Новости про Chrome, безопасность, браузеры и Интернет и сети

Разрабатываемый World Wide Web Consortium (W3C) и FIDO Alliance стандарт WebAuthn является API, который позволяет разработчикам лучше реализовывать новый стандарт безопасного логина FIDO2, который использует разные методы аутентификации, включая биометрику и USB брелоки. Их применение позволяет исключить использование паролей.

Такой шаг позволит решить проблему путаницы паролей и фишинговых сайтов, позволяя осуществлять операции с онлайн сервисами намного безопаснее.

Технология WebAuthn уже давно находится в разработке, но чтобы стать популярной ей нужно заручиться поддержкой браузеров. Крупнейшие игроки рынка уже заявили об этом. Исключением является Apple, которая пока не сообщила о поддержке технологии в Safari, хотя компания и является одним из разработчиков API.

Вход в онлайн сервисы с помощью аппаратного ключа не является чем-то новым. Такой подход часто используют правительственные организации, однако для этого требуется специализированный донгл и драйвер. Технология WebAuthn унифицирует эту систему, позволяя применять общедоступные библиотеки.

Антишпионский сервис Malwarebytes выявил новую форму вэб-майнера криптовалюты, который работает даже после закрытия браузера. Для этого использован примитивный трюк. Открываясь, страница с майнером исполняет скрипт со всплывающим окном, которое сворачивается в область за панелью задач возле часов в системном трее. Это предельно простое решение, но оно позволяет оставаться незамеченным долгое время, пока пользователь не обратит внимания на сгруппированные значки или не проверит диспетчер задач.

Аналитик Malwarebytes Жером Сегура сообщил: «Это всплывающее окно создано для обхода блокировщиков рекламы, и его намного сложнее обнаружить, потому что оно хитро прячется. Закрытие браузера кнопкой „X“ больше неэффективно».

Решением проблемы может стать внимательное слежение за потребляемыми ресурсами, контроль активности браузера в диспетчере задач, а для лучшей визуализации свёрнутого окна — отключение группировки и сокрытия значков системном трее.

Сегура отметил, что метод рассчитан на работу с Windows 7 и Windows 10 и браузером Chrome, но очевидно, что следующим шагом будет поддержка зловредом других обозревателей интернета.

Фишинговая атака довольно проста. Когда пользователь заполняет информацию в текстовых полях, автозаполнение сканирует все прочие текстовые поля, подбирая ранее введенные аналогичные значения. Это происходит даже в случае, если эти поля невидимы. В демонстрации, Куосманен показал простую онлайн форму лишь с двумя видимыми полями «Имя» и «Email», которая благодаря скрытым полям и автозаполнению собирает и другую информацию о пользователе, включая адрес, телефон, организацию и город проживания.

Исследователь отметил, что эту атаку можно сделать ещё более опасной, собрав важные пользовательские данные, включая номер банковской карты и CVV код.

Стоит отметить, что Chrome отправляет предупреждение, когда используется автозаполнение для финансовых данных на сайтах без HTTPS шифрования. Чтобы избежать подобных проблем Куосманен рекомендует просто отказаться от автозаполнения, отключив его в настройках браузера.

Дело в том, что браузер Chrome хранит пароли простым текстом, с лёгким доступом к ним локальному пользователю.

Разработчик ПО Элиот Кембер назвал стратегию безопасности в Chrome «сумасшедшей», показав, что написав в адресной строке chrome://settings/passwords можно увидеть все пароли просто нажав кнопку «показать». В браузере нет возможности защитить их общим мастер-паролем, так что кто угодно, получив доступ к компьютеру, может в несколько кликов мышью узнать все сохранённые пароли.

На самом деле эта ситуация ничем не отличается от таковой в Firefox, где можно в настройках безопасности посмотреть скрытые сохраненные пароли. И хотя в браузере Mozilla и есть возможность ограждения доступа общим паролем, по умолчанию она выключена. В IE и Safari применяется другая схема. Там все пароли хранятся в менеджерах, доступ к которым возможен только после повторного ввода данных учётной записи пользователя, что схоже с обязательной схемой ввода мастер-пароля.

Джастин Шух, глава безопасности в команде Chrome, ответил, что отсутствие защищённого хранилища паролей предусмотрено изначально. Он заявил, что когда злоумышленник получает доступ к учётной записи вашего ПК, то по сути, это конец, поскольку он может использовать массу методов получить любую желаемую информацию, включая установку мониторингового ПО для получения мастер-пароля. Именно поэтому в Chrome и не используется возможность скрытия паролей, поскольку Google не хочет «давать пользователям чувство ложной безопасности».

Однако на сей раз фирма решила вернуться к текущей версии IE10 и вооружившись исследованиями компании NSS Labs показала, что её собственный обозреватель безопаснее продукции конкурентов.

Стоит отметить, что NSS Labs — это «независимая организация по исследованиям в области безопасности и тестировании», так что этим результатам вполне можно доверять.

Согласно исследованиям, когда речь заходит о реальных атаках, браузер IE10 работает лучше своих конкурентов. По уверениям разработчиков, их собственный обозреватель блокирует не менее 99% вредоносного ПО.

Компания объявила: «Chrome, Firefox и Safari все используют API безопасного сёрфинга от Google для блокировки подозрительных ссылок с уровнем успеха примерно в 10%. Большинство защит Chrome происходит после того как пользователи уже загрузили подозрительное ПО в форме предупреждения. Для сравнения, фильтрация адресов SmartScreen в Internet Explorer 10 сама блокирует также много, как и Chrome, и когда добавлена репутация приложения, IE10 блокирует более 99% вредоносного ПО».

Что касается уровня уязвимостей, то и тут собственная разработка Рэдмонда уверенно держит преимущество. Так за этот год было найдена 41 уязвимость в IE, в то время как Google пришлось исправить 291 уязвимость, а 257 опасных ошибок было объявлено для Mozilla Firefox.

Ну а учитывая то, что Microsoft в ближайшее время выпустит IE11 со значительными модификациями в обозревателе, стоит ожидать ещё лучших результатов не только в безопасности, но и в скорости работы Internet Explorer.