Verkkoteknologioiden nousu avasi uusia mahdollisuuksia Internetissä. Selaimet ovat tehostuneet, kun uudet sovellusliittymät laskeutuivat käyttöön ja tuki tietyille ominaisuuksille otettiin käyttöön.
Uusi hyökkäys, jonka se löysi tutkija, nimeltään MarioNET, korostaa, että sovellusliittymiä voidaan myös väärinkäyttää, jos asianmukaisia suojatoimia ei ole käytössä (mikä on tällä hetkellä).
Hyökkäys perustuu olemassa oleviin HTML5-sovellusliittymiin, joita kaikki nykyaikaiset selaimet tukevat. Se ei vaadi ohjelmiston asentamista tai käyttäjän vuorovaikutusta, ja se jatkuu myös käyttäjän poistumisen jälkeen verkkosivulta, josta hyökkäys on alkanut.
Hyökkääjä voi väärinkäyttää tietokoneen resursseja kaikenlaisiin toimintoihin, mukaan lukien DDOS-hyökkäykset, salaustoiminnat tai salasanojen murtamiset.
Päivitys : Löydät kriittisen äänen, joka kiistää tässä tutkimuksessa kuvatun skenaarion. Tärkein kritiikki on, että hyökkäysmenetelmä perustuu PeriodicSync-nimiseen ominaisuuteen ja että se ei ole tässä vaiheessa osa mitään eritelmiä. pää
MarioNET käyttää hyökkäyksessä palvelustyöntekijöitä, skriptejä, jotka toimivat erillään vierailluista verkkosivuista ja taustalla. Huoltotyöntekijöiden pääideana on siirtää tietyt laskelmat erilliseen säikeeseen, jotta se ei estä tai hidasta sovellusta tai verkkosivua, jonka kanssa käyttäjä on vuorovaikutuksessa.
Huoltotyöntekijöiden elinkaari on täysin riippumaton sivusta, jolla he luotiin. Huoltotyöntekijöillä ei ole pääsyä verkkosivun ja vanhemman sivun muuttujien ja toimintojen DOM: iin (Document Object Model).
Huoltotyöntekijöiden käyttö eristää järjestelmän alkuperäisestä verkkosivustosta, antaa jatkuvan hallinnan hyökkääjälle ja vaikeuttaa käyttäjien havaitsemista mitä tapahtuu.
Erityisesti järjestelmämme täyttää kolme tärkeää tavoitetta:
(i) eristäminen käydystä verkkosivustosta, joka mahdollistaa käytettyjen resurssien hienon hallinnan; (ii) pysyvyys, jatkamalla toimintaansa keskeytyksettä taustalla jopa emolevyn sulkemisen jälkeen; ja (iii) väistävyys, välttämällä havaitsemista selainlaajennuksilla, jotka yrittävät tarkkailla verkkosivun toimintaa tai lähtevää viestintää.
MarioNET rekisteröi huoltotyöntekijän, kun käyttäjä käy verkkosivulla. Hyökkäykset voivat olla peräisin. Hyökkäyksen leviämismahdollisuuksiin kuuluu haitallisten verkkosivustojen luominen, hakkerointisivustojen luominen tai mainosten käyttö.
Selaimet tarjoavat käyttäjille vain vähän tietoa huoltotyöntekijöistä; Itse asiassa selaimet eivät korosta uusien palvelun työntekijöiden luomista käyttäjille tarkoitettuihin sivustoihin. Ei ole hälytystä, ei kehotusta eikä edes mahdollisuutta näyttää kehotusta pyytää käyttäjän lupaa palvelun työntekijöiden luomisen yhteydessä.
Ainoa palvelun työntekijän olemassaoloa paljastava pyyntö on alkuperäinen GET-pyyntö käyttäjän ensimmäisen verkkosivustovierailun yhteydessä, kun palvelun työntekijä rekisteröidään alun perin. Vaikka kyseisen GET-pyynnön aikana tarkkailulaajennus voi tarkkailla palvelun työntekijän sisältöä, se ei silti havaitse mitään epäilyttävää koodia - haitallisia tehtäviä suorittava koodi toimitetaan palvelijalle vasta sen jälkeen kun se oli ensimmäisen kerran kommunikoinut Puppeteerin kanssa, ja tämä viestintä on piilotettu selaimen laajennuksista
MarioNET tekee erityisen huolestuttavaa, että se jatkaa toimintaa taustalla sen jälkeen, kun käyttäjä sulkee verkkosivuston, jonka hyökkäys on alkanut. Ohjaus päättyy, kun selain suljetaan; tutkijat löysivät myös tavan tämän ratkaisemiseksi, mutta se vaatii käyttäjän vuorovaikutusta, koska se käyttää Web Push -sovellusliittymää siihen.
suojaus
Useimmat nykyaikaiset selaimet sisältävät vaihtoehtoja nykyisten palvelustyöntekijöiden näyttämiseen. Firefox-käyttäjät voivat ladata noin: palveluntarjoajat tai noin: virheenkorjaus # työntekijät ja Chromen käyttäjät voivat ladata kromi: // serviceworker-internals / tehdä niin.
Voit poistaa palveluntarjoajan rekisteröinnin näiden sivujen tarjoamista toiminnoista. Firefox-käyttäjät voivat estää palvelun työntekijöitä kokonaan.
Huomaa, että tämä voi vaikuttaa toimintoihin sivustoilla, jotka käyttävät sitä laillisiin tarkoituksiin. Oletusasetus dom.serviceWorkers.enabled on asetettava arvoon false arvoon about: config.
Jotkut selaimen laajennukset, kuten Chromen ja Firefoxin Service Worker Detector, ilmoittavat käyttäjille, kun verkkosivu rekisteröi Service Workerin.
Nyt sinä : Pitäisikö selaimen kehittäjien ottaa käyttöön ylimääräisiä suojatoimia? (ZDNetin kautta)
