חוקרים מצאו נקודות תורפה במערכת ההפעלה כרום

בגוגל (Google) טוענים, כי מערכת ההפעלה כרום (Chrome) מציגה פריצת דרך בתחום האבטחה, משום שהיא חסינה בפני האיומים המסורתיים שפוגעים מזה עשרות שונים במחשבי PC. מאחר שמרבית הנתונים לא מאוחסנים במחשב המקומי והיישומים אינם פועלים בו, תוקפים שמנצלים פרצות אינם יכולים לפגוע כמעט אף פעם בנתונים רגישים.

אולם, על פי שני חוקרים שהקדישו את החודשים האחרונים לניתוח גרסת הבטה של כרום ששוחררה בדצמבר האחרון, מערכת ההפעלה, המבוססת על דפדפן, חשופה לאותם איומים שממתינים לגולשים באתרי האינטרנט. לדבריהם, הפרצות הרלוונטיות עשויות להעניק לתוקפים גישה גם לדואר האלקטרוני, למסמכים ולסיסמאות של משתמשי מערכת ההפעלה כרום – אפילו אם האיחסון בפועל נעשה בשרתי גוגל.

"למרות אמצעי האבטחה המתקדמים, בעיות האבטחה רק עוברות למיחשוב ענן", אמר אחד החוקרים, מאט ג'והנסן מחברת Whitehat Security. לדבריו, "אנחנו מתמודדים בדיוק עם אותן בעיות אבטחה שעמן התמודדנו גם קודם, רק שהפעם הן בענן. דברים רבים נעשו בצורה נכונה, אבל אי אפשר לומר ששמנו קץ לבעיות".

כמעט כל האיומים שגילו ג'והנסן ועמיתו, קייל אוסבורן, נובעים מההתבססות של כרום על הרחבות שהן, למעשה, יישומי אינטרנט. חלק גדול מההרחבות שנבדקו סובלות מפרצות XSS (קרי – Cross site scripting), שעלולות לאפשר השתלה של קוד עוין ותכנים זדוניים במחשבי המשתמשים, ובחלק מהמקרים גם לגנוב שמות משתמש וסיסמאות שמשמשות לאימות הזהות בחשבונות שלהם.

בין השאר גילו החוקרים שבמקרים רבים מאפשר באג בהרחבה אחת לחדור לתקשורת של הרחבה אחרת – אפילו אם בהרחבה האחרת אין שום פרצה. השניים הציגו אתמול (ד') בוועידת האבטחה Black Hat, שנערכת בלאס ווגאס, את נקודת התורפה, ותוך ניצול של פרצת XSS בהרחבה אחת הם גנבו סיסמאות מחשבון בטוח בשירות LastPass, שמשמש לאיחסון סיסמאות בענן.

"כשבהרחבה אחרת כלשהי יש פרצת XSS, אנחנו יכולים להיעזר בקוד ג'אווה-סקריפט (JavaScript) כדי לחדור לתקשורת", אמר ג'והנסן. "אין שום פגם בשירות LastPass לכשעצמו. אפילו אם הרחבה מסוימת נהנית מאבטחה מושלמת, הרי שבעזרת פרצת XSS בהרחבה אחרת אפשר לגשת למידע שביישומים הבטוחים לכאורה".

"מי צריך לתקן את הבעיה?", תהו החוקרים והשיבו מיד: "אין לנו תשובה חד משמעית. כאמור, אין בשירות LastPass לכשעצמו שום פגם. הפרצה נמצאת בכלל בהרחבה אחרת".