Komponenter

Ett foto som kan stjäla ditt Facebook-konto

Сказка Барби ? Что в подарках? сюрпризы ? сказка с куклами, одеждой

Сказка Барби ? Что в подарках? сюрпризы ? сказка с куклами, одеждой
Anonim

På Black Hat datasäkerhetskonferens i Las Vegas nästa vecka kommer forskare att visa programvara som de har utvecklat som kan stjäla online-uppgifter från användare av populära webbplatser som Facebook, eBay och Google.

Anfallet bygger på en ny typ av hybridfil som ser ut som olika saker för olika program. Genom att placera dessa filer på webbplatser som tillåter användare att ladda upp egna bilder kan forskarna kringgå säkerhetssystem och ta över kontona för webbsurfare som använder dessa webbplatser.

"Vi har kunnat komma med en Java applet som för alla ändamål är en bild ", säger John Heasman, vice vd för forskning vid NGS Software.

De kallar den här typen av filer en GIFAR, en sammandragning av GIF (grafikutbytesformat) och JAR (Java Archive), de två filtyperna som är blandade. På Black Hat kommer forskarna att visa deltagare hur man skapar GIFAR samtidigt som man slipper några viktiga detaljer för att förhindra att den används omedelbart i någon utbredd attack.

Filen ser ut exakt som en.gif-fil, En webbläsares Java-virtuella maskin öppnar den som en Java-arkivfil och kör den som en applet. Det ger angriparen möjlighet att köra Java-kod i offrets webbläsare. I sin del behandlar webbläsaren denna skadliga applet som om den skrevs av webbplatsens utvecklare.

Så här skulle en attack fungera: De dåliga killarna skulle skapa en profil på en av dessa populära webbplatser - Facebook till exempel - och ladda upp deras GIFAR som en bild på webbplatsen. Då skulle de lura offeret för att besöka en skadlig webbplats, vilket skulle säga att offrets webbläsare skulle öppna GIFAR. På den tiden skulle appleten springa i webbläsaren, vilket ger de dåliga killarna tillgång till offrets Facebook-konto.

Angreppet kan fungera på en webbplats som tillåter användare att ladda upp filer, eventuellt även på webbplatser som används för att ladda upp bankkort foton eller till och med Amazon.com, säger de.

Eftersom GIFAR öppnas av Java kan de öppnas i många typer av webbläsare.

Det finns dock en fångst. Offret måste vara inloggad på den webbplats som är värd för bilden för angreppet på jobbet. "Attacken kommer att fungera bäst vart du lämnar dig inloggad under långa perioder", säger Heasman.

Det finns ett par sätt att GIFAR-attacken skulle kunna misshandlas. Webbplatser kunde sätta upp sina filtreringsverktyg så att de kunde fånga upp hybridfilerna. Alternativt kan Sun strama upp Java runtime miljö för att förhindra att detta händer. Forskarna förväntar sig att Sun ska komma till rätta inte långt efter Black Hat-pratningen. Men forskare säger att medan en Java-fix kan inaktivera den här angreppsvektorn är problemet med skadligt innehåll som läggs på legitima webbapplikationer mycket större och thornier problem. "Det kommer att finnas andra sätt att göra detta med annan teknik", säger GIFAR-utvecklaren Nathan McFeters, en forskare med Ernst & Youngs avancerade säkerhetscenter.

"På sikt måste webbapplikationer ta kontroll över innehållet, säger McFeters. "Det är ett problem med webapplikationen. Den Java-attack som vi använder för närvarande är bara en vektor."

Han och hans andra Black Hat-presentatörer har berättat att de pratar Internet är brutna.

I slutändan kommer webbläsare att ha att göra några grundläggande förändringar i deras programvara, säger Jeremiah Grossman, chefstekniker med White Hat Security. "Det är inte så att Internet är trasigt," sa han. "Det är att webbläsarsäkerheten är trasig. Browsersäkerhet är verkligen en oxymoron."