Ο browser – ελληνιστί “περιηγητής ιστού” – αποτελεί το θεμέλιο λίθο της σύγχρονης χρήσης των ηλεκτρονικών συστημάτων. Το μεγαλύτερο ποσοστό των εργασιών που πραγματοποιούνται με χρήση ενός ηλεκτρονικού υπολογιστή συμβαίνει με τη χρήση κάποιου περιηγητή ιστού.
Ένας ερευνητής ασφαλείας της Google ανακάλυψε μια σοβαρή ευπάθεια στους σύγχρονους περιηγητές ιστού η οποία θεωρητικά επιτρέπει σε ιστοσελίδες τις οποίες επισκέπτεται ο χρήστης, να υποκλέψουν προσωπικά δεδομένα από λογαριασμούς στους οποίους έχει συνδεθεί.
Ο ερευνητής, εν ονόματι Jake Archibald, παρουσίασε την ευπάθεια ως μια cross-site vulnerability την οποία ονόμασε Wavethrough. Συγκεκριμένα, στη διαδικασία με την οποία οι περιηγητές φορτώνουν δεδομένα ήχου και βίντεο από τρίτους συμβαίνει ένας λάθος χειρισμός ο οποίος θα επέτρεπε σε έναν κακόβουλο χρήστη να διαβάσει ακόμα και το περιεχόμενο του Gmail ή του Facebook λογιαριασμού ενός χρήστη.
Παρόλο που οι σύγχρονοι περιηγητές δεν επιτρέπουν τα cross-origin requests μεταξύ ιστοσελίδων, υπάρχουν ορισμένες εξαιρέσεις οι οποίες υποβάλλονται από συγκεκριμένες ιστοσελίδες. Δηλαδή, δύναται να πραγματοποιηθεί μια τέτοια διασύνδεση όταν η ιστοσελίδα η οποία επισκέπτεται ο χρήστης ζητήσει να επιτραπεί.
Ακόμη, οι περιηγητές δεν έχουν κάποιο μηχανισμό προστασίας απέναντι στα cross-origin requests τα οποία αφορούν ψηφιακά αρχείο βίντεο, εικόνας και ήχου, επιτρέποντας το site να φορτώνει από οποιαδήποτε πηγή οτιδήποτε media file επιθυμεί.
Για να γίνει περισσότερο κατανοητό το παραπάνω concept δίνεται το εξής παράδειγμα:
Έστω ότι ο χρήστης ζητά από την ιστοσελίδα “techmaniacs.gr” πληροφορίες για το αρχείο ήχου “/hello.wav” το οποίο βρίσκεται στον server στον οποίο φιλοξενείται η ιστοσελίδα. Το “techmaniacs.gr” απαντά στο χρήστη ότι φυσικά και του στέλνει 40 bytes δεδομένων. Ο περιηγητής απαντά ότι αυτό δεν είναι αρκετό και ρωτά αν μπορεί να του στείλει το “techmaniacs.gr” τα υπόλοιπα 50 bytes δεδομένων. Το “techmaniacs.gr” απαντά πως ο περιηγητής μπορεί να τα πάρει αυτά από το “facebook.com” . Έτσι, ο περιηγητής συνδέεται με το “facebook.com”, επιδεικνύει τα απαρραίτητα cookies και ζητά τα υπολοιπόμενα δεδομένα. Το “facebook.com” αποστέλλει τα δεδομένα και πλέον ο περιηγητής έχει όλες τις πληροφορίες που χρειάζεται για το “/hello.wav” .
Αυτός ο τρόπος άντλησης δεδομένων σύμφωνα με τον Archibald μπορεί να προκαλέσει σωρό προβλημάτων. Μια κακόβουλη ιστοσελίδα μπορεί να εισάγει σε μια σελίδα της ένα ενσωματωμένο αρχείο βίντεο (embedded file) το οποίο όταν αναπαραχθεί, χρησιμοποιεί μέρος δεδομένων από τον γονικό server (αυτόν που φιλοξενείται η εν λόγω ιστοσελίδα) αλλά ταυτόχρονα ζητά τα υπόλοιπα δεδομένα από μια διαφορετική πηγή. Ο εν λόγω χειρισμός επιτρέπει ουσιαστικά σε μια ιστοσελίδα να υποκλέψει δεδομένα από μια δεύτερη, δεδομένα τα οποία θα μπορούσαν να υπάγονται στην κατηγορία των προσωπικών δεδομένων του χρήστη.
[youtube https://www.youtube.com/watch?v=D5wu_za7ows]
Ο Archibald με τη δημοσίευσή του ενημέρωσε τις αντίστοιχες ομάδες ασφαλείας που ευθύνονται για την εύρυθμη λειτουργία των περιηγητών Firefox και Edge οι οποίες έσπευσαν να διορθώσουν την ευπάθεια.
Συνίσταται λοιπόν στους χρήστες, τόσο του Chrome όσο και του Firefox και Edge να εγκαταστήσουν την τελευταία έκδοση του περιηγητή τους.
Ακολουθήστε το Techmaniacs.gr στο Google News για να διαβάζετε πρώτοι όλα τα τεχνολογικά νέα. Ένας ακόμα τρόπος να μαθαίνετε τα πάντα πρώτοι είναι να προσθέσετε το Techmaniacs.gr στον RSS feeder σας χρησιμοποιώντας τον σύνδεσμο: https://techmaniacs.gr/feed/.
