Un team di studiosi delle università australiane, Israele, e gli Stati Uniti hanno creato un nuovo attacco dal canale laterale che prende di mira la funzione di isolamento del sito di Google Chrome. L'attacco, chiamato Spook.js, è un nuovo exploit del canale laterale di esecuzione transitoria destinato ai browser Chrome e basati su Chromium, mostrando che i tentativi di Google di mitigare Spectre non hanno avuto del tutto successo.
Spiegato l'attacco di Spook.js
"Più specificamente, mostriamo che una pagina Web controllata da un utente malintenzionato può sapere quali altre pagine degli stessi siti Web stanno attualmente visitando un utente, recuperare informazioni sensibili da queste pagine, e persino recuperare le credenziali di accesso (es, username e password) quando vengono compilati automaticamente. Dimostriamo ulteriormente che l'attaccante può recuperare i dati dalle estensioni di Chrome (come i gestori delle credenziali) se un utente installa un'estensione dannosa,” ha detto la squadra nel loro rapporto.
La scoperta è legata al Exploit di Meltdown e Spectre, i difetti di progettazione della CPU che hanno consentito al codice dannoso in esecuzione su un processore di recuperare i dati da altre app o persino da aree protette della CPU. Le vulnerabilità della sicurezza colpiscono intere generazioni di computer e dispositivi di tutti i tipi che utilizzano chip specifici (un processore Intel o un dispositivo Apple con il chip M1). I difetti potrebbero consentire agli aggressori di abbattere l'isolamento fondamentale tra le applicazioni utente e il sistema operativo. Le informazioni elaborate dai computer potrebbero quindi essere divulgate agli aggressori.
Isolamento del sito: Non abbastanza
Per mitigare i difetti, Google ha aggiunto il cosiddetto Site Isolation, abilitato in tutte le versioni da Chrome 67. Prima di quegli eventi, la funzione era disponibile come funzione opzionale che gli utenti dovevano abilitare manualmente.
L'aggiunta di questo meccanismo ha modificato l'architettura sottostante di Google Chrome limitando il modo in cui vengono elaborati i diversi siti. Di progettazione, il browser presentava un'operazione multi-processo che definiva ogni scheda in un processo di rendering separato. Le diverse schede potrebbero persino cambiare i processi durante la navigazione in un nuovo sito in determinate situazioni. Tuttavia, gli attacchi di prova del concetto di vulnerabilità di Spectre hanno rivelato un ipotetico modello di attacco. Ha permesso ai potenziali attori delle minacce di costruire pagine dannose che rivelano dati sensibili.
In altre parole, nonostante gli attacchi siano stati dimostrati solo teoricamente, hanno mostrato la debolezza del design delle moderne CPU in termini di sicurezza.
Come funziona Spook.js??
Poco detto, il team di accademici che ha ideato il concetto di attacco Spook.js ha notato che l'attuale meccanismo di isolamento del sito non separa il sottodominio, che è un altro difetto di progettazione.
“Spook.js sfrutta questo buco nel design di Site Isolation, che apparentemente Google sa, ma di cui anche non può fare nulla, poiché anche separare il codice JavaScript a livello di sottodominio sarebbe paralizzante 13.4% di tutti i siti internet,” ha sottolineato TheRecord.
Fondamentalmente, Spook.js è uno strumento JavaScript che può causare attacchi side-channel simili a Spectre contro i browser basati su Crome e Chromium, in esecuzione su Intel, AMD, e processori Apple M1. Come già accennato, Spook.js lo recupera solo dagli stessi sottodomini del sito sotto attacco. Inoltre, lo strumento funziona solo se l'autore della minaccia inserisce con successo il proprio codice specifico nel sito di destinazione. Anche se questo può sembrare un ostacolo, non lo è davvero, poiché molti siti Web consentono agli utenti di creare sottodomini ed eseguire il proprio codice JavaScript, incluso Tumblr, GitHib, BitBucket, tra gli altri.
C'è anche la possibilità che i siti vengano hackerati, ma il team di ricerca non è andato così lontano per le norme di ricerca etica. Ciò nonostante, anche questo scenario dovrebbe essere preso in considerazione, loro hanno detto.
Se siete interessati, puoi anche dare un'occhiata al verifica teorica disponibile su GitHub.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: