Потенциальная уязвимость в технологии CSS Shaders

15.12.2011 20:05

Адам Барт (Adam Barth), ответственный за безопасность браузера Chrome, опубликовал информацию о потенциальной опасности раскрытия конфиденциальной информации интернет-пользователей с помощью технологии CSS Shaders, предложенной к включению в стандарт CSS.

Технология CSS Shaders позволяет применять шейдеры к различным элементам веб-страницы, открывая огромный простор для графических дизайнеров и программистов веб-сайтов. Однако, по мнению Адама Барта такая технология по своей природе имеет изъян, который позволяет разработчику веб-сайта применить тайминг-атаку для получения текущего содержимого того или иного элемента веб-страницы.

В качестве примера Адам приводит различные кнопки "Like", "+1", а также блоки "iframe", в которых открыты другие сайты. Злоумышленник может создать страницу, которая будет содержать в себе "iframe", в котором будет открываться другая страница, содержащая конфиденциальную информацию пользователя. С помощью CSS Shaders злоумышленник также может применить к этому "iframe" специальный шейдер, который будет проходить по участкам полученного на вход изображения и применять к ним тот или иной метод трансформации. В зависимости от содержимого участка эта операция будет занимать разное количество времени, после измерения которого злоумышленник сможет достаточно точно восстановить оригинальное изображение и, таким образом, получить доступ к данным пользователя.

Несмотря на чрезвычайную сложность выполнения такой атаки и отсутствие доказательств существования уязвимости в виде работающего эксплойта, разработчики других web-браузеров из компаний Apple, Adobe (которая развивает свою собственную версию WebKit с более полной поддержкой CSS3/CSS4) и Opera подтвердили наличие проблемы, но пришли к заключению, что тревогу бить пока рано.

Интересно, что не так давно аналогичная уязвимость была найдена в технологии WebGL, для которой даже был представлен работающий эксплойт. Однако разработчики быстро устранили проблему с помощью запрета использования в качестве источника данных не авторизованные заранее веб-сайты.

исправить +5 +/–

Автор новости: Evgeny Zobnin

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/32574-css

Ключевые слова: css, shaders, webgl, webkit

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (10)

1.2, Аноним (-), 21:02, 15/12/2011 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
а что, нельзя просто передать данные картинки шейдером вражескому скрипту из коего он запущен? :)

1.8, cobold (ok), 23:57, 15/12/2011 [ответить] [﹢﹢﹢] [ · · · ]	+3 +/–
А раньше можно было подключиться осциллографом к электропроводке жертвы и проанализировав помехи воспроизвести что у неё на экране. Наверное даже проще чем по сабжу.

2.9, all_glory_to_the_hypnotoad (ok), 00:09, 16/12/2011 [^] [^^] [^^^] [ответить]	+/–
это и сейчас можно, но уже не через проводку, а просто со специальной антенной

1.12, VolanD (ok), 07:30, 16/12/2011 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
>[оверквотинг удален] > Технология CSS Shaders позволяет применять к шейдеры к различным элементам веб-страницы, > открывая огромный простор для графических дизайнеров и программистов веб-сайтов. Однако, > по мнению Адама Барта такая технология по своей природе имеет изъян, > который позволяет разработчику веб-сайта применить тайминг-атаку для получения текущего > содержимого того или иного элемента веб-страницы. > В качестве примера Адам приводит различные кнопки "Like", "+1", а также блоки > "iframe", в которых открыты другие сайты. Злоумышленник может создать страницу, которая > будет содержать в себе "iframe", в котором будет ... > URL: http://www.theregister.co.uk/2011/12/14/browser_image_theft_threat/ > Новость: http://www.opennet.dev/opennews/art.shtml?num=32574 Простите, я не силен в вэб программировании, но это те самые шейдеры, которые используются при программировании GPU?

2.21, nagual (ok), 17:19, 16/12/2011 [^] [^^] [^^^] [ответить]	+/–
ТЫ что такие сложные вопросы задаешь :-)) тут народ восновном в шапочках из оберток для шоколадок шарит :-)) Не те это шейдеры.

3.22, VolanD (ok), 18:41, 16/12/2011 [^] [^^] [^^^] [ответить]	+1 +/–
> ТЫ что такие сложные вопросы задаешь :-)) тут народ восновном в шапочках > из оберток для шоколадок шарит :-)) > Не те это шейдеры. А какие, если не секрет?

4.23, nagual (ok), 21:24, 16/12/2011 [^] [^^] [^^^] [ответить]	+/–
Те что в графике шейдеры уже работают, а эти только только выпилить хотять и то с треском :-))

4.24, Maxim Filatov (?), 09:34, 18/12/2011 [^] [^^] [^^^] [ответить]	+/–
> А какие, если не секрет? Вот эти: https://dvcs.w3.org/hg/FXTF/raw-file/tip/custom/index.html

1.14, A_n_D (ok), 08:35, 16/12/2011 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
>но пришли к заключению, что тревогу бить пока рано. Не рано будет, когда технология распространится и её уже будет не выпилить.

2.17, Аноним (-), 13:54, 16/12/2011 [^] [^^] [^^^] [ответить]

+2 +/–

>>но пришли к заключению, что тревогу бить пока рано.
> Не рано будет, когда технология распространится и её уже будет не выпилить.

Эта история повторялась в IT уже достаточное количество раз. А мыши так и продолжают с рыданиями жрать кактусы...

игнорирование участников | лог модерирования

Добавить комментарий

Текст: