Специалисты CERT обнаружили проблему с cookie во всех современных браузерах

Специалисты CERT обнаружили проблему с cookie во всех современных браузерах

Команда ученых из Computer Emergency Response Team (CERT) опубликовала отчет, согласно которому, реализация хранения и использования cookie-файлов практически во всех современных браузерах ставит безопасность системы под вопрос.

Ученые рассказали, что производители примеряют стандарт RFC 6265, отвечающий за браузерные cookies, неверно. Проблема заключается в следующем. Полученные через обычный HTTP-запрос cookie-файлы могут отмечаться как «защищенные», то есть имеют secure flag. По идее, такие cookie должны передаваться только через HTTPS-соединение, пишет xakep.ru.

Однако исследователи выявили, что многие современные браузеры используют любые cookie-файлы в ходе HTTPS-соединения, не проверяя при этом их источник (так называемый cookie forcing). В том числе, принимаются и «защищенные» cookie, подложенные в систему ранее. Это позволяет атакующему осуществить man-in-the-middle атаку, внедрив через HTTP-запрос фальшивые cookie, которые будут маскироваться под cookie-файлы других, легитимных сайтов, перезаписывая настоящие. Такую подмену будет сложно заметить даже тем, кто регулярно проверяет списки cookie в браузере и ищет в них подозрительное. Далее, при помощи такой подделки, можно легко перехватить приватную информацию пользователя, в ходе HTTPS-сессии.

Впервые о проблеме рассказали еще в августе 2015 года, на конференции USENIX 24, так что разработчики браузеров уже успели подготовиться и выпустить «заплатки». Проблеме были подвержены буквально все браузеры: Safari, Firefox, Chrome, Internet Explorer, Edge, Opera и Vivaldi. От бага избавлены лишь самые последние их версии.

Специалисты CERT также рекомендуют вебмастерам использовать HSTS (HTTP Strict Transport Security) для доменов верхнего уровня.

Meta не сможет оставить в WhatsApp только свой ИИ

Meta (признана экстремисткой и запрещена в России) не может ограничивать доступ сторонних ИИ-помощников к WhatsApp и оставлять в мессенджере только собственный ИИ. К такому выводу пришла Европейская комиссия, объявив о введении временных антимонопольных мер против компании.

Речь идёт о предварительном этапе расследования, которое Еврокомиссия запустила ещё в декабре.

Поводом стали изменения в условиях использования WhatsApp, вступившие в силу в январе. После них Meta AI оказался единственным ИИ-помощником, доступным в мессенджере, тогда как конкуренты фактически были вытеснены с платформы.

В Еврокомиссии считают, что такая политика может привести к «серьёзному и необратимому ущербу для рынка». По мнению регулятора, Meta, пользуясь доминирующим положением WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России) — самого популярного мессенджера во многих странах ЕС, — создаёт барьеры для выхода и развития других ИИ-сервисов.

«Поведение Meta грозит необратимой маргинализацией более мелких игроков на рынке универсальных ИИ-ассистентов», — говорится в заявлении Комиссии.

Примечательно, что временные меры — редкий инструмент для европейского антимонопольного ведомства. В последний раз его применяли ещё в 2019 году, когда Еврокомиссия вмешалась в дело против Broadcom. Это подчёркивает, насколько серьёзными регулятор считает риски вокруг ИИ-доступа к WhatsApp.

При этом решение Еврокомиссии не распространяется на Италию. Итальянский антимонопольный регулятор ранее запустил собственное расследование и уже обязал Meta сохранить доступ конкурирующих сервисов к WhatsApp в рамках отдельного дела.

Теперь Meta получит возможность официально ответить на предварительные претензии Еврокомиссии. Само антимонопольное расследование при этом продолжается, и его итоговые выводы могут привести к более жёстким мерам.

RSS: Новости на портале Anti-Malware.ru