Firefox и Chrome подвержены новому виду атак на браузеры

Firefox и Chrome подвержены новому виду атак на браузеры

На конференции Toorcon продемонстрирован новый вид атаки на браузеры, позволяющей выяснить какие сайты пользователь посещал ранее. Атака применима к сайтам, на которых включена поддержка протокола HSTS для автоматизации проброса на области HTTPS при запросе ресурса с использованием протокола HTTP.

Проявляется даже если пользователь очистил историю посещений. Для демонстрации уязвимости подготовлена специальная страница, анализирующая открытие в прошлом некоторых популярных ресурсов. Проблема успешно проявляется в Firefox и Chrome, но также затрагивает и другие браузеры, поддерживающие HSTS. В Tor Browser проблема не проявляется из-за ограничения точности таймера, пишет opennet.ru.

Техника атаки основывается на том, что CSP запросив несуществующее изображение на сайте с использованием протокола HTTP, в случае если на этом сайте выставлен флаг HSTS и сайт открывался ранее, его параметры HSTS прокэшированы и ответ будет возвращён после одного запроса (URL сразу будет запрошен по HTTPS, минуя запрос по HTTP). Если сайт не был открыт ранее, вначале будет выполнен запрос по HTTP, а затем, после получения заголовка HSTS, браузер отправит повторный запрос с использованием HTTPS, т.е. операция займёт ощутимо больше времени. Оценив время задержки кодом на JavaScript можно с достаточно большой вероятностью определить открывал пользователь проверяемый сайт ранее или нет.

Интересно, что разработчикам Chrome около года назад сообщили о похожем методе определения факта открытия сайтов и данная проблема до сих пор не решена. Если обратиться к 443 порту сайта по протоколу HTTP (http://example.com:443), такое обращение приведёт к ошибке, если сайт не открывался ранее. Если же сайт был открыт в прошлом и использует флаг HSTS, то браузер автоматически заменит ссылку на https://example.com:443 и запрос будет выполнен успешно.

Ещё одна уязвимость связана с работой механизма привязки открытых ключей (HPKP, HTTP Public Key Pinning), позволяющего явно определить сертификаты каких удостоверяющих центров допустимо использовать для заданного сайта. Данный механизм можно использовать в Chrome или Firefox для отслеживания посетителей без применения cookie. Используя HPKP под видом сертификата можно выполнить привязку произвольного идентификатора, уникального для каждого посетителя. В дальнейшем эта привязка может применяться для достоверного определения повторного посещения сайта данным пользователем по аналогии с тем как для идентификации используются cookie. Особенность состоит в том, что привязка сохраняется независимо от удаления cookie, а удаление HPKP-записей является неочевидным действием, требующим обращения к внутренней странице (chrome://net-internals/#hpkp) для конкретного домена (список доменов с привязкой посмотреть нельзя). 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники убеждают россиян снимать самозапрет на кредиты от лица банков

С сентября оформить самозапрет на выдачу кредитов можно не только онлайн через портал Госуслуг, но и лично — в МФЦ. Такой возможностью уже воспользовались 190 тысяч человек. Однако мошенники находят новые уловки, помогающие обойти защитные меры.

Всего за прошлый месяц около миллиона россиян решили «запретить» себе кредиты, а с марта, когда услуга заработала, общее число заявлений перевалило за 14 миллионов.

Теперь установить самозапрет могут даже те, у кого нет аккаунта на Госуслугах или устройств для входа в систему.

Это, по словам экспертов, повысило защищённость граждан от кредитного мошенничества. Тем не менее злоумышленники не отступают — теперь они пытаются убедить людей самостоятельно снять самозапрет.

По данным Национального бюро кредитных историй (НБКИ), в разных регионах доля тех, кто оформляет услугу через МФЦ, сильно различается: в Приморском крае — около 40%, а в Московской области — всего 5,5%. При этом чаще всего россияне обращаются в МФЦ не для установки, а для снятия запрета.

По словам специалистов, мошенники действуют всё изощрённее. Они звонят от имени банков, налоговой службы или портала Госуслуг, сообщают о «технической ошибке» или «необходимости подтвердить льготу» и просят человека снять самозапрет.

Иногда злоумышленники присылают ссылки на поддельные сайты, визуально копирующие интерфейс Госуслуг, где жертва сама вводит свои данные и подтверждает снятие ограничений.

Эксперт по кибербезопасности компании Angara Security Никита Новиков объясняет: цель мошенников не только оформить кредит, но и получить персональные данные. После этого они могут использовать их для создания подставных счетов или займов.

В НБКИ напоминают: если поступил звонок с просьбой снять самозапрет — разговор нужно сразу прекратить и сообщить о нём в полицию. Проверить свою кредитную историю можно самостоятельно, чтобы убедиться, что злоумышленники не успели оформить заём от вашего имени.

Банк России уточняет, что самозапрет вступает в силу на следующий день после подачи заявления и снимается не раньше второго календарного дня. Услуга бесплатная, а инициировать её может только сам человек — ни банки, ни налоговая, ни Госуслуги не делают этого по телефону.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru