Chrome

Google тества нова експериментална функция за проследяване на потребителска активност в Chrome, наречена Federated Learning of Cohorts (FLoC). Проучването обхваща 0,5% от потребителите на Chrome в избрани региони. Участниците обаче не са предупредени за това, нито е поискано съгласието им.

Можете да проверите дали браузърът ви е включен в провежданите тестове ТУК.

Предупреждаваме, че резултатът от проверката е актуален буквално за конкретния момент, тъй като Google може по всяко време да променя набора от потребители, включени в проучването. Така, ако към момента не сте част от тестовата група, може да станете – и обратното.

Какво е FLoC

Към момента, основната технология, използвана за проследяване на потребителското поведение онлайн, са бисквитките. Еволюцията на интернет, обаче, води до естествения им край – защото все повече потребители отказват да разрешат използването им и дори обратното, търсят начини да ги блокират. Затова Google (и не само те) се опитват да намерят други, по-ефективни начини.

Един от тях е FLoC – технология, която работи в браузъра ви (Chrome), анализира историята на сърфирането ви от последната седмица и ви причислява към групи с други потребители от цял свят с подобно на вашето поведение. Всяка група си има уникално FLoC ID, което може (и на практика е) споделяно с всяко приложение, с което взаимодействате в интернет през браузъра си.

Т.е. FLoC позволява т. нар. browser fingerprinting, а FLoC ID дава възможност рекламодателите по-лесно да ви идентифицират в браузъра и да ви профилират, като част от група, към която сте присъединени.

Как FLoC ви засяга като потребител

FLoC е нова технология със собствен алгоритъм за проследяване и анализиране на данните. Ако сте сред тестовите потребители на функционалността, това означава, че за периода на проучването ще бъдете проследявани както чрез FLoC, така и чрез традиционните бисквитки на трети страни (ако сте приели такива).

Как може да откажете да участвате в изпитването на FLoC

1. Ако искате да продължите да използвате Chrome, трябва да деактивирате бисквитките на трети страни. Това обаче може да затрудни навигацията в някои уебсайтове
2. Можете да използвате различен браузър: Понастоящем други браузъри – Firefox, Microsoft Edge, Brave, Vivaldi – твърдят, че нямат активиран FLoC. Firefox и Safari дори изключиха проследяването на трети страни по подразбиране още преди години
3. Ако притежавате уебсайт с достъп до API на FLoC или ако Chrome установи, че страницата ви обслужва реклами, автоматично ще бъдете включени в проучването. Можете изрично да откажете, като изпратите HTTP response header: Permissions–Policy: interest–cohort=()

Изследователите по киберсигурност от екипа Project Zero на Google, специализирани в откриването на 0-day уязвимости, публикуваха доклад от шест части, в който подробно описват сложна хакерска операция, засечена в началото на 2020 г.

Тя е насочена към собствениците на Android и Windows устройства. Атаките са извършени чрез два експлойт сървъра (единият, предназначен за Windows потребители, а другият – за Android), изпълняващи различни последователни експлойт събития (exploit chains) чрез т.нар. “Watering hole” метод за атака.

И двата експлойт сървъра са използвали уязвимости в Google Chrome, за да осигурят нерегламентиран достъп до устройствата на жертвите. Веднъж получили входна точка посредством браузъра, хакерите инсталират експлойт на ниво ОС, за да получат по-голям контрол върху устройството на жертвата.

Последователните експлойт събития включват комбинация от уязвимости, както от тип 0-day, така и n-day. 0-day се отнася за уязвимости, неизвестни за вендора към момента на експлоатиране, а n-day – за такива, които са били закърпени, но все още се наблюдава активното им експлоатиране.

Какво съдържат експлойт сървърите

• Четири „renderer“ грешки в Google Chrome, една от които все още не е била позната (0-day) на Google, когато е била открита от екипа на Project Zero
• Два експлойта, които са специализирани в това, да избягват засичането им в облачно базирани среди (sandboxing) и които ескплоатират три 0-day уязвимости в Windows
• Пакет за ескалиране на привилегиите (privilege escalation kit), съставен от публично известни n-day експлойти за по-стари версии на Android OS.

0-day уязвимостите са закърпени през пролетта на 2020г

• CVE-2020-6418 – Chrome Vulnerability in TurboFan (закърпен през Февруари 2020)
• CVE-2020-0938 – Font Vulnerability on Windows (закърпен през Април 2020)
• CVE-2020-1020 – Font Vulnerability on Windows (закърпен през Април 2020)
• CVE-2020-1027 – Windows CSRSS Vulnerability (закърпен през Април 2020)

Въпреки че на споменатите по-горе експлойт сървъри не са открити 0-day за Android, специалистите от Project Zero предполагат, че хакерите най-вероятно са имали достъп именно до такъв тип експлойт. Просто той не е бил хостнат на тези сървъри по времето на провеждане на изследването.

Google: Последователните експлойт събития са сложни и добре разработени

Google разкрива, че става дума за добре проектиран, сложен код, с разнообразие от нови методи за експлоатация, усъвършенствани и изчислени следексплоатационни техники и голям обем от антианализиращи и описващи защити.

Не се предоставят други подробности за нападателите или профила на таргетираните жертви.

В блога на Project Zero са налични още доклади по темата

Публикувани са и други доклади, свързани с „infinity bug“ в Google Chrome, който е използван при атаките, последователните експлойт събития, съответно при Chrome, Android, Windows, както и следексплоатационни техники, използвани отново при Android устройствата.

Предоставените доклади ще осигурят възможност на други вендори в областта на информационната сигурност да идентифицират подобни атаки срещу своите клиенти и да проследят и други сходни действия, извършени от същите злонамерени лица.

Препоръки

Разгледаната атака е поредното доказателство, че хакерите продължават да усъвършенстват и подобряват своите тактики, техники и процедури (TTPs).

Екипът на FreedomOnline.bg препоръчва винаги да използвате последната налична версия както на ниво ОС/фърмуер, така и на инсталираните програми/апликации. По този начин ще се предпазите от експлоатиране на вече известни уязвимости (n-day).

Внимавайте също така какво инсталирате на вашето устройство и какъв достъп разрешавате. За разлика от n-day, където един пач (patch) би елиминирал уязвимостта, при 0-day това само по себе си не е достатъчно, а са необходими мерки от типа на многопластова защита (defence-in-depth) и защитни механизми, които биха идентифицирали подозрително и нехарактерно поведение на устройствата.

Проведе се най-голямото и престижно хакерско състезание в Китай – Tianfu Cup.

Всички успешни експлойти са докладвани на съответните доставчици на софтуер, съгласно регламента на състезанието. Очакваме пачовете!

Many mature and hard targets have been pwned on this year’s contest. 11 out of 16 targets cracked with 23 successful demos:
Chrome, Safari, FireFox
Adobe PDF Reader
Docker-CE, VMware EXSi, Qemu, CentOS 8
iPhone 11 Pro+iOS 14, GalaxyS20
Windows 10 2004
TP-Link, ASUS Router
👍

— TianfuCup (@TianfuCup) November 8, 2020

Ако използвате Google Chrome, трябва незабавно да актуализирате браузъра до последната му версия – 86.0.4240.111. Така ще си спестите проблеми, засечени в по-старите му модификации, включително „срещата“ с zero-day уязвимост (CVE-2020-15999), активно експлоатирана за отвличане на набелязани компютри.

Друго подобрение в браузъра е връщането на настройката за получаване на съобщения с обидно съдържание от „разрешено“ на „по подразбиране“. Това означава, че ако потребителят не направи изрична промяна, спамът, идващ от оскърбителни сайтове, ще бъде автоматично скриван в браузъра.

Критична уязвимост в браузъра Chrome е запушена от Google в най-новата версия на приложението.

CVE-2020-6492 засяга Javascript API, което позволява на потребителите да генерират 2D и 3D изображения в браузъра. Казусът е WebGL компонента, която не управлява добре обектите в паметта, благодарение на което атакуващият може да изпълнява отдалечено кодове на засегнатата машина. Оценката на уязвимостта е 8.3 от 10, което я превръща в критична.

Ако не ползвате версия 85.0.4149.0 на Chrome, ъпдейтнете сега (под Windows може да се наложи браузърът да бъде рестартиран, за да приложите ъпдейта).

Прочетете повече по темата тук

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Последен ъпдейт на 8 април 2020 в 10:11 ч.

Google обмисля да върне възможността за показване на www и https в браузъра си Chrome. Най-вероятно това ще бъде допълнителна настройка на браузъра (вижте как ще изглежда тук). Тя е налична в Chrome 83 Canary.

Причината за връщането на информацията е сигурността на потребителите – които по-лесно ще могат да различават потенциално опасни сайтове.

Прочетете повече по темата тук

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Последен ъпдейт на 8 април 2020 в 10:11 ч.

Google все пак ще публикува нови версии на браузъра си Chrome и операционната система със същото име.

След като обяви, че планира да пропусне версии 81 и 82 и ще премине директно към версия 83 на браузъра, седмица по-късно лидерът в онлайн търсенето промени плановете си. Новата дата за публикуване на stable release на Chrome 81 е втората седмица на април (до 7 април).

Първоначалните планове на Google бяха Chrome 81 да бъде готов до средата на март 2020 г.

Версия 82 все пак ще бъде пропусната, а в средата на май (3 седмици по-рано от планираното) се очаква версия 83 на браузъра (негова Dev версия – 83.0.4093.3 – вече е налична).

„Продължаваме да следим за стабилността и сигурността на Chrome и Chrome OS,“ пише в официалния блог на Chrome.

Прочетете повече по темата тук

 

В рубриката Бързи новини подбираме водещи заглавия за вас и споделяме линкове към външни публикации. 

Ъпгрейднете вашия Google Chrome или всеки друг Chromium-базиран браузър веднага. Съветът идва от директора по сигурността на Google Джъстин Шух, след като от компанията потвърдиха съществуването на една от най-сериозните експлоатирани уязвимости в браузъра, носеща името CVE-2019-5786.

Какъв е проблема

Накратко, уязвимостта позволява придобиването на администраторски права върху атакуваната машина след като атакуващите са модифицирали данни в паметта на устройството. Иначе казано – използването на уязвимостта може да доведе до превземането на компютъра и злоупотребата с него, източване на информация и т.н.

Уязвимостта засяга FileReader, приложно-програмен интерфейс (API), включен в браузъра, който  позволява на уеб приложения да четата съдържанието на файлове, съхранявани на харддиска на потребителя. Тя е разкрита в края на февруари.

Кои са засегнатите браузъри

Освен Google Chrome, засегнати са и всички други браузъри, базирани на Chromium, сред които са:

• Opera
• Vivaldi
• Brave
• Blisk
• Colibri
• Epic Browser
• Iron Browser
• и др.

Какво да направите оттук нататък?

Най-просто казано: ъпгрейднете своя Chrome до версия 72.0.3626.121 още сега, докато четете този материал.

Ако не сте включили автоматичните ъпдейти, следвате стъпките по-долу или тук:

• Отворете Chrome на компютъра си.
• Горе вдясно кликнете върху „Още“ Още.
• Кликнете върху Актуализиране на Google Chrome. Ако не виждате този бутон, това означава, че вече разполагате с най-новата версия.
• Кликнете върху Стартиране отново.

Забавянето се дължи на API (Application Programming Interface), чиято поддръжка е изоставена от всички браузъри, освен Chrome. Въпреки това, компанията използва неподдържания софтуерен елемент за последния дизайн на YouTube.

YouTube page load is 5x slower in Firefox and Edge than in Chrome because YouTube’s Polymer redesign relies on the deprecated Shadow DOM v0 API only implemented in Chrome. You can restore YouTube’s faster pre-Polymer design with this Firefox extension: https://t.co/F5uEn3iMLR

— Chris Peterson (@cpeterso) July 24, 2018

Новият дизайн на уебсайта използва библиотеката Polymer, версия 1, която поддържа единствено Shadow DOM v0. Новите версии на библиотеката – 2 и 3 – биха разрешили проблема, тъй като поддържат Shadow DOM v1 – API, с което могат да работят и двата конкурента на Chrome.

През месец Май, YouTube сподели, че през сайта преминават близо 2 милиарда потребители всеки месец. С над 400 часа нови видеа всяка минута, би било неетично от страна на Google да дава функционално предимство на Chrome чрез внедряването на неподдържани технологии.

Това, което Питърсън предлага като решение на проблема е преминаването към предишния дизайн YouTube. Докато самия сайт не предлага такава функционалност, тя може да бъде постигната чрез външни добавки за Firefox и Edge.

Към момента липсва коментар от страна на интернет гиганта, както и от създателите на всички засегнати браузъри.

Бъдете винаги в крак с новините от света на информационната сигурност – станете наши фенове във Facebook.