Een team van wetenschappers van universiteiten in Australië, Israël, en de Verenigde Staten hebben een nieuwe side-channel aanval die zich richt op de site-isolatiefunctie van Google Chrome. De aanval, genaamd Spook.js, is een nieuwe tijdelijke exploitatie-zijkanaal-exploit gericht op Chrome en Chromium-gebaseerde browsers, waaruit blijkt dat de pogingen van Google om Spectre te verminderen niet helemaal succesvol zijn geweest.
De Spook.js-aanval uitgelegd
"Specifieker, we laten zien dat een door een aanvaller gecontroleerde webpagina kan weten op welke andere pagina's van dezelfde websites een gebruiker momenteel surft, gevoelige informatie ophalen van deze pagina's, en zelfs inloggegevens herstellen (bijv., gebruikersnaam en wachtwoord) wanneer ze automatisch worden ingevuld. We tonen verder aan dat de aanvaller gegevens kan ophalen uit Chrome-extensies (zoals referentiemanagers) als een gebruiker een schadelijke extensie installeert,' zei het team in hun rapport.
De vondst houdt verband met de Meltdown en Spectre-exploits, de CPU-ontwerpfouten waardoor kwaadaardige code die op een processor werd uitgevoerd, gegevens van andere apps of zelfs van beveiligde CPU-gebieden kon herstellen. De beveiligingsproblemen zijn van invloed op hele generaties computers en apparaten van alle typen die gebruikmaken van specifieke chips (een Intel-processor of een Apple-apparaat met de M1-chip). Door de fouten kunnen aanvallers de fundamentele isolatie tussen gebruikerstoepassingen en het besturingssysteem doorbreken. De informatie die door de computers wordt verwerkt, kan vervolgens worden gelekt naar aanvallers.
Site Isolation: Niet genoeg
Om de gebreken te verminderen, Google heeft de zogenaamde Site Isolation toegevoegd, ingeschakeld in alle versies sinds Chrome 67. Voorafgaand aan die gebeurtenissen, de functie was beschikbaar als een optionele functie die gebruikers handmatig moesten inschakelen.
De toevoeging van dit mechanisme veranderde de onderliggende architectuur van Google Chrome in het beperken van de manier waarop verschillende sites worden verwerkt. Met opzet, de browser bevatte een bewerking met meerdere processen die elk tabblad definieerde als een afzonderlijk weergegeven proces. De verschillende tabbladen kunnen in bepaalde situaties zelfs van proces wisselen bij het navigeren naar een nieuwe site. Echter, de proof-of-concept-aanvallen van de Spectre-kwetsbaarheid onthulden een hypothetisch aanvalsmodel. Het stelde potentiële bedreigingsactoren in staat om kwaadaardige pagina's te maken die gevoelige gegevens onthullen.
Met andere woorden, ondanks de aanvallen werden alleen theoretisch aangetoond, ze toonden de ontwerpzwakte van moderne CPU's op het gebied van beveiliging.
Hoe werkt Spook.js??
Kort gezegd, het team van academici dat het Spook.js-aanvalsconcept bedacht, merkte op dat het huidige Site Isolation-mechanisme het subdomein niet scheidt, wat een andere ontwerpfout is.
"Spook.js maakt gebruik van dit gat in het ontwerp van Site Isolation, die blijkbaar Google weet, maar waar het ook niets aan kan doen, aangezien het scheiden van JavaScript-code op subdomeinniveau ook zou verlammen 13.4% van alle internetsites,"TheRecord wees erop".
In principe, Spook.js is een JavaScript-tool die Spectre-achtige side-channel-aanvallen kan veroorzaken tegen op Crome en Chromium gebaseerde browsers, draait op Intel, AMD, en Apple M1-processors. Zoals reeds gezegd, Spook.js haalt dat alleen op van dezelfde subdomeinen als de site die wordt aangevallen. Bovendien, de tool werkt alleen als de dreigingsactor met succes hun specifieke code op de beoogde site plaatst. Ook al klinkt dit misschien als een obstakel, het is echt niet, zoveel websites stellen gebruikers in staat subdomeinen aan te maken en hun eigen JavaScript-code uit te voeren, inclusief Tumblr, GitHib, BitBucket, onder andere.
Er is ook de mogelijkheid dat sites worden gehackt, maar het onderzoeksteam ging niet zo ver voor ethische onderzoeksnormen. Niettemin, dit scenario moet ook in overweging worden genomen, ze zeiden.
Als je geïnteresseerd bent, u kunt ook een kijkje nemen op de proof-of-concept beschikbaar op GitHub.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: