211service.com
Een blauwdruk om browseraanvallen te stoppen
Aangezien door gebruikers gegenereerde inhoud online populairder is geworden, hebben websites gebruikers in toenemende mate toegestaan om bijvoorbeeld hun blogopmerkingen of berichten op sociale netwerksites met HTML-code aan te passen. Dit stelt echter ook websites bloot aan het risico van een type aanval dat bekend staat als cross-site scripting, waardoor aanvallers informatie van gebruikers kunnen stelen via een vertrouwde site.
Volgende week, bij de IEEE-symposium over beveiliging en privacy , in Oakland, CA, onderzoekers van de Universiteit van Illinois in Chicago zal een nieuwe manier bieden om te verdedigen tegen cross-site scripting. Met deze aanpak kan een website bepalen hoe door gebruikers gegenereerde inhoud naar een webbrowser wordt verzonden, waardoor cross-site scripting-aanvallen mogelijk worden geneutraliseerd voordat ze het beoogde slachtoffer kunnen bereiken.
Cross-site scripting houdt in dat de browser van een gebruiker een ongeautoriseerd script uitvoert dat ergens op de pagina's van een ogenschijnlijk betrouwbare website is geïnjecteerd. Door het script kan een aanvaller de inloggegevens van een gebruiker of andere gevoelige informatie stelen.
Cross-site scripting is de meest voorkomende kwetsbaarheid op internet, zegt Jeremia Grossman , oprichter en chief technology officer voor White Hat-beveiliging , die niet bij het onderzoek betrokken was. Het is een soort kakkerlak in de industrie. Grossman zegt dat nieuwere websites beter zijn toegerust om zich te verdedigen tegen cross-site scripting, maar er zijn nog steeds miljoenen kwetsbare sites op internet. We hebben alternatieven nodig voor het repareren van de code, zegt hij.
De onderzoekers van de University of Illinois hebben een softwarelaag ontwikkeld, Blueprint genaamd, die webontwikkelaars kunnen invoegen tussen door gebruikers gegenereerde pagina's en de browser. De onderzoekers ontwierpen Blueprint om te werken met acht grote browsers, die meer dan 96 procent van het huidige marktaandeel uitmaken, en testten het systeem tegen 94 soorten cross-site scripting-aanvallen die afkomstig waren van een internetopslagplaats genaamd XSS Cheat Sheet. Ze ontdekten dat het elke aanval op de lijst met succes heeft voorkomen.
Blueprint staat op de servers van een website, leest door gebruikers gegenereerde HTML en vergelijkt deze met een witte lijst met vertrouwde code. Het verwijdert alle potentieel schadelijke scripts en beslist hoe de inhoud in een browser moet verschijnen. Vervolgens formatteert het de informatie opnieuw en verzendt het naar de browser. Blueprint zorgt er bijvoorbeeld voor dat tekens en symbolen worden vermeden die soms worden gebruikt om ongeautoriseerde scriptsignalen naar de browser van een gebruiker te sturen. Niet-schadelijke inhoud zou het proces onaangetast moeten halen, zeggen de onderzoekers.
De wortel van het probleem, legt uit: VN Venkatakrishnan , een assistent-professor in de informatica die bij het project betrokken was, is dat browsers oorspronkelijk waren ontworpen om slecht geschreven webpaginacode te vergeven. Browsers proberen elk type slecht opgemaakte inhoud zo goed mogelijk weer te geven, zegt hij.
In de loop der jaren hebben verschillende browsers hun eigen manieren ontwikkeld om slecht opgemaakte inhoud te interpreteren. Aanvallers kunnen hiervan profiteren door HTML in te voegen die als script in de juiste browser wordt uitgevoerd. Dit maakt het probleem van het filteren van HTML-inhoud voor scripts zeer, zeer uitdagend, zegt Venkatakrishnan. Er worden inspanningen geleverd om de manier waarop browsers werken te veranderen, maar de onderzoekers zeggen dat er in de tussentijd een andere oplossing nodig is.
Wat we willen doen, is de mogelijkheid wegnemen voor de parser van de browser om scriptidentificatiebeslissingen te nemen over de niet-vertrouwde inhoud die door de webtoepassing wordt geleverd, zegt Venkatakrishnan.
Robert Hansen , CEO en oprichter van het internetbeveiligingsbedrijf SecTheory, dat de XSS Cheat Sheet onderhoudt, zegt dat, hoewel Blueprint beschermt tegen de meeste grote cross-site scriptingbedreigingen, het niet alle mogelijke bedreigingen dekt. Er zijn andere manieren om dingen in een browser weergegeven te krijgen, en helaas dekt dit geen van deze, zegt hij.
Hansen voegt eraan toe dat het systeem van de onderzoekers inhoud beschermt door het in een script te wikkelen dat zoekmachines niet kunnen lezen. Dit is geen wondermiddel, zegt hij, maar dat is het grote probleem. Hansen zegt dat cross-site scripting een te complex probleem is om te stoppen zonder de browser te veranderen.