Google Chrome nettleseren er den mest brukte av brukere over hele verden, faktisk indikerer statistikk fra slutten av fjoråret at mer enn 65 % av internettbrukerne bruker denne nettleseren. Langt unna har vi andre nettlesere som Firefox eller Safari for eple datamaskiner. Men de siste årene har mer alvorlige sårbarheter dukket opp i Googles nettleser, hvorfor er dette? Hvorfor var det ikke så mange sikkerhetsfeil før, og det er det nå? I dag i denne artikkelen skal vi forklare det for deg.
Flere og flere sårbarheter dukker opp
I Googles sikkerhetsblogg finner vi flere og flere sikkerhetsfeil i Chrome-nettleseren, det ser ut til at det har vært en ganske betydelig økning i sikkerhetsbristene som er funnet, og hvordan nettkriminelle utnytter seg til å lansere utnyttelser og forsøke å infisere brukere. brukere. Men ettersom de kommenterer den offisielle sikkerhetsbloggen, er dette ikke tilfelle.
Hovedårsaken til at Chrome nå ser ut til å ha flere sikkerhetsfeil er fordi det har mer synlighet for angripere , faktisk er dette en god ting, fordi det betyr at de kan svare på disse sårbarhetene med patcher mye raskere enn før, med det formål å beskytte brukerne. For noen år siden hadde ikke sårbarhetene i Chrome så mye synlighet, selv om det kan virke som det ikke var noen feil, det var det, men de var "skjult". Nå har dette endret seg radikalt og gjør at Google kan løse dem mye tidligere, i tillegg lærer de også hvordan ekte angripere opererer.
Googles Project Zero-team har offentlig sporet alle zero-day sikkerhetsfeil, dvs. ukjente sårbarheter som angripere utnytter til sin fordel. I den følgende grafen kan du se de viktigste nettleserne og de relaterte sikkerhetsfeilene, med spesiell oppmerksomhet til den nå nedlagte Flash og også til WebKit, selv om de ikke er nettlesere, var de eller er en del av nettlesere på en veldig viktig måte.
Som du har sett, mellom 2015 og 2018 ser det ut til at det ikke var noen sikkerhetsfeil i Google Chrome, noe som ikke er mulig. Teamet oppdaget ingen 0-dager i løpet av disse årene, men det tyder ikke på at det ikke var noen, og at de ble snikende utnyttet av nettkriminelle. Fra og med 2019 har sikkerhetsfeilene i Chrome vokst veldig betydelig, men dette er fordi de rett og slett har mer synlighet enn før, det vil si at det er mer åpenhet med 0-dager.
En annen av grunnene til at Google-tjenestemenn har kommentert er at Chrome fortsetter å vokse og øke sin andel av bruken, dette betyr at nettkriminelle er mer fokusert på denne nettleseren fordi det kan påvirke flere potensielle ofre. Nettkriminelle ønsker alltid å tjene penger, og målene deres prøver å være svært mange, med sikte på å gjøre så mye skade som mulig. Det gir ingen mening å bruke mye ressurser på en sjeldent brukt nettleser, fordi de potensielle ofrene vil være få i antall. Vi bør også huske på at før 2019 blir Flash alltid angrepet, fordi det var en programvare som var en ekte 0-dagers sniking, og med forsvinningen har nettkriminelle fokusert mer på Chrome.
Vi bør også huske på at tidligere var det bare nødvendig med én 0-dagers feil for å kompromittere nettleseren, nå trengs minst to. Den første feilen vil tjene til å kjøre koden, og en annen feil vil føre til at denne koden forlater sandkassen som brukes av Chrome, så dette "fetter" statistikken. Endelig er Chrome-nettleseren mye mer kompleks enn før, og dette fører til programmeringsfeil og antall mulige 0-dager har vokst, for å dempe dette problemet litt, fortsetter de å forbedre sandkassen for å isolere alle nettsider.
Oppsummert er grunnene til at Chrome nå ser ut til å ha flere sikkerhetsfeil:
- Større åpenhet når du kommuniserer 0-dagers sikkerhetsfeil til brukere.
- Utviklingen av angriperne, de har forlatt Flash for å fokusere på populariteten til Chrome.
- Det krever minst to sikkerhetsfeil i stedet for en enkelt feil for å kompromittere gjengivelsesprosessen og sandkassen, så dette multipliserer statistikken. Det er også mulig at flere feil må lenkes sammen for å oppnå ett enkelt trinn.
- Mer kompleks programvare og flere mulige programmeringsfeil.
Selv om det dukker opp flere og flere feil, er Chrome-teamet sterkt involvert i flere prosjekter som tar sikte på å gi best mulig sikkerhet:
- Forbedret nettstedsisolasjon, spesielt på Android
- Heap sandbox: Vil hindre angripere fra å bruke JavaScript JIT-kompileringsfeil.
- MiraclePtr og *Scan-prosjekter for å unngå å utnytte de største prosessfeilene i nettleseren.
- Skriv deler av Chrome med minnesikre programmeringsspråk. Dette representerer vanligvis opptil 70 % av utnyttbare sikkerhetsfeil.
- Metoder for å redusere 0-dagers feil.
Som du kan se, selv om antallet 0-dagers varsler fra Chrome har økt, betyr det ikke at det ikke var noen før, bare at de ikke kommuniserte.
