Na prośbę Adobe, Hackers Nix "clickjacking" Talk

Po tym, jak Adobe Systems poprosiło ich o milczenie na temat swoich ustaleń, dwóch badaczy bezpieczeństwa wycofało się z dyskusji technicznej, podczas której zamierzali zademonstrować, w jaki sposób mogliby przejąć kontrolę nad przeglądarką ofiary za pomocą ataku internetowego o nazwie "clickjacking"..

Robert Hansen i Jeremiah Grossman byli gotowi wygłaszać swoje przemówienia w przyszłym tygodniu podczas konferencji OWASP (Open Web Application Security Project) w Nowym Jorku. Ale kod sprawdzający koncepcję, który opracowali, aby pokazać, w jaki sposób ich atak typu "clickjacking" ujawnił błąd w jednym z produktów Adobe. Po tygodniu dyskusji z Adobe naukowcy zdecydowali się w piątek, aby porozmawiać.

Chociaż Hansen i Grossman są przekonani, że błąd związany z klikaniem kończy się w sposób, w jaki zaprojektowano przeglądarki internetowe, Adobe przekonał ich do wstrzymania dyskusji. dopóki nie mogli wydać łaty. "Adobe sądzi, że mogą zrobić coś, aby utrudnić hackowanie" - powiedział Grossman, dyrektor techniczny w firmie White Hat Security. W ataku typu "clickjacking" atakujący każe ofierze klikać złośliwe linki internetowe, nie zdając sobie z tego sprawy. Ten rodzaj ataku znany jest od lat, ale nie został uznany za szczególnie niebezpieczny. Eksperci ds. Bezpieczeństwa sądzili, że można go użyć do popełnienia kradzieży kliknięć reklamowych lub na przykład do podniesienia ocen Digg dla strony internetowej.

Jednakże, pisząc swój kod proof-of-concept, Hansen i Grossman zdali sobie sprawę, że kliknięcie było więcej Poważnie, niż początkowo sądzili.

"Kiedy w końcu udało nam się go zbudować i dostaliśmy dowód na to, że to było dość paskudne," powiedział Grossman. "Jeśli kontroluję to, co klikasz, ile mogę zdziałać? Okazuje się, że możesz zrobić wiele naprawdę złych rzeczy."

Ani Grossman, ani Hansen, dyrektor generalny firmy doradczej SecTheory, nie chcieli wejść w szczegóły ich ataku. Jednak Tom Brennan, organizator konferencji OWASP, powiedział, że widział kod ataku demonstrujący i że umożliwia atakującemu przejęcie pełnej kontroli nad pulpitem ofiary.

Naukowcy twierdzą, że nie byli naciskani przez Adobe, aby zrzucić ich rozmowę. "To nie jest zło", że ten człowiek stara się nas powstrzymać od ataków hakerów "- napisał na swoim blogu w poniedziałek Hansen.

W poniedziałek w poniedziałek firma Adobe napisała notatkę, dziękując naukowcom za pozostawienie błędu w tajemnicy i wskazując, że Firma pracuje nad naprawianiem problemu.

Nawet jeśli ujawnienie błędu może pomóc atakującym, Brennan OWASP powiedział, że naukowcy powinni nadal robić przemówienia, aby dać informatykom szansę zrozumienia prawdziwej natury zagrożenia. "W przeglądarkach jest problem z zerowym dniem, który dotyka dziś miliony ludzi" - powiedział. "Kiedy ktoś to omawia, stawia wszystkich na tym samym polu gry."

Hansen i Grossman mówią, że oczekują od Microsoftu załatania podobnego błędu w Internet Explorerze i że problem z klikaniem dotyczy również wielu innych przeglądarek.. "Uważamy, że jest to mniej więcej problem bezpieczeństwa przeglądarki" - powiedział Grossman.