Komponente

Na zahtjev tvrtke Adobe, hakeri Nix 'clickjacking' Razgovor

The Great Gildersleeve: Marjorie the Actress / Sleigh Ride / Gildy to Run for Mayor

The Great Gildersleeve: Marjorie the Actress / Sleigh Ride / Gildy to Run for Mayor
Anonim

Nakon što je Adobe Systems zatražio od njih da šute o svojim otkrićima, dvojica istraživača sigurnosti izvučena su iz tehničkog razgovora gdje će pokazati kako bi mogli preuzeti kontrolu nad preglednikom žrtve pomoću napada na mrežu pod nazivom "clickjacking Robert Hansen i Jeremiah Grossman bili su postavljeni da održe svoj razgovor sljedeći tjedan na konferenciji OWASP (Open Web Application Security Project) u New Yorku. No, dokaz koncepta koda koji su razvili kako bi pokazali kako je njihov napad klikanja učinio otkrila bug u jednom od Adobe proizvoda. Nakon tjedan dana razgovora s Adobeom, istraživači su odlučili prošli petak povući razgovor.

Iako Hansen i Grossman vjeruju da je pogreška prilikom klikanja u konačnici ležala na način na koji su dizajnirani internetski preglednici, Adobe ih je uvjerio da se održavaju na raspravi dok nisu mogli osloboditi krpa. "Adobe misli da mogu učiniti nešto što će oštrije učiniti haker", rekao je Grossman, CTO sa White Hat Security, u razgovoru.

U napadu klikanja, napadač trikovi žrtvu klikom na zlonamjerne internetske veze, a da to ne shvati. Ova vrsta napada poznata je godinama, ali nije bila smatrana osobito opasnom. Na primjer, stručnjaci za sigurnost su mislili da se može upotrijebiti za izvršavanje prijevara s klikovima na oglašavanje ili na napuštanje Diggovih ocjena za web stranicu, na primjer.

Međutim, u pisanju njihovog dokaznog koncepta, Hansen i Grossman shvatili su da je klikanje zapravo bilo više ozbiljno nego što su mislili.

"Kada smo konačno izgradili i dobili dokaz koncepta, bilo je prilično gadno", rekao je Grossman. "Ako nadzirem ono što kliknete, koliko loše mogu učiniti? Ispada da možete napraviti mnogo stvarno, stvarno loših stvari."

Ni Grossman niti Hansen, predsjednik Uprave konzultantske sekcije Theory, željeli su se upoznati s pojedinostima svog napada. Međutim, organizator konferencije OWASP Tom Brennan izjavio je da je vidio napadni kôd koji je pokazao i da dopušta napadaču potpunu kontrolu nad stolom žrtve.

Istraživači kažu da Adobe nije pod pritiskom da ispusti svoj razgovor, "Ovo nije zlo", čovjek nas pokušava zadržati hakerima ", napisao je Hansen na svom blogu.

Ponedjeljak kasno, Adobe je objavio bilješku, zahvalivši istražiteljima da zadržavaju bug privatnim i ukazuju na to da tvrtka pokušava zakrpati problem.

Čak i ako otkrivanje bugova može pomoći napadačima, Brennan iz OWASP-a rekao je da bi istraživači i dalje trebali ići naprijed i dati njihov govor kako bi IT stručnjacima pružili priliku da shvate pravu prirodu prijetnje, "Postoji zero-day problem u preglednicima koji danas utječu na milijune ljudi", rekao je. "Kad netko raspravlja o tome, stavlja sve na istu teren za igru." Hansen i Grossman kažu da očekuju i da će Microsoft ukloniti povezanu pogrešku u programu Internet Explorer i da mnogi drugi preglednici također utječu i na problem s klikovima, "Vjerujemo da je više-manje sigurnosni problem preglednika", rekao je Grossman