211service.com
Návrh na zastavení útoků na prohlížeč
Vzhledem k tomu, že obsah vytvářený uživateli se stal na internetu stále populárnějším, webové stránky stále více umožňují uživatelům upravovat například komentáře na blogu nebo příspěvky na stránky sociálních sítí pomocí kódu HTML. To však také otevírá webové stránky riziku typu útoku známého jako cross-site scripting, který může útočníkům umožnit krást informace od uživatelů prostřednictvím důvěryhodného webu.
Příští týden v IEEE Symposium o bezpečnosti a soukromí , v Oaklandu, CA, výzkumníci z University of Illinois v Chicagu představí nový způsob obrany proti cross-site skriptování. Tento přístup umožňuje webovým stránkám řídit, jak se uživatelsky generovaný obsah přenáší do webového prohlížeče, což potenciálně neutralizuje útoky skriptování mezi weby dříve, než se dostanou k zamýšlené oběti.
Skriptování mezi weby zahrnuje přimět prohlížeč uživatele, aby spustil neautorizovaný skript vložený někde na stránky zjevně důvěryhodného webu. Skript může útočníkovi umožnit ukrást přihlašovací údaje uživatele nebo jiné citlivé informace.
Skriptování mezi weby je nejrozšířenější zranitelností na internetu, říká Jeremiáš Grossman , zakladatel a technický ředitel společnosti Zabezpečení bílým kloboukem , který se na výzkumu nepodílel. Je to takový šváb v oboru. Grossman říká, že novější weby jsou lépe vybaveny k obraně proti skriptování mezi weby, ale na internetu stále existují miliony zranitelných webů. Potřebujeme alternativy k opravě kódu, říká.
Výzkumníci z University of Illinois vyvinuli vrstvu softwaru nazvanou Blueprint, kterou mohou weboví vývojáři vkládat mezi stránky vytvořené uživateli a prohlížeč. Výzkumníci navrhli Blueprint pro práci s osmi hlavními prohlížeči, které tvoří více než 96 procent současného podílu na trhu, a testovali systém proti 94 typům útoků cross-site skriptování převzatých z internetového úložiště zvaného XSS Cheat Sheet. Zjistili, že úspěšně zabránil každému útoku na seznamu.
Blueprint sedí na serverech webových stránek, čte HTML generovaný uživateli a porovnává jej s bílou listinou důvěryhodného kódu. Odstraňuje všechny potenciálně škodlivé skripty a rozhoduje o tom, jak by se měl obsah zobrazovat v prohlížeči. Poté přeformátuje informace a přenese je do prohlížeče. Blueprint se například stará o to, aby se vyhnul znakům a symbolům, které se někdy používají k odesílání neoprávněných skriptovacích signálů do prohlížeče uživatele. Neškodlivý obsah by měl projít procesem neovlivněným, říkají vědci.
Kořen problému, vysvětluje V. N. Venkatakrishnan , odborný asistent informatiky, který se na projektu podílel, tvrdí, že prohlížeče byly původně navrženy tak, aby odpouštěly špatně napsaný kód webových stránek. Prohlížeče se snaží dělat co nejlepší vykreslování jakéhokoli typu špatně formátovaného obsahu, říká.
V průběhu let si různé prohlížeče vyvinuly své vlastní způsoby interpretace špatně formátovaného obsahu. Útočníci toho mohou využít vložením HTML, které se spustí jako skript ve správném prohlížeči. To dělá problém filtrování obsahu HTML pro skripty velmi, velmi náročným, říká Venkatakrishnan. Probíhají snahy o změnu způsobu fungování prohlížečů, ale výzkumníci tvrdí, že mezitím je potřeba jiné řešení.
Co chceme udělat, je odebrat analyzátoru prohlížeče možnost činit jakákoli rozhodnutí o identifikaci skriptu u nedůvěryhodného obsahu dodávaného webovou aplikací, říká Venkatakrishnan.
Robert Hansen , CEO a zakladatel společnosti pro internetovou bezpečnost SecTheory, která spravuje XSS Cheat Sheet, říká, že ačkoli Blueprint chrání před většinou hlavních hrozeb cross-site skriptování, nepokrývá všechny možné hrozby. Existují další způsoby, jak získat obsah vykreslený v prohlížeči, a bohužel to nepokrývá žádný z nich, říká.
Hansen dodává, že systém výzkumníků chrání obsah jeho zabalením do skriptu, který vyhledávače nedokážou přečíst. To není všelék, říká, ale to je velký problém. Hansen říká, že skriptování mezi stránkami je příliš složitý problém, než aby jej bylo možné zastavit, aniž by se změnilo fungování prohlížeče.