Prečo Firefox odpočítava pri inštalovaní rozšírenia

DSL.sk, 27.8.2006

Na presné dôvody, ktoré viedli k doplneniu odpočítavania troch sekúnd pred povolením tlačítka Install v dialógu inštalovania rozšírenia vo Firefoxe, upozornilo aktuálne viacero užívateľov v niektorých internetových diskusiách.

Ako pravdepodobne väčšina užívateľov predpokladá, dôvody sú bezpečnostné.

Už v roku 2002 upozornil na možné zneužitie mechanizmu inštalovania rozšírení vtedy ešte v Mozille Jesse Ruderman v tomto oznámení chyby na stránkach Bugzilly.

Okamžité inštalovanie rozšírení umožňovalo stránkam pod kontrolou útočníkov automaticky nainštalovať na užívateľov systém rozšírenie so svojim škodlivým kódom tým, že užívateľa rozličnými trikmi donútili v potrebnom čase alebo stlačiť "y" alebo kliknúť na určené miesto na stránke.

Tesne predtým s presným načasovaním stránka automaticky otvorila .xpi súbor s rozšírením, takže užívateľ svojim vstupom potvrdil a povolil inštaláciu rozšírenia. Pri rozšírení malej veľkosti užívateľ inštaláciu vôbec nezaregistroval, keďže vo vtedajších verziách sa po inštalácii neotváralo automaticky okno so zoznamom rozšírení. Škodlivý kód mohol samozrejme hneď po aktivácii po prvom reštarte prehliadača infikovať iné súbory na PC a zo zoznamu rozšírení sa odstrániť.

Neskôr po zavedení súčasného 3-sekundového oneskorenia v prvej polovici roka 2004 u Mozilly 1.7 a Firefoxu 0.9 Ruderman zverejnil aj ukážkový kód, ktorý takýto spôsob útoku využíval.

Ukážkový útok cez stlačenie v tom čase potrebného "y" je pritom mimoriadne efektívny a v užívateľovi nevzbudí žiadne podozrenie, keď pracuje na stránkach, ktoré vyžadujú od užívateľa opísanie textu z obrázku pre potvrdenie, že ide o reálneho užívateľa.

Starší kód v súčasných verziách Firefoxu už ale pre niektoré iné zmeny v javascripte nepracuje vôbec, útok je ale stále rovnako možný a hrozí napríklad užívateľom, ktorí si úmyselne odstránili 3-sekundové odpočítavanie napríklad pomocou Disable XPI Install Delay rozšírenia.

V súčasnosti už ale bráni takémuto inštalovaniu aj zoznam povolených domén, z ktorých je možné rozšírenie inštalovať, ktoré samostatne ale neposkytuje plnú ochranu.




Najnovšie články:



Diskusia:

... Od: ... | Pridané: 27.8.2006 13:10 zaujimave. ale akosi som sa nad tym nejako neznepokojoval. Ved neinstalujem tak casto pluginy do Firefoxu ako ked klikam na na linky na nete :) Odpovedať Hodnotiť:

RemuS Od: RemuS | Pridané: 27.8.2006 13:39 lol, same rozirenia, este aj rozsirenia na rozsirenie rozsireni, alebo zmenu pridavania rozsireni.... OMG je mi zle :P Odpovedať Hodnotiť:

ioio Od: ioio | Pridané: 27.8.2006 14:41 neviem ci si lama,ale podla mna cim viac rozsireni uzitocnych tym lepsie Odpovedať Hodnotiť:

peto75 Od: peto75 | Pridané: 27.8.2006 19:36 Neviem, ci kvantita moze nahradit kvalitu. Ja osobne som par rozsireni po instalacii a odskusani aj hned odinstaloval, neboli podla mojich predstav, skor zdrzovali a komplikovali robotu. Odpovedať Hodnotiť:

Jano. Od: Jano. | Pridané: 27.8.2006 17:02 Najlepsie je mat Operu a hned ti odpada instalacia 150-tich rozliseni, lebo tieto funkcie na Opera uz v sebe. :-) Odpovedať Hodnotiť:

rch Od: rch | Pridané: 27.8.2006 20:38 :) Odpovedať Hodnotiť:

matto Od: matto | Pridané: 27.8.2006 21:34 jj :) Odpovedať Hodnotiť:

Franta101 Od: Franta101 | Pridané: 27.8.2006 21:48 ale ja chcem z tych 150 vyuzivat len 5 a zvysok mi bude zbytocne zavadzat a spomalovat pracu. Odpovedať Hodnotiť:

haha Od: haha | Pridané: 27.8.2006 22:07 Pekne, pekne...neviem co tu zas serete operu. Toto je diskusia o FF, takze bezte si tieto kecy vykrikovat na pieskovisko. Odpovedať Hodnotiť:

snake Od: snake | Pridané: 27.8.2006 23:31 a ty si co? Odpovedať Hodnotiť:

tom Od: tom | Pridané: 29.8.2006 9:39 Aký je váš názor na Maxthon Browser? Odpovedať Hodnotiť:

tom Od: tom | Pridané: 29.8.2006 11:31 Aký je váš názor na Maxthon Browser? Odpovedať Hodnotiť:

tom Od: tom | Pridané: 29.8.2006 11:34 Aký je váš názor na Maxthon Browser? Odpovedať Hodnotiť:

Rider Od: Rider | Pridané: 30.8.2006 17:27 Je super, cakal som, ci ho tu niekto spomenie. Ja sam ho uz pouzivam cca 2 roky a som nadmieru spokojny. Vrele odporucam, otvaranie noveho okna tlacitkom F1, prechadznie medzi otvorenymi oknami F2 a F3, proste super. Nemozem nan povedat kriveho slova. Odpovedať Hodnotiť:

Pridať komentár