¿Aún tienes que actualizar a Android 4.4 KitKat? Aquí hay algo que podría darle un poco de estímulo para hacer el cambio: se ha descubierto un problema serio con el navegador de valores en los teléfonos anteriores a KitKat, y podría permitir que los sitios web maliciosos accedan a los datos de otros sitios web. Suena aterrador? Esto es lo que necesita saber
El problema, que fue descubierto por el investigador Rafay Baloch, ve que los sitios web maliciosos pueden inyectar JavaScript arbitrario en otros marcos, lo que podría hacer que se robaran las cookies o que se interfiriera directamente la estructura y el marcado de los sitios web.
Los investigadores de seguridad están desesperadamente preocupados por esto, y Rapid7, los creadores del popular marco de prueba de seguridad Metasploit, lo describen como una "pesadilla de privacidad". Curioso acerca de cómo funciona, por qué debería estar preocupado y qué puede hacer al respecto. Sigue leyendo para más información.
Un principio de seguridad básica: anulado
El principio básico que debería evitar que este ataque ocurra en primer lugar se llama Política de Mismo Origen. En resumen, significa que el JavaScript del lado del cliente que se ejecuta en un sitio web no debe interferir con otro sitio web.
Esta política ha sido la base de la seguridad de las aplicaciones web, desde que se introdujo por primera vez en 1995 con Netscape Navigator 2. Cada navegador web ha implementado esta política como una característica de seguridad fundamental y, como resultado, es increíblemente raro ver tales una vulnerabilidad en la naturaleza.
Para obtener más información sobre cómo funciona el SOP, es posible que desee ver el video anterior. Esto fue tomado en un evento de OWASP (Open Web App Security Project) en Alemania, y es una de las mejores explicaciones del protocolo que he visto hasta ahora.
Cuando un navegador es vulnerable a un ataque de derivación SOP, hay mucho espacio para el daño. Un atacante podría hacer cualquier cosa, desde el uso de la API de ubicación introducida con la especificación de HTML5 para averiguar dónde se encuentra la víctima, hasta el robo de cookies.
Afortunadamente, la mayoría de los desarrolladores de navegadores toman este tipo de ataque en serio. Lo que hace que sea aún más notable ver tal ataque 'en la naturaleza'.
Cómo funciona el ataque
Por lo tanto, sabemos que Same Origin Polity es importante. ¿Y sabemos que una falla masiva del navegador de stock de Android puede conducir a que los atacantes eludan esta medida de seguridad crucial? pero como funciona?
Bueno, la prueba de concepto dada por Rafay Baloch se parece un poco a esto:
¿Entonces que tenemos aqui? Bueno, hay un iFrame. Este es un elemento HTML que se usa para permitir que los sitios web incorporen otra página web dentro de otra página web. No se usan tanto como solían ser, en gran parte porque son una pesadilla SEO 10 Errores comunes de SEO que pueden destruir su sitio web [Parte I] 10 Errores comunes de SEO que pueden destruir su sitio web [Parte I] Lea más. Sin embargo, a menudo las encuentra de vez en cuando, y todavía forman parte de la especificación HTML, y aún no se han desaprobado.
A continuación se muestra una etiqueta HTML que representa un botón de entrada. Esto contiene algunos JavaScript especialmente diseñados (¿advierte que detrás de '\ u0000'?) Que, al hacer clic, genera el nombre de dominio del sitio web actual. Sin embargo, debido a un error en el navegador de Android, termina accediendo a los atributos del iFrame y termina imprimiendo 'rhaininfosec.com' como un cuadro de alerta de JavaScript.
En Google Chrome, Internet Explorer y Firefox, este tipo de ataque simplemente se equivocaría. Dependiendo del navegador, también generaría un registro en la consola de JavaScript informando que el navegador bloqueó el ataque. Excepto que, por alguna razón, el explorador de stock en dispositivos anteriores a Android 4.4 no hace eso.
Imprimir un nombre de dominio no es terriblemente espectacular. Sin embargo, tener acceso a cookies y ejecutar JavaScript arbitrario en otro sitio web es bastante preocupante. Afortunadamente, hay algo que se puede hacer.
¿Qué se puede hacer?
Los usuarios tienen algunas opciones aquí. En primer lugar, deje de usar el navegador de stock de Android. Es viejo, es inseguro y hay opciones mucho más atractivas en el mercado en este momento. Google lanzó Chrome para Android Google Chrome finalmente se lanza para Android (solo ICS) [Noticias] Google Chrome finalmente se lanza para Android (sólo ICS) [Noticias] Lea más (aunque, solo para dispositivos que ejecuten Ice Cream Sandwich y versiones superiores), y hay incluso las variantes móviles de Firefox y Opera están disponibles.
Especialmente vale la pena prestarle atención a Firefox Mobile. Además de ofrecer una experiencia de navegación increíble, también te permite ejecutar aplicaciones para el propio sistema operativo móvil de Mozilla, Firefox OS Top 15 aplicaciones de Firefox OS: la lista definitiva para nuevos usuarios de Firefox OS Top 15 aplicaciones de Firefox OS: la lista definitiva para nuevas Usuarios de Firefox OS Por supuesto que hay una aplicación para eso: es tecnología web, después de todo. El sistema operativo móvil de Mozilla Firefox OS que, en lugar del código nativo, usa HTML5, CSS3 y JavaScript para sus aplicaciones. Lea más, e instale una gran cantidad de complementos increíbles Complementos imprescindibles para Firefox en su dispositivo Android Complementos imprescindibles para Firefox en su dispositivo Android Firefox para Android tiene un truco bajo su manga: complementos. Del mismo modo que Firefox ofrece un sistema de extensión más potente que Chrome en el escritorio, supera a Chrome para Android al admitir extensiones. Puede instalar ... Leer más.
Si quieres ser especialmente paranoico, incluso hay una migración de NoScript para Firefox Mobile. Sin embargo, debe tenerse en cuenta que la mayoría de los sitios web dependen en gran medida de JavaScript para mostrar las sutilezas del lado del cliente. ¿Qué es JavaScript y cómo funciona? [Tecnología explicada] ¿Qué es JavaScript y cómo funciona? [Tecnología explicada] Lea más, y el uso de NoScript casi con seguridad romperá la mayoría de los sitios web. Esto, tal vez, explica por qué James Bruce lo describió como parte de la 'tripleta del mal AdBlock, NoScript & Ghostery - La Trifecta del Mal AdBlock, NoScript & Ghostery - La Trifecta del Mal. En los últimos meses, me he puesto en contacto con un buen número de lectores que han tenido problemas para descargar nuestras guías, o por qué no pueden ver los botones de inicio de sesión o los comentarios que no se están cargando; y en ... Leer más '.
Finalmente, si es posible, se le animará a actualizar su navegador Android a la última versión, además de instalar la última versión del sistema operativo Android. Esto garantiza que, si Google publica una solución para este error más adelante, estás protegido.
Aunque, vale la pena señalar que hay rumores de que este problema podría afectar a los usuarios de Android 4.4 KitKat. Sin embargo, no ha surgido nada que sea lo suficientemente sustancial como para aconsejar a los lectores que cambien navegadores.
Un error importante de privacidad
No se equivoque, este es un importante problema de seguridad de teléfonos inteligentes Lo que realmente necesita saber sobre la seguridad de los teléfonos inteligentes Lo que realmente necesita saber sobre la seguridad de los teléfonos inteligentes Lea más. Sin embargo, al cambiar a un navegador diferente, te vuelves virtualmente invulnerable. Sin embargo, quedan varias preguntas sobre la seguridad general del sistema operativo Android.
¿Va a cambiar a algo un poco más seguro, como la seguridad de smartphone con iOS súper segura? ¿Pueden los iPhone obtener software malicioso? Seguridad de teléfonos inteligentes: ¿Pueden los iPhone obtener software malicioso? El malware que afecta a "miles" de iPhones puede robar las credenciales de la App Store, pero la mayoría de los usuarios de iOS son perfectamente seguros. ¿Cuál es el problema con iOS y el software fraudulento? Lea más o (mi favorito) Blackberry 10 10 razones para ofrecer BlackBerry 10 A Pruebe hoy 10 razones para ofrecer BlackBerry 10 A Pruebe hoy BlackBerry 10 tiene algunas características bastante irresistibles. Aquí hay diez razones por las que es posible que desee darle una oportunidad. Lee mas ? O quizás te mantengas leal a Android e instales una ROM segura como Paranoid Android u Omirom 5 Razones por las que debes flashear OmniROM con tu dispositivo Android 5 razones por las que debes flashear OmniROM con tu dispositivo Android con un montón de opciones de ROM personalizadas allí, puede ser difícil conformarse con solo uno, pero realmente debería considerar OmniROM. Lee mas ? O tal vez ni siquiera estás tan preocupado.
Hablemos sobre eso. El cuadro de comentarios está debajo. No puedo esperar para escuchar tus pensamientos.
