En sikkerhetsekspert har oppdaget en hull til å kapre følsom informasjon fra "Cookie" i Internet Explorer. "Cookiehijacking" teknikk kan utsette legitimasjon fra Facebook, Twitter, Gmail, eller andre elektroniske tjenester, men Microsoft tror det ikke en alvorlig trussel. Så, er himmelen faller.
Sikkerhet forsker Rosario Valotta nylig demonstrerte "Cookiehijacking" teknikk, og har detaljer om angrepet på sin blogg. "Cookiehijacking" trussel, og underliggende zero-day feilen på alle versjoner av Internet Explorer kjører på alle versjoner av Windows, slik at pool av potensielle ofre er betydelig.
"Cookiehijacking" kan la en angriper ta opp dine Facebook credentials. Hva er en cookie?
En cookie er en liten tekstfil som brukes av en webleser eller et program til å lagre informasjon som nettstedet preferanser, eller brukerkonto legitimasjon for nettstedet godkjenning.
Hva er "Cookiehijacking"???
Teknikken utnytter en feil som omgår Security Zone beskyttelse i Internet Explorer for at angriperen å fange innholdet i cookie som ikke bør utsettes.
Hva er i fare???
De fleste tekstfiler inneholder tekst som ville av liten verdi. Men, hvis du er logget på et nettsted som Facebook, Twitter, eller Gmail, cookies brukes til å lagre brukerkonto informasjon for å godkjenne slik at du slipper å logge på igjen og igjen. Hvis en angriper kan kapre disse informasjon, kan de utgi seg som deg eller få tilgang til sensitive data i det berørte området eller tjenesten.
Det er en alvorlig trussel???
Angrepet er ikke trivielt å trekke av. Selve "Cookiehijacking" er bare en brikke i et større puslespill som krever ulike angrep teknikker, og duping brukeren til å bli en villig deltaker.
Microsofts Jerry Bryant bagatellisert trusselen basert på kompleksiteten i angrep og nivået av brukermedvirkning er nødvendig for den å arbeide. "For å kunne være påvirket, må brukeren besøker et ondsinnet nettsted, bli overbevist til å klikke og dra elementer rundt på siden og angriperen trenger å målrette en cookie fra nettsiden som brukeren allerede var logget inn."
Mens alt dette er sant, men mange brukere klikker den lille boksen som sier "hold meg innlogget" slik at de ikke trenger å oppgi brukerlegitimasjonsbeskrivelser hver gang de besøker et nettsted som Facebook, og det er faktisk ganske enkelt å lure brukere til å klikke. Valotta opprettet en Facebook-spill hvor brukerne kle av en naken kvinne ved å klikke på hennes klær for å fjerne det. Voila! Et spill som det ville definitivt få brukerne til å klikke.
Hva bør du gjøre???
Så, er himmelen ikke faller. Vellykket gjennomføring av en "Cookiehijacking" angrep til å trekke ut sensitiv påloggingsinformasjon tar en god del av brukermedvirkning, og forhåpentligvis informerte brukere vet nok til ikke å jage den kaninen ned i hullet.
"Cookiehijacking" teknikken fungerer med litt samarbeid fra brukeren, og med mer enn 500 millioner brukere på Facebook spille alle slags dumme spill, er det ikke en strekning å tro at et betydelig antall brukere kan være sosialt konstruert for å falle for angrepet.
Microsoft tror ikke det "Cookiehijacking" problemet å være en stor nok trussel til å rettferdiggjøre et presserende, out-of-band sikkerhetsoppdatering for Internet Explorer, men det er angivelig jobber med en løsning som vil være tilgjengelig de neste par månedene. I mellomtiden utvise en viss varsomhet med litt ekstra sunn fornuft, og ikke gå å klikke på ting bare fordi noen spør deg.
No comments:
Post a Comment