В рамках консорциума W3C двое сотрудников компании Google Райли Грант (Reilly Grant) и Кен Рокот (Ken Rockot) представили драфт версию созданного ими API — WebUSB. Проект должен помочь любым USB-девайсам, будь то мышь, камера, флешка или что-то еще, беспрепятственно общаться с веб-страницами.
В теории это должно разрешить проблему поиска и обновления драйверов и прошивок, однако безопасность такого решения вызывает много вопросов.
Грант и Рокон полагают, что они придумали ответ на этот вопрос. WebUSB должен решить проблему, разрешив USB-устройствам общаться с веб-серверами напрямую, а не полагаться на установленный софт. По замыслу разработчиков, сайты, к примеру, смогут устанавливать обновление прошивки и выполнять другие рутинные задачи. В целом это должно облегчить жизнь производителям USB-устройств, — девайсы смогут работать на любой платформе, и никакие особенные драйверы и SDK не понадобятся. В то же время производители смогут создавать кроссплатформенные JavaScript SDK для своих продуктов,
«Сегодня, подключая устройство к компьютеру, вы надеетесь, что оно само как-нибудь обнаружит правильный драйвер и Просто Заработает. Для многих устройств всё происходит именно так, потому что существуют стандартизированные драйверы для клавиатур, мышей, жестких дисков и веб-камер, которые входят в состав ОС, — рассказывают авторы API. — Но как быть с длинной чередой необычных устройств или с гаджетами нового поколения, которые пока не были стандартизированы?»
В теории звучит неплохо, однако сразу возникает вопрос – безопасно ли это? На примере интернета вещей можно убедиться, что идея оснащать подключением к интернету бытовую технику, выключатели, лампочки, будильники и всё подряд – не была самой удачной. Сообщения о небезопасности IoT-устройств поступают постоянно, давая понять, что производители техники думают о безопасности в последнюю очередь.
«Для веба это тоже будет хорошо, — пишут Грант и Рокон. — Не придется ждать, когда устройство наберет достаточную популярность, и браузеры наконец предоставят для него собственный API, инновационное железо будет изначально проектироваться для веба».
Инженеры Google уверяют, что о защите они позаботились. WebUSB API предлагает различные механизмы безопасности. К примеру, предлагается жестко ограничивать список доменов, к которым может обращаться устройство. Сами разработчики API проводят аналогию с механизмом CORS (cross origin resource sharing), который используют современные браузеры.
Пока WebUSB еще не одобрен W3C и является лишь проектом, но документация и исходные коды уже опубликованы.
Microsoft выпустила новую версию PowerShell Core, в которой устраняется уязвимость, позволяющая локальному злоумышленнику обойти Управление приложениями в Защитнике Windows (Windows Defender Application Control, WDAC). Используя эту брешь, атакующий мог запустить любую ненадежную программу при активированном WDAC.
WDAC представляет собой очередную защитную меру от Microsoft, основная цель которой — предоставить возможность запуска только доверенных приложений и драйверов.
По сути, это принцип «белого списка», который гарантирует, что ничего лишнего не запустится в системе Windows. Такой подход очень действенен в случае с вредоносными программами.
Новая уязвимость, получившая имя «Windows Defender Application Control Security Feature Bypass Vulnerability» и идентификатор CVE-2019-1167, позволяет обойти режим PowerShell Core Constrained Language Mode.
Проблема затрагивает PowerShell Core 6.0, PowerShell Core 6.1 и PowerShell Core 6.2. С выпуском версий PowerShell 6.1.5 и PowerShell Core 6.2.2 Microsoft устранила ее.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
