19 Февраля 2002 14:02 19 Фев 2002 14:02 |

Прокси-серверы SafeWeb подвержены JavaScript-атакам

Эксперт Бостонского Университета Дэвид Мартин (David Martin) и сотрудник фонда Privacy Foundation Эндрю Шульман (Andrew Shulman) опубликовали отчет, наглядно демонстрирующий легкость, с которой прокси-сервер компании SafeWeb может быть атакован с помощью средств JavaScript.

Оказалось, что пользователь SafeWeb защищен менее, чем любой другой среднестатистический пользователь Сети, поскольку узнать о его онлайновых предпочтениях можно очень легко. Легкость эта обеспечивается тем, как SafeWeb взаимодействует со сценариями JavaScript, - вместо его отключения, что почти всегда приводит к нарушению функциональности сайта, используется программа перезаписи сценариев в собственные программы прокси-сервера, цель которой - сделать недоступной личную информацию о клиенте. Пользователь может использовать эту функцию в двух режимах - "рекомендованном" и "параноидальном", при котором исполнение каких-либо сценариев JavaScript на стороне клиента практически запрещено.

Однако, как выяснили эксперты, оба эти режима можно довольно легко обойти, и в "рекомендованном" режиме безопасности одной строки кода на JavaScript будет достаточно, чтобы потенциальный хакер узнал IP-адрес клиента.

Однако это еще не все. Заботясь о все той же онлайновой анонимности, разработчики SafeWeb создали так называемую технологию "master-cookie", значительно отличающуюся в принципах своей работы от традиционной технологии файлов cookie. По мнению разработчиков из SafeWeb, это обеспечит пользователю дополнительный уровень защиты, поскольку cookie какого-либо веб-ресурса не могут попасть на машину пользователя в случае, если сторону клиента представляет собой анонимный прокси-сервер. Однако именно "master-cookie" регистрирует историю каждого выхода пользователя в Сеть, и в этой истории регистрируются данные всех cookie, которые сервер пытается передать клиенту.

Поскольку сам веб-ресурс не имеет технической возможности связать эти данные с конкретным пользователем, то данная технология, безусловно, оправдана с точки зрения безопасности, однако, как оказалось, сам "master-cookie" может быть атакован, и тогда злоумышленник сможет не только прочесть его содержимое, но и изменить настройки пользователя, переключив, например, режимы с "параноидального" на "рекомендованный".

Все это, очевидно, не согласуется с основной задачей, декларируемой SafeWeb, а именно с обеспечением анонимности пользователей Сети, живущих в таких неблагополучных с точки зрения гражданских свобод странах, как Китай и Саудовская Аравия, где доступ к информации контролируется правительством, а не в меру любопытный пользователь может попасть за решетку. По этому поводу в опубликованном отчете говорится, что, получив в свое распоряжение данные "master-cookie" или транскрипции выходов в Сеть, цензоры смогут узнать не только о том, кто пользуется SafeWeb, но и какие сайты посещают такие пользователи. Изучение cookie может привести к раскрытию индивидуальных номеров, связанных с различными членствами или подписками, а также коммерческими сделками или даже идентификационными номерами.

VPN под ударом. Рынок VDI ждет бурный рост? безопасность

Авторами публикации зарегистрированы прецеденты проведения успешных атак на пользователей SafeWeb, пользующихся "параноидальным" режимом, в котором функции сценариев JavaScript сведены к минимуму.

Отметим, что сама компания SafeWeb больше не занимается распространением бесплатного анонимного прокси-сервера, делегировав эту функцию компании PrivaSec.