis – priversti „eBay“ ir „MySpace“ jį paimti ir pasakyti: „Ei, tai puiku“, – sako tyrėjas.