211service.com
Spricka Öppna Chrome OS
Idag på Black Hat, en datorsäkerhetskonferens i Las Vegas, beskrev forskare hur de kunde stjäla data från Chrome OS, ett operativsystem byggt av Google som kräver att användaren gör nästan allt via webben. Genom att använda operativsystemets webbaserade design mot sig själv kunde forskarna få tillgång till användarnas namn och lösenord och till och med bankinformation. Även om de specifika sårbarheterna de utnyttjade kan stängas, säger forskarna att det inte finns något sätt att blockera det bredare hotet.
Google har framhållit Chrome OS som ett revolutionerande tillvägagångssätt för datoranvändning och betonat dess säkerhet. Eftersom applikationer körs på webben kommer användare inte att köra inaktuell programvara, vilket vanligtvis gör dem öppna för säkerhetsbrister. Systemet uppdateras också automatiskt och lite lagras på användarens dator. Om en skadlig programvara försöker komma in på en Chrome-dator kan Google fjärråterställa operativsystemet till ett orört tillstånd. Dessa aspekter bör göra det mindre sårbart för virus och andra hot.
Men forskarna, Matt Johansen och Kyle Osborn, från webbapplikationssäkerhetsföretaget White Hat Security, visade att att flytta till webben kommer med sina egna faror. Det finns ingen tillgång till hårddisken, men vi bryr oss inte, säger Johansen. Vi är ute efter information. Vi försöker inte bygga ett botnät på din Chromebook.
Paret använde vanliga hackningstekniker. De lyckades nästan omedelbart med en metod som kallas cross-site scripting. Detta innebär att injicera en webbsida med kod som körs i webbläsarna för besökare på webbplatsen. Koden utför sedan skadliga uppgifter på dessa besökares maskiner.
Chrome OS är utformat för att begränsa skadorna som denna teknik kan orsaka. Den gör detta via en teknik som kallas sandboxing, som är tänkt att förhindra att det som händer på en webbläsarflik påverkar en annan. Johansen och Osborn använde cross-site scripting för att attackera Chrome OS:s webbläsartillägg, som vanligtvis lägger till ny funktionalitet.
I Chrome OS är tillägg kraftfullare än i andra webbläsare och omfattas inte av samma sandlåderegler som webbläsarflikar. Det beror på att de delvis finns för att tillhandahålla funktioner som påverkar flera flikar. Du pratar om en superförminskad version av operativsystemet, säger Osborn, och de försöker bygga om funktionaliteten genom tillägg.
Forskarna fann att tillägg kan få bred tillgång till vad som händer på användarnas webbläsarflikar. Som sådan kan någon använda dem för att stjäla användarnamn och lösenord, cookies och webbhistorikinformation, inklusive information som kommer från webbplatser som inte har sårbarheter själva.
Hotförlängning: Chrome OS förlitar sig på webbläsartillägg, som visas här, för att lägga till full funktionalitet till operativsystemet. Men forskare säger att de också kan öppna systemet för säkerhetshot.
Forskarna fann att många befintliga tillägg hade breda behörigheter och var sårbara för skript på flera webbplatser. De visade också att det är möjligt att bygga skadliga tillägg. De kan till exempel vara förklädda som sätt att få bilder av popstjärnor.
Forskarna säger att det inte finns något sätt att blockera detta hot eftersom vem som helst kan göra en förlängning, och Google granskar dem inte innan de görs tillgängliga för användarna. Det kommer nästan alltid att finnas några tillägg med säkerhetsbrister, vilket ger hackare ett sätt att kringgå de annars solida skydden i Chrome OS.
Forskarna kunde också stjäla data från LastPass , ett lösenordshanteringssystem, genom att ta över ett annat tillägg och använda det för att öppna nya flikar. Detta gjorde det möjligt för dem att se lösenordsinformationen som LastPass infogade. Även om LastPass ändrade sitt system så att användarinformation inte längre skrivs in automatiskt, skulle detta fortfarande inte skydda en användare från en hackare som kom in genom en skadlig förlängning, säger forskarna. En hacker skulle bara behöva vänta tills användaren öppnade en ny flik.
Vems problem är detta på det hela taget? Johansen säger och noterar att både Google och tilläggstillverkare kan ha ett ansvar att skydda mot attacken.
Google har åtgärdat problemen med sina egna tillägg och kontaktar tilläggstillverkare som kanske kan hjälpa till. I fredags lade företaget upp ett blogginlägg betona kraften i Chromes inbyggda säkerhet: Vi fortsätter att förbättra funktioner som vårt Safe Browsing API och vår tilläggsmodell som hjälper till att skydda användare från skadligt webbinnehåll. Ändå säger Google att användare måste vara försiktiga med vilka behörigheter de ger till tillägg och vart de reser på webben.
Google har också utfärdat riktlinjer för utvecklare på att skriva tillägg säkrare. Och nästa version av Chrome kommer också att stödja en innehållssäkerhetspolicy utformad för att minska risken för skriptattacker mellan webbplatser.
Den här konversationen handlar om webben, inte om Chrome OS, säger ett uttalande från Google. [Datorer som kör Chrome] höjer säkerhetsskyddet för datorhårdvara till nya nivåer. De är också bättre rustade för att hantera de webbattacker som kan påverka webbläsare på vilken datorenhet som helst, delvis tack vare en noggrant utformad tilläggsmodell och den avancerade säkerhet som finns tillgänglig via Chrome som många användare och experter har anammat.
Med andra ord, att flytta datorupplevelsen helt och hållet till webben kan lösa en uppsättning säkerhetsproblem samtidigt som den öppnar upp en låda full med nya.