Chrome-utvidelser er sårbare: Fordel, skurkene

Chrome-utvidelse : Et lite program som kan endre og forbedre funksjonaliteten til Chrome nettleser.

Tilbake i 2010 ble Chrome min valgte nettleser. Hvorfor? I to år på rad prøvde deltakerne på Pwn2Own ikke engang å knekke det. Charlie Miller, en flere ganger Pwn2Own-vinner påpekte:

"Det er feil i Chrome, men de er veldig vanskelige å utnytte. Jeg har en Chrome-sårbarhet akkurat nå, men jeg vet ikke hvordan jeg skal utnytte den."

2010 var også da jeg begynte å skrive om Chrome og Chrome-utvidelser. Under forskningen min om den tidligere artikkelen om utvidelser ble jeg introdusert for Adrienne Porter Felt. Du kjenner deg kanskje igjen navnet; Adrienne har gitt ekspertråd for mange av artiklene mine.

Det hender bare at Google lytter til Adrienne også. Oppgaven "Protecting Browsers from Extension Vulnerabilities", skrevet av hennes forskerteam, var medvirkende i utviklingen av Chrome sitt innovative utvidelsessystem.

Når Adrienne snakker ...

I september i fjor omtalte en Google Alert-e-post Adrienne som hadde skrevet om sikkerhetsfeil i Chrome-utvidelser. Hmm. Mental oppmerksomhet til meg selv - Adrienne jobbet med noe viktig.

I februar i år var mistanken min rettferdig. Adrienne ga ut sammen med Nicholas Carlini og David Wagner (Adriennes rådgiver) "En evaluering av sikkerhetsarkitekturen for Google Chrome Extension."

Oppgaven starter:

"Sikkerhetsproblemer i nettleserutvidelser setter brukere i fare ved å gi en måte for angripere av nettsteder og nettverk å få tilgang til brukernes private data og legitimasjon."

Déjà vu slo til da jeg leste det. I 2009 skrev jeg om at Firefox hadde det samme problemet. Vel, jeg kunne se at det var på tide å ringe Adrienne og se hva som skjer. Her var hva hun hadde å si.

Kassner : Hei, Adrienne. Før du kommer til det siste papiret, vil du ta oss opp på sikkerhetsfunksjonene implementert i Chrome-utvidelsessystemet? Porter Felt : I 2009 introduserte Google Chrome en ny utvidelsesplattform med flere funksjoner som er ment å forhindre og avbøte utvidelsessårbarheter:
  • Privilegie-separasjon : Utvidelser er bygget fra to typer komponenter, som er isolert fra hverandre - innholdsskript og forlengelseskjerner. Innholdsskript samhandler med nettsteder og kjører uten privilegier. Utvidelseskjerner samhandler ikke direkte med nettsteder og kjører med utvidelsens fulle rettigheter.
  • Isolerte verdener : Innholdsskripter kan lese og endre innhold på nettstedet, men innholdsskript og nettsteder har separate programheaper slik at nettsteder ikke får tilgang til innholdsskripts funksjoner eller variabler.
  • Tillatelser : Hver utvidelse leveres med en liste over tillatelser, som styrer tilgangen til nettleser-API-er og nettdomener. Hvis en utvidelse har en kjernesårbarhet, vil angriperen bare få tilgang til tillatelsene den sårbare utvidelsen allerede har.
Kassner: Du har vurdert 100 Chrome-utvidelser:

"27 av de 100 utvidelsene inneholder ett eller flere sårbarheter, for totalt 51 sårbarheter. Settet med sårbare utvidelser inkluderer 7 utvidelser med mer enn 300 000 brukere hver."

Hvorfor er det viktig å sørge for at utvidelser ikke er sårbare?

Porter Felt: Utvidelser er ganske kraftige - de kan lese brukernes surfelogg, passord, e-post osv. Hvis en angriper kompromitterer en utvidelse, kan angriperen også få tilgang til denne personlige informasjonen. Kassner : Kunne du kort forklart hvordan du bestemte om en utvidelse var sårbar? Porter Felt : Jeg jobbet med en fantastisk studenter ved Cal ved navn Nicholas Carlini. Først skulle han utøve brukergrensesnittene til utvidelsene mens han overvåket nettverkstrafikken deres. Deretter leste han og søkte i utvidelsenes kildekode for å finne eventuelle angrep. Deretter vurderte jeg hvert av de potensielle sårbarhetene for å sikre at de var ekte. Vi bygde deretter angrep for å demonstrere sårbarhetene som virkelig eksisterte. Kassner: Oppgaven virker spesielt bekymret for sårbarheter i forbindelse med utvidelser. Hvorfor det? Porter Felt: "Kjernen" er den kraftigste delen av utvidelsen, så en sårbarhet i en utvidelseskjerne gir mest privilegier til en angriper. Utvidelseskjernen inneholder usynlig bakgrunnskode, alternativer og all annen HTML utvidelsen gir. Kassner: En ting forvirret meg:

"Utvidelser kan legge til sårbarheter på nettsteder."

Sier du at en angriper kan bruke en sårbar utvidelse for å forårsake problemer for nettsteder?

Porter Felt: Noen utvidelser endrer nettsteder - for å fjerne annonser, for eksempel. Hvis utvidelsen gjør en feil når den redigerer nettstedet, kan det legge til et sikkerhetsproblem på nettstedet. Så selv om nettstedet kan være sikkert som standard, vil den nye sårbarheten tillate en angriper å kompromittere konfidensialiteten eller integriteten til nettstedet. Kassner : Jeg leste følgende:

"Vi foreslår og evaluerer nye forsvar. Denne studien motiverte delvis Chrome til å ta i bruk en ny obligatorisk sikkerhetsmekanisme."

Hva foreslo du?

Porter Felt : De fleste utviklere er ikke sikkerhetseksperter - deres ekspertise er andre steder. Som vår studie demonstrerte, følger ikke utviklere beste praksis for sikkerhet på egen hånd.

Vi foreslår å forby visse usikre kodingspraksiser, slik at utviklere ikke kan gjøre disse feilene. Vi så på fire typer usikre kodingspraksiser og fant ut at forbud mot to eller tre av dem ville forhindre de fleste av sårbarhetene med lite ekstra kostnader for utviklere.

Chrome forbyr nå tre av de usikre kodingspraksisene for utvidelser. Jeg regner med at sårbarhetsgraden vil dramatisk redusere når utviklere begynner å oppgradere utvidelsene sine.

Kassner : Jeg må applaudere Google for at hun nok en gang har lyttet - fra blogginnlegget deres "Mer sikre utvidelser" som standard:

"En fersk undersøkelse fra forskere ved UC Berkeley antydet at disse begrensningene, samlet, ville forbedre sikkerheten til utvidelsessystemet betydelig ."

Adrienne, jeg har et siste spørsmål. Inntil utvidelsesutviklere bruker god praksis, hva kan brukere gjøre for å beskytte seg selv?

Porter Felt : Personlig deaktiverer jeg utvidelser når jeg bruker offentlige nettverk med høy risiko (flyplasser og Wi-Fi på hotell). Jeg tror ikke det er mye grunn til å være bekymret når du bruker pålitelige nettverk, som hjemme- eller bedriftsnettverk. Siste tanker

Adrienne ville at jeg skulle nevne at papiret deres har vært fagfellevurdert og vil offisielt bli publisert på Usenix Security 2012. Og listen over 100 testede utvidelser og hvordan de klarte seg er på slutten av lagets papir.

Jeg vil takke Adrienne, David og Nicholas for at de digitale livene våre ble litt mer sikre.

© Copyright 2021 | pepebotifarra.com