Firefox ma na celu odłączenie ataków skryptowych

Witryny, które opierają się na zawartości tworzonej przez użytkowników, mogą zostać wykorzystane do atakowania własnych użytkowników za pomocą JavaScript i innych popularnych form kodu internetowego. Ten problem bezpieczeństwa, znany jako cross-site scripting (XSS), może na przykład umożliwić atakującemu dostęp do konta ofiary i kradzież danych osobowych.

Atak Patsy: Atakujący (pokazany na czerwono) może użyć skryptów cross-site, aby zmusić komputer użytkownika (po lewej) do zaatakowania innego systemu (w środku), po prostu odwiedzając pozornie niewinną witrynę (u góry).

Teraz twórcy Przeglądarka internetowa Firefox planują przyjąć strategię, która pomoże blokować ataki. Technologia o nazwie Content Security Policy (CSP) pozwoli właścicielowi witryny określić, jakie domeny internetowe mogą hostować skrypty uruchamiane na jej stronach.

W tym przypadku nie tworzą nowej technologii alternatywy dla HTML, ani nie chronią użytkownika przed istniejącym problemem, mówi Eduardo Vela, niezależny badacz bezpieczeństwa, który opowie o atakach XSS na konferencji poświęconej bezpieczeństwu Black Hat, która odbędzie się w przyszłym miesiącu w Las Vegas. W rzeczywistości usuwają funkcje HTML, które w pierwszej kolejności umożliwiły te problemy.

Ataki XSS spowodowały liczne bóle głowy, szczególnie w przypadku sieci społecznościowych i firm Web 2.0, pozwalając na przykład na przejęcie kontroli nad aukcjami eBay i stworzenie robaka, który powodował, że użytkownicy MySpace automatycznie zaprzyjaźniali się z użytkownikiem o imieniu Samy. Główny problem polega na tym, że wiele witryn umożliwia niezaufanym użytkownikom dodawanie własnych treści do stron, podczas gdy przeglądarki internetowe traktują całą treść zwracaną przez witrynę internetową jako pochodzącą z tego samego podmiotu. Jeśli witryna jest zaufana, zaufana jest również zawartość stworzona przez nieznanego użytkownika. Zagadnienie to zostało uznane za jeden z 25 najpoważniejszych problemów z kodowaniem przez SANS Institute, organizację szkoleniową dla administratorów systemów i programistów.

W wielu przypadkach firmy internetowe mogą wyszukiwać i ograniczać niebezpieczne treści tworzone przez użytkowników. Ale ponieważ wiele witryn jest tak dużych, znalezienie i naprawienie wszystkich luk w zabezpieczeniach jest czasochłonnym i trudnym zadaniem. Co więcej, wiele witryn, zwłaszcza portali społecznościowych, chce dać swoim użytkownikom pewną swobodę w tworzeniu interesujących treści.

CSP Mozilli zerwie z tradycją przeglądarek internetowych polegającą na traktowaniu wszystkich skryptów w ten sam sposób. Zamiast tego będzie wymagało, aby uczestniczące witryny umieściły swoje skrypty w osobnych plikach i wyraźnie określiły, które domeny mogą uruchamiać skrypty.

Mozilla Foundation, która produkuje przeglądarkę Firefox, wybrała tę implementację, ponieważ pozwala ona stronom zdecydować, czy zastosować ograniczenia. Powaga problemu XSS w środowisku naturalnym i koszt wdrożenia CSP jako środka łagodzącego mogą być interpretowane przez poszczególne witryny, napisał Brandon Sterne, menedżer programu bezpieczeństwa w Mozilli. na blogu bezpieczeństwa Mozilli . Jeśli stosunek kosztów do korzyści nie ma sensu w przypadku niektórych witryn, mogą oni prowadzić działalność w zwykły sposób.

Nowy środek bezpieczeństwa opiera się na sugestiach zgłoszonych przez specjalistę ds. bezpieczeństwa sieci Web, Roberta Hansena w 2005 roku. Badacz badał różne rodzaje ataków internetowych i zidentyfikował interesujący pomysł: umożliwienie stronom internetowym zmiany poziomu bezpieczeństwa przeglądarki użytkownika.

Hansen postawił ten pomysł na głowie i zamiast tego wymyślił model, który nazwał ograniczeniami treści. Model nie powinien być, jeśli mi ufasz, wyłączać wszystkich zabezpieczeń; model powinien brzmieć, zaufaj mi, że powiem, żebyś mi nie ufał, mówi Hansen, który jest obecnie dyrektorem generalnym firmy konsultingowej SecTheory zajmującej się bezpieczeństwem sieci. Jeśli wiem, że strona jest zła, to powinienem być w stanie powiedzieć, że strona jest zła.

Inżynier z Fundacji Mozilla, Gervase Markham, bronił pomysłu w zespole Firefoksa i dalej rozwijał technologię, a badacz bezpieczeństwa sieci Jeremiah Grossman publicznie wezwał do przyjęcia tej techniki. Cztery lata później Mozilla zobowiązała się do wdrożenia tej technologii.

Nowa funkcja zabezpieczeń Firefoksa może pomóc zablokować inną formę ataku, znaną jako clickjacking, która pozwala napastnikowi nakłonić użytkownika do kliknięcia niebezpiecznego przycisku – na przykład inicjowania przelewu bankowego, gdy uważa, że ​​wysyła wiadomość e-mail. Jednak clickjacking jest problemem tak powszechnym, że model opt-in naprawdę nie działa, mówi Hansen.

Nie wszyscy zgadzają się, że takie ograniczenia treści są właściwą drogą. Microsoft stworzył filtr cross-site scripting w Internet Explorerze 8, który blokuje prawdopodobne ataki przed dotarciem do przeglądarki ofiary. Firma wprowadziła również nową funkcję o nazwie X-FRAME-OPTIONS w przeglądarce Internet Explorer 8, która może zostać wykorzystana przez witryny w celu ograniczenia użycia skryptów w ramkach iframe – sztuczka stosowana przez atakujących do niewidocznego uruchamiania kodu.

Takie wysiłki i trudność włączenia CSP do architektury internetowej giganta oprogramowania, .NET, sprawiają, że prawdopodobnie CSP Mozilli nie zostanie zaadoptowany przez innych producentów przeglądarek, przekonuje Vela, który planuje zaprezentować własne rozwiązanie na Black Hat. Szczerze nie sądzę, że zostanie w dużej mierze przyjęta, mówi, głównie dlatego, że jest tak skomplikowana.

Mozilla, która odmówiła komentarza poza wpisem na blogu, prawdopodobnie będzie miała technologię gotową do włączenia do Firefoksa za 6 do 12 miesięcy, mówi Hansen. Następnym krokiem jest nakłonienie eBaya i MySpace do podniesienia go i powiedzenia: „Hej, to jest świetne” — mówi badacz.

ukryć