211service.com
Open Chrome OS knacken
Bei Black Hat, einer Computersicherheitskonferenz in Las Vegas, beschrieben heute Forscher, wie sie Daten von Chrome OS stehlen konnten, einem von Google entwickelten Betriebssystem, bei dem der Benutzer fast alles über das Web tun muss. Durch die Verwendung des webbasierten Designs des Betriebssystems gegen sich selbst konnten die Forscher Zugriff auf die Namen und Passwörter der Benutzer und sogar auf Bankdaten erhalten. Während die von ihnen ausgenutzten Schwachstellen geschlossen werden können, gibt es laut den Forschern keine Möglichkeit, die umfassendere Bedrohung zu blockieren.
Google hat Chrome OS als revolutionären Computeransatz angepriesen und seine Sicherheit hervorgehoben. Da Anwendungen im Web ausgeführt werden, verwenden Benutzer keine veraltete Software, wodurch sie häufig Sicherheitslücken ausgesetzt sind. Das System wird auch automatisch aktualisiert und es wird wenig auf dem Computer des Benutzers gespeichert. Wenn eine bösartige Software versucht, auf einen Chrome-Computer zu gelangen, kann Google das Betriebssystem aus der Ferne in einen makellosen Zustand wiederherstellen. Diese Aspekte sollten es weniger anfällig für Viren und andere Bedrohungen machen.
Die Forscher Matt Johansen und Kyle Osborn vom Sicherheitsunternehmen für Webanwendungen White Hat Security haben jedoch gezeigt, dass der Wechsel ins Web mit seinen eigenen Gefahren verbunden ist. Es gibt keinen Zugriff auf die Festplatte, aber das ist uns egal, sagt Johansen. Wir sind auf der Suche nach Informationen. Wir versuchen nicht, ein Botnet auf Ihrem Chromebook aufzubauen.
Das Paar verwendete gängige Hacking-Techniken. Mit einer Methode namens Cross-Site-Scripting waren sie fast sofort erfolgreich. Dabei wird Code in eine Webseite eingefügt, der in den Browsern der Besucher der Site ausgeführt wird. Der Code führt dann bösartige Aufgaben auf den Computern dieser Besucher aus.
Chrome OS wurde entwickelt, um den Schaden zu begrenzen, den diese Technik verursachen könnte. Dies geschieht über eine Technik namens Sandboxing, die verhindern soll, dass das, was in einem Browser-Tab passiert, einen anderen beeinflusst. Johansen und Osborn nutzten Cross-Site-Scripting, um die Browsererweiterungen von Chrome OS anzugreifen, die normalerweise neue Funktionen hinzufügen.
In Chrome OS sind Erweiterungen leistungsfähiger als in anderen Browsern und unterliegen nicht denselben Sandbox-Regeln wie Browser-Tabs. Das liegt daran, dass sie zum Teil existieren, um Funktionen bereitzustellen, die mehrere Registerkarten betreffen. Sie sprechen von einer extrem reduzierten Version des Betriebssystems, sagt Osborn, und sie versuchen, die Funktionalität durch Erweiterungen wiederherzustellen.
Die Forscher fanden heraus, dass Erweiterungen einen breiten Zugriff auf die Vorgänge in den Browser-Tabs der Benutzer erhalten können. Daher könnte jemand sie verwenden, um Benutzernamen und Passwörter, Cookies und Browserverlaufsinformationen zu stehlen, einschließlich Informationen, die von Websites stammen, die selbst keine Sicherheitslücken aufweisen.
Bedrohungserweiterung: Chrome OS basiert auf den hier gezeigten Browsererweiterungen, um dem Betriebssystem die volle Funktionalität hinzuzufügen. Forscher sagen jedoch, dass sie das System auch für Sicherheitsbedrohungen öffnen können.
Die Forscher stellten fest, dass viele vorhandene Erweiterungen über umfassende Berechtigungen verfügten und anfällig für Cross-Site-Scripting waren. Sie zeigten auch, dass es möglich ist, bösartige Erweiterungen zu erstellen. Sie könnten beispielsweise getarnt sein, um Bilder von Popstars zu bekommen.
Die Forscher sagen, dass es keine Möglichkeit gibt, diese Bedrohung zu blockieren, da jeder eine Erweiterung vornehmen kann und Google sie nicht überprüft, bevor sie den Nutzern zur Verfügung gestellt wird. Es wird fast immer einige Erweiterungen mit Sicherheitslücken geben, die Hackern eine Möglichkeit bieten, den ansonsten soliden Schutz von Chrome OS zu umgehen.
Die Forscher konnten auch Daten von LastPass , ein Passwortverwaltungssystem, indem Sie eine andere Nebenstelle übernehmen und damit neue Tabs öffnen. Dadurch konnten sie die von LastPass eingefügten Passwortinformationen sehen. Obwohl LastPass sein System so geändert hat, dass Benutzerinformationen nicht mehr automatisch eingegeben werden, würde dies einen Benutzer immer noch nicht vor einem Hacker schützen, der über eine bösartige Erweiterung eingedrungen ist, sagen die Forscher. Ein Hacker müsste nur warten, bis der Benutzer einen neuen Tab öffnet.
Wessen Problem ist das im Großen und Ganzen? Johansen sagt und weist darauf hin, dass sowohl Google als auch die Hersteller von Erweiterungen eine Verantwortung tragen könnten, sich vor dem Angriff zu schützen.
Google hat die Probleme mit seinen eigenen Erweiterungen behoben und kontaktiert Erweiterungshersteller, die möglicherweise helfen können. Am Freitag hat das Unternehmen einen Blogeintrag gepostet betonend die Leistungsfähigkeit der integrierten Sicherheit von Chrome: Wir verbessern weiterhin Funktionen wie unsere Safe Browsing API und unser Erweiterungsmodell, die Benutzer vor schädlichen Webinhalten schützen. Google sagt jedoch, dass Benutzer vorsichtig sein müssen, welche Berechtigungen sie für Erweiterungen erteilen und wohin sie im Web reisen.
Google hat auch ausgestellt Richtlinien für Entwickler beim Schreiben von Erweiterungen sicherer. Und die nächste Version von Chrome wird auch a Inhaltssicherheitsrichtlinie entwickelt, um das Risiko von Cross-Site-Scripting-Angriffen zu reduzieren.
In diesem Gespräch geht es um das Web, nicht um Chrome OS, heißt es in einer Erklärung von Google. [Computer, auf denen Chrome ausgeführt wird] heben den Sicherheitsschutz für Computerhardware auf ein neues Niveau. Sie sind auch besser gerüstet, um Web-Angriffe abzuwehren, die Browser auf jedem Computergerät betreffen können, teilweise dank eines sorgfältig entwickelten Erweiterungsmodells und der erweiterten Sicherheit, die über Chrome verfügbar ist und von vielen Benutzern und Experten angenommen wird.
Mit anderen Worten, die Verlagerung der Computererfahrung vollständig auf das Web kann eine Reihe von Sicherheitsproblemen lösen und gleichzeitig eine Kiste voller neuer Probleme öffnen.