Google работает над новой функцией безопасности в Chrome.

17:24 МСК, 16 февраля 2019 г. Автор: Admin

Google анонсирует API браузера Trusted Types, новую защиту от XSS-атак на основе DOM.

Google создал новый API-интерфейс своего Интернет-обозревателя, который поможет Chrome бороться с определенными типами уязвимостей межсайтового скриптинга (XSS), добавив еще один уровень защиты на уровне браузера, чтобы защитить пользователей от попыток взлома.

Эта новая функция называется Trusted Types и представляет собой API-интерфейс браузера, над которым Google работает все последние месяцы. Инженеры компании планируют тестировать Trusted Types в течение всего 2018 года, между Chrome 73-ей и Chrome 76-ой версий, прежде чем развернуть его и включить в качестве постоянной функции безопасности для всех пользователей.

Эта новая функция безопасности была разработана с целью защиты пользователей от одного из трех типов недостатков межсайтового скриптинга - XSS на основе DOM (или типа 0). Два других типа XSS являются «отраженными» и «сохраненными». Подробная разбивка всех трех типов XSS доступна здесь для читателей, желающих узнать больше о XSS. По сути, XSS на основе DOM - это уязвимость безопасности, которая содержится в исходном коде веб-сайта.

Хакеры используют так называемые точки внедрения для вставки кода в DOM браузера (исходный код страницы), который выполняет нежелательные вредоносные операции - такие как кража файлов cookie, манипулирование содержимым страницы, перенаправление пользователей и.т.д. Надежные типы будут блокировать такие атаки, позволяя владельцам веб-сайтов изолировать известные «точки внедрения» в коде веб-сайта, которые часто являются основной причиной XSS на основе DOM.

Помимо этого, владельцы веб-сайтов могут включить предстоящую защиту доверенных типов Chrome, установив определенное значение в заголовке HTTP-ответа Content Security Policy (CSP). После включения, доступ к точкам внедрения DOM будет ограничен встроенным в Chrome API Trusted Types, блокируя любые атаки до того, как код эксплойта XSS сможет использовать DOM (исходный код страницы) для атаки на пользователей.

Учебное пособие о том, как владельцы веб-сайтов могут включать доверенные типы через заголовки CSP, а также о том, как пользователи могут настроить Chrome для использования более ранних версий API доверенных типов, доступно в блоге разработчиков Google. В этом же учебном пособии Кшиштоф Котович, (Krzysztof Kotowicz) инженер-программист из команды по информационной безопасности в Google, был настолько уверен в успехе API доверенных типов, что заявил, что эта новая функция «поможет уничтожить DOM XSS».

Дополнительная информация об API Trusted Types доступна в официальной спецификации группы сообщества веб-платформы (WICG). Надежные типы станут второй функцией защиты XSS в Chrome после XSS Auditor, который Google выпустил в Chrome 4-ой версии, еще в 2010 году. Согласно отчету Imperva, опубликованному в прошлом месяце, уязвимости XSS были наиболее распространенной формой сетевых атак с 2014-го по 2017-ый год включительно.

Это была вторая наиболее распространенная форма сетевых атак в прошлом году, которая отсутствовала только в верхней позиции из-за необычного всплеска взломов с использованием SQL-инъекций. XSS-уязвимости часто преуменьшаются компаниями и экспертами по безопасности, потому что они не всегда приводят к прямому ущербу для пользователей, получающих доступ к сайту.

Тем не менее, они часто являются первой ступенькой в сложных рутинных операциях, способствуя более опасным взломам. Устранение XSS-атак во многих случаях защитит пользователей от более сложных неприятностей, которые были бы невозможны без первоначальной опоры, обеспечиваемой XSS. Например, на этой неделе XSS на основе DOM подвергся воздействию Bootstrap, структуры пользовательского интерфейса, используемой примерно от 15 до 20 процентов всех интернет-сайтов. Сегодня, это огромная зона атаки для любого атакующего.
________________________________________________________________________________________________

Просмотров страницы:

0514

Еще статьи

Нет

Да

Была ли информация на этой странице полезной для вас?

Наверх

Instagram share buttons