שוק חולשות "דו-שבועי" לדפדפן כרום
עמי רוחקס דומבה
| 11/12/2019
https://youtu.be/ppW_soCb6wM
הרצאה של ג'ון קוקטסו, חוקר מחברת מיקרוסופט, בנושא מעקפים ליכולת "בידוד האתרים" (Site Isolation) של דפדפן הכרום מציפה מידע לגבי שוק חולשות לדפדפן זה. בהרצאה חושף קוקטסו שיטות שונות למעקף מנגנון ההגנה של הדפדפן. במקור, מנגנון זה נועד למנוע מתוקף יכולת לנצל במקביל מספר תהליכים שמריץ הדפדפן. כלומר, אם תהליך אחד נפרץ, התוקף לא יוכל בהתבסס עליו להגיע לתהליכים אחרים. ובכן, בהקצאה מציג קוקטסו מספר דרכים לעשות זאת.
במהלך ההרצאה מדבר החוקר על שוק חולשות לדפדפן הכרום שמבוסס על דינמיקת קהילת הקוד הפתוח של פרויקט Chromium, עליו מבוסס הדפדפן. כחלק מדינמיקה זו, מפתחים מכל העולם מדווחים לגוגל על חולשות. הזמן הדרוש לתיקון כל חולשה כזו על מנת שיגיע עדכון לדפדפן לוקח בממוצע שבועיים. פער הזמן הזה מכונה בעגה מקצועית Patch-Gapping.
מכיוון שההליך שקוף לחברי קהילת הקוד הפתוח, האקרים או קבוצות תקיפה מנטרים את הפורומים הללו בהם מדווחים על חולשות בקוד, ומנצלים את פער הזמן על מנת להשמיש את החולשה ולמכור אותה למרבה במחיר. הצרכן מצידו יודע שהחולשה תחזיק בממוצע שבועיים, אך בפרק הזמן הזה הוא יכול לבצע פעולות זדוניות על דפדפן הכרום. כמה משתמשים יש לכרום? ובכן, ישנם בעולם כ4.5 מיליארד גולשים, מתוכם, כ60 אחוזים משתמשים בכרום. מדובר בהרבה מאד משתמשים שאפשר לנצל במהלך השבועיים הללו, מהרגע שחולשה נחשפת בקהיליית הקוד הפתוח, עד שגוגל משחררת עדכון למשתמשים.
https://youtu.be/ppW_soCb6wM
הרצאה של ג'ון קוקטסו, חוקר מחברת מיקרוסופט, בנושא מעקפים ליכולת "בידוד האתרים" (Site Isolation) של דפדפן הכרום מציפה מידע לגבי שוק חולשות לדפדפן זה. בהרצאה חושף קוקטסו שיטות שונות למעקף מנגנון ההגנה של הדפדפן. במקור, מנגנון זה נועד למנוע מתוקף יכולת לנצל במקביל מספר תהליכים שמריץ הדפדפן. כלומר, אם תהליך אחד נפרץ, התוקף לא יוכל בהתבסס עליו להגיע לתהליכים אחרים. ובכן, בהקצאה מציג קוקטסו מספר דרכים לעשות זאת.
במהלך ההרצאה מדבר החוקר על שוק חולשות לדפדפן הכרום שמבוסס על דינמיקת קהילת הקוד הפתוח של פרויקט Chromium, עליו מבוסס הדפדפן. כחלק מדינמיקה זו, מפתחים מכל העולם מדווחים לגוגל על חולשות. הזמן הדרוש לתיקון כל חולשה כזו על מנת שיגיע עדכון לדפדפן לוקח בממוצע שבועיים. פער הזמן הזה מכונה בעגה מקצועית Patch-Gapping.
מכיוון שההליך שקוף לחברי קהילת הקוד הפתוח, האקרים או קבוצות תקיפה מנטרים את הפורומים הללו בהם מדווחים על חולשות בקוד, ומנצלים את פער הזמן על מנת להשמיש את החולשה ולמכור אותה למרבה במחיר. הצרכן מצידו יודע שהחולשה תחזיק בממוצע שבועיים, אך בפרק הזמן הזה הוא יכול לבצע פעולות זדוניות על דפדפן הכרום. כמה משתמשים יש לכרום? ובכן, ישנם בעולם כ4.5 מיליארד גולשים, מתוכם, כ60 אחוזים משתמשים בכרום. מדובר בהרבה מאד משתמשים שאפשר לנצל במהלך השבועיים הללו, מהרגע שחולשה נחשפת בקהיליית הקוד הפתוח, עד שגוגל משחררת עדכון למשתמשים.
