Chrome-Erweiterungen sind anfällig: Vorteil, böse Jungs

Chrome-Erweiterung : Ein kleines Softwareprogramm, mit dem die Funktionalität des Chrome-Webbrowsers geändert und verbessert werden kann.

Im Jahr 2010 wurde Chrome zu meinem bevorzugten Webbrowser. Warum? Zwei Jahre lang versuchten die Teilnehmer von Pwn2Own nicht einmal , es zu knacken. Charlie Miller, ein mehrfacher Pwn2Own-Gewinner, wies darauf hin:

"Es gibt Fehler in Chrome, die jedoch sehr schwer auszunutzen sind. Ich habe derzeit eine Chrome-Sicherheitsanfälligkeit, weiß aber nicht, wie ich sie ausnutzen soll."

2010 begann ich auch über Chrome und Chrome-Erweiterungen zu schreiben. Während meiner Recherche für den früheren Artikel über Erweiterungen wurde ich Adrienne Porter Felt vorgestellt. Sie können den Namen erkennen; Adrienne hat viele meiner Artikel kompetent beraten.

Zufällig hört Google auch Adrienne zu. Das von ihrem Forschungsteam verfasste Papier "Schutz von Browsern vor Sicherheitslücken bei Erweiterungen" war maßgeblich an der Entwicklung des innovativen Erweiterungssystems von Chrome beteiligt.

Wenn Adrienne spricht ...

Im September letzten Jahres wurde in einer Google Alert-E-Mail erwähnt, dass Adrienne über Sicherheitslücken in Chrome-Erweiterungen geschrieben hatte. Hmm. Mentale Notiz an sich selbst - Adrienne arbeitete an etwas Wichtigem.

Im Februar dieses Jahres war mein Verdacht berechtigt. Adrienne veröffentlichte zusammen mit Nicholas Carlini und David Wagner (Adriennes Berater) "Eine Evaluierung der Sicherheitsarchitektur für die Google Chrome-Erweiterung".

Das Papier beginnt:

"Sicherheitslücken in Browsererweiterungen gefährden Benutzer, indem sie Website- und Netzwerkangreifern die Möglichkeit bieten, auf die privaten Daten und Anmeldeinformationen der Benutzer zuzugreifen."

Déjà vu schlug zu, als ich das las. 2009 schrieb ich über Firefox mit dem gleichen Problem. Nun, ich konnte sehen, dass es Zeit war, Adrienne anzurufen und zu sehen, was los ist. Hier ist was sie zu sagen hatte.

Kassner : Hallo Adrienne. Würden Sie uns über die im Chrome-Erweiterungssystem implementierten Sicherheitsfunktionen auf dem Laufenden halten, bevor wir zu Ihrem neuesten Artikel kommen? Porter Felt : 2009 hat Google Chrome eine neue Erweiterungsplattform mit mehreren Funktionen eingeführt, mit denen Sicherheitslücken in Bezug auf Erweiterungen verhindert und gemindert werden sollen:
  • Berechtigungstrennung : Erweiterungen bestehen aus zwei Arten von Komponenten, die voneinander isoliert sind - Inhaltsskripten und Erweiterungskernen. Inhaltsskripte interagieren mit Websites und werden ohne Berechtigungen ausgeführt. Erweiterungskerne interagieren nicht direkt mit Websites und werden mit den vollen Berechtigungen der Erweiterung ausgeführt.
  • Isolierte Welten : Inhaltsskripte können Website-Inhalte lesen und ändern, Inhaltsskripte und Websites haben jedoch separate Programmhaufen, sodass Websites nicht auf die Funktionen oder Variablen von Inhaltsskripten zugreifen können.
  • Berechtigungen : Jede Erweiterung wird mit einer Liste von Berechtigungen geliefert, die den Zugriff auf die Browser-APIs und Webdomänen regeln. Wenn eine Erweiterung eine zentrale Sicherheitsanfälligkeit aufweist, erhält der Angreifer nur Zugriff auf die Berechtigungen, über die die anfällige Erweiterung bereits verfügt.
Kassner: Sie haben 100 Chrome-Erweiterungen überprüft:

"27 der 100 Erweiterungen enthalten eine oder mehrere Sicherheitsanfälligkeiten für insgesamt 51 Sicherheitsanfälligkeiten. Die Gruppe der anfälligen Erweiterungen umfasst 7 Erweiterungen mit jeweils mehr als 300.000 Benutzern."

Warum ist es wichtig sicherzustellen, dass Erweiterungen nicht anfällig sind?

Porter Felt: Erweiterungen sind ziemlich leistungsfähig - sie können den Browserverlauf, Kennwörter, E-Mails usw. der Benutzer lesen. Wenn ein Angreifer eine Erweiterung kompromittiert, kann der Angreifer auch auf diese persönlichen Informationen zugreifen. Kassner : Können Sie kurz erklären, wie Sie festgestellt haben, ob eine Erweiterung anfällig ist? Porter Felt : Ich habe mit einem fantastischen Studenten in Cal namens Nicholas Carlini gearbeitet. Zunächst übte er die Benutzeroberflächen der Erweiterungen aus, während er deren Netzwerkverkehr überwachte. Dann las und durchsuchte er den Quellcode der Erweiterungen, um Angriffe zu finden. Ich habe dann jede der potenziellen Schwachstellen überprüft, um sicherzustellen, dass sie real sind. Wir haben dann Angriffe erstellt, um die tatsächlich vorhandenen Sicherheitslücken zu demonstrieren. Kassner: Das Papier scheint besonders besorgt über Schwachstellen im Erweiterungskern zu sein. Warum das? Porter Felt: Der "Kern" ist der mächtigste Teil der Erweiterung, daher bietet eine Sicherheitsanfälligkeit in einem Erweiterungskern einem Angreifer die meisten Berechtigungen. Der Erweiterungskern enthält unsichtbaren Hintergrundcode, Optionen und anderen HTML-Code, den die Erweiterung bereitstellt. Kassner: Eines hat mich verwirrt:

"Erweiterungen können Sicherheitslücken zu Websites hinzufügen."

Wollen Sie damit sagen, dass ein Angreifer eine anfällige Erweiterung verwenden kann, um Probleme für Websites zu verursachen?

Porter Felt: Einige Erweiterungen ändern Websites, um beispielsweise Anzeigen zu entfernen. Wenn die Erweiterung beim Bearbeiten der Website einen Fehler macht, kann dies zu einer Sicherheitsanfälligkeit für die Website führen. Auch wenn die Website standardmäßig sicher ist, kann ein Angreifer aufgrund der neuen Sicherheitsanfälligkeit die Vertraulichkeit oder Integrität der Website gefährden. Kassner : Ich habe folgendes gelesen:

"Wir schlagen neue Schutzmaßnahmen vor und bewerten sie. Diese Studie hat teilweise die Einführung eines neuen obligatorischen Sicherheitsmechanismus durch Chrome motiviert."

Was hast du vorgeschlagen?

Porter Felt : Die meisten Entwickler sind keine Sicherheitsexperten - ihr Fachwissen ist anderswo. Wie unsere Studie gezeigt hat, befolgen Entwickler die Best Practices für die Sicherheit nicht selbst.

Wir schlagen vor, bestimmte unsichere Codierungspraktiken zu verbieten, damit Entwickler diese Fehler nicht machen können. Wir haben uns vier Arten unsicherer Codierungsmethoden angesehen und festgestellt, dass das Verbot von zwei oder drei davon die meisten Sicherheitslücken mit geringen zusätzlichen Kosten für Entwickler verhindern würde.

Chrome verbietet jetzt drei der unsicheren Codierungsmethoden für Erweiterungen. Ich gehe davon aus, dass die Schwachstellenrate drastisch sinken wird, wenn Entwickler mit dem Upgrade ihrer Erweiterungen beginnen.

Kassner : Ich muss Google dafür applaudieren, dass er noch einmal zugehört hat - standardmäßig aus dem Blogeintrag "Sicherere Erweiterungen":

"Eine kürzlich von Forschern der UC Berkeley durchgeführte Studie ergab, dass diese Einschränkungen zusammengenommen die Sicherheit des Erweiterungssystems erheblich verbessern würden ."

Adrienne, ich habe noch eine letzte Frage. Was können Benutzer tun, um sich selbst zu schützen, bis die Entwickler von Erweiterungen Best Practices anwenden?

Porter Felt : Persönlich deaktiviere ich Erweiterungen, wenn ich öffentliche Netzwerke mit hohem Risiko (Flughäfen und Hotel-WLAN) verwende. Ich glaube nicht, dass es Grund zur Sorge gibt, wenn Sie vertrauenswürdige Netzwerke wie Ihr Heim- oder Unternehmensnetzwerk verwenden. Abschließende Gedanken

Adrienne wollte, dass ich erwähne, dass ihr Artikel von Experten begutachtet wurde und offiziell bei Usenix Security 2012 veröffentlicht wird. Die Liste der 100 getesteten Erweiterungen und deren Leistung befindet sich am Ende des Papiers des Teams.

Ich möchte Adrienne, David und Nicholas dafür danken, dass sie unser digitales Leben ein bisschen sicherer gemacht haben.

© Copyright 2021 | mobilegn.com