Você ainda precisa atualizar para o Android 4.4 KitKat? Aqui está algo que pode lhe dar um pouco de incentivo para fazer a mudança: um problema sério com o navegador de ações em telefones pré-KitKat foi descoberto, e pode permitir que sites maliciosos acessem os dados de outros sites. Soa assustador? Veja o que você precisa saber
A questão - que foi descoberta pela primeira vez pelo pesquisador Rafay Baloch - vê sites maliciosos sendo capazes de injetar JavaScript arbitrário em outros frames, o que poderia ver cookies sendo roubados, ou a estrutura e marcação de websites sendo diretamente interferidos.
Os pesquisadores de segurança estão desesperadamente preocupados com isso, com o Rapid7 - os fabricantes do popular framework de testes de segurança, Metasploit - descrevendo-o como um "pesadelo da privacidade". Curioso sobre como isso funciona, por que você deveria estar preocupado e o que você pode fazer sobre isso? Leia mais para mais.
Um Princípio Básico de Segurança: Bypassed
O princípio básico que deve impedir que esse ataque ocorra em primeiro lugar é chamado de Política de mesma origem. Em suma, isso significa que o JavaScript do lado do cliente em execução em um site não deve ser capaz de interferir em outro site.
Esta política tem sido a base da segurança de aplicações web, desde que foi introduzida pela primeira vez em 1995 com o Netscape Navigator 2. Todos os navegadores da Web implementaram esta política, como um recurso de segurança fundamental, e como resultado é extremamente raro ver tais uma vulnerabilidade na natureza.
Para mais informações sobre como o SOP funciona, você pode querer assistir ao vídeo acima. Isso foi feito em um evento OWASP (Open Web App Security Project) na Alemanha, e é uma das melhores explicações do protocolo que vi até agora.
Quando um navegador é vulnerável a um ataque SOP, há muito espaço para danos. Um invasor pode fazer qualquer coisa com facilidade, desde usar a API de localização apresentada com a especificação HTML5 para descobrir onde a vítima está localizada até o roubo de cookies.
Felizmente, a maioria dos desenvolvedores de navegadores leva esse tipo de ataque a sério. O que torna ainda mais notável ver tal ataque "em estado selvagem".
Como o ataque funciona
Então, nós sabemos que a mesma política de origem é importante. E sabemos que uma falha massiva do navegador Android do Google pode levar os invasores a contornar essa medida de segurança crucial? Mas como isso funciona?
Bem, a prova de conceito dada por Rafay Baloch parece um pouco assim:
Então, o que temos aqui? Bem, há um iFrame. Este é um elemento HTML que é usado para permitir que sites incorporem outra página da web em outra página da web. Eles não são usados tanto quanto costumavam ser, em grande parte porque eles são um pesadelo SEO 10 Erros comuns de SEO que podem destruir seu site [Parte I] 10 erros comuns de SEO que podem destruir seu site [Parte I] Leia mais. No entanto, você ainda os encontra frequentemente de tempos em tempos, e eles ainda fazem parte da especificação HTML e ainda não foram descontinuados.
Em seguida, há uma tag HTML representando um botão de entrada. Isso contém algum JavaScript especialmente criado (observe que '\ u0000'?) Que, quando clicado, exibe o nome de domínio do site atual. No entanto, devido a um erro no navegador Android, ele acaba acessando os atributos do iFrame, e acaba imprimindo 'rhaininfosec.com' como uma caixa de alerta do JavaScript.
No Google Chrome, Internet Explorer e Firefox, esse tipo de ataque seria simplesmente um erro. Ele (dependendo do navegador) também produz um log no console JavaScript informando que o navegador bloqueou o ataque. Exceto, por algum motivo, o navegador de ações em dispositivos pré-Android 4.4 não faz isso.
Imprimir um nome de domínio não é espetacular. No entanto, ganhar acesso a cookies e executar JavaScript arbitrário em outro site é bastante preocupante. Felizmente, há algo que pode ser feito.
O que pode ser feito?
Os usuários têm algumas opções aqui. Em primeiro lugar, pare de usar o navegador Android de ações. É velho, é inseguro e há opções muito mais atraentes no mercado agora. Google lançou o Chrome para Android Google Chrome finalmente lança para Android (ICS apenas) [Notícias] Google Chrome finalmente lança para Android (ICS apenas) [Notícias] Leia mais (embora, apenas para dispositivos executando Ice Cream Sandwich e para cima), e há até variantes móveis do Firefox e do Opera disponíveis.
O Firefox Mobile em particular vale a pena prestar atenção. Além de oferecer uma incrível experiência de navegação, ele também permite que você execute aplicativos para o sistema operacional móvel da Mozilla, Firefox OS 15 principais aplicativos do Firefox OS: a lista definitiva para novos usuários do Firefox OS 15 principais aplicativos do Firefox OS: a lista definitiva para novos Usuários do Firefox OS Obviamente, existe um aplicativo para isso: é a tecnologia da web, afinal. O sistema operacional móvel da Mozilla Firefox OS que, em vez de código nativo, usa HTML5, CSS3 e JavaScript para seus aplicativos. Leia mais, bem como instalar uma riqueza de add-ons impressionantes Addons imperdíveis para o Firefox em seu dispositivo Android Addons imperdíveis para o Firefox em seu dispositivo Android Firefox para Android tem um truque na manga: Add-ons. Assim como o Firefox oferece um sistema de extensão mais potente que o Chrome no desktop, ele bate o Chrome para Android ao suportar extensões. Você pode instalar ... Leia Mais.
Se você quer ser especialmente paranóico, existe até mesmo uma portabilidade do NoScript para o Firefox Mobile. Embora, deve-se notar que a maioria dos sites são altamente dependentes do JavaScript para renderizar as sutilezas do lado do cliente. O que é JavaScript e como funciona? [Tecnologia Explicada] O que é JavaScript e como funciona? [Technology Explained] Leia mais, e usando o NoScript quase certamente irá quebrar a maioria dos sites. Isto, talvez, explique porque James Bruce a descreveu como parte da 'tríade do mal' AdBlock, NoScript & Ghostery - The Trifecta Of Evil AdBlock, NoScript & Ghostery - The Trifecta Of Evil Nos últimos meses, fui contatado por um bom número de leitores que tiveram problemas para baixar nossos guias, ou porque eles não podem ver os botões de login ou comentários não carregando; e em ... Leia Mais ».
Finalmente, se possível, recomendamos que você atualize seu navegador Android para a versão mais recente, além de instalar a versão mais recente do sistema operacional Android. Isso garante que, se o Google liberar uma correção para esse bug mais adiante, você estará protegido.
Embora, é importante notar que há rumores de que este problema poderia atingir os usuários do Android 4.4 KitKat. No entanto, nada surgiu que seja suficientemente substancial para eu aconselhar os leitores a mudarem de navegador.
Um grande bug de privacidade
Não se engane, este é um importante problema de segurança do smartphone O que você realmente precisa saber Sobre a segurança do smartphone O que você realmente precisa saber Sobre a segurança do smartphone Leia mais. No entanto, ao mudar para um navegador diferente, você se torna praticamente invulnerável. No entanto, várias questões permanecem sobre a segurança geral do sistema operacional Android.
Você estará mudando para algo um pouco mais seguro, como segurança de smartphone iOS super segura: iPhones pode obter malware? Segurança do smartphone: iPhones podem obter malware? O malware que afeta "milhares" de iPhones pode roubar as credenciais da App Store, mas a maioria dos usuários do iOS é perfeitamente segura - então, qual é o problema com o software invasor e com o iOS? Leia Mais ou (meu favorito) Blackberry 10 10 Razões para dar BlackBerry 10 A Experimente Hoje 10 Razões para dar BlackBerry 10 A Try Hoje BlackBerry 10 tem algumas características bastante irresistíveis. Aqui estão dez razões pelas quais você pode querer dar uma chance. Consulte Mais informação ? Ou talvez você vai ficar fiel ao Android, e instalar uma ROM segura como Paranoid Android ou Omirom 5 razões porque você deve Flash OmniROM para o seu dispositivo Android 5 razões pelas quais você deve Flash OmniROM para o seu dispositivo Android Com um monte de opções de ROM personalizado lá, pode ser difícil escolher apenas um - mas você deve considerar o OmniROM. Consulte Mais informação ? Ou talvez você nem esteja tão preocupado.
Vamos conversar sobre isso. A caixa de comentários está abaixo. Eu não posso esperar para ouvir seus pensamentos.
