Jak bezpečné jsou bezpečnostní produkty? První AVG, nyní TrendMicro s hlavními nedostatky
- Kategorie: Bezpečnostní
Výzkumník Google Tavis Ormandy nedávno objevil hlavní chybu ve složce správce hesel TrendMicro Antivirus pro Windows, která měla několik hlavních bezpečnostních problémů, které by mimo jiné umožňovaly webům spouštět libovolné příkazy, vystavovat všechna uložená hesla nebo spouštět 'zabezpečený prohlížeč 'to není vůbec bezpečné.
Zdá se, že Google v současné době zkoumá bezpečnostní produkty ve Windows, a to zejména ty, které interagují s webovým prohlížečem Chrome nebo Chromium tak či onak.
Společnost otevřeně zahanbila AVG začátkem ledna kvůli svému rozšíření Web TuneUp pro Chrome, protože bezpečnostní nedostatky ohrožují 9 milionů uživatelů Chrome, kteří jej používají.
TuneUp, nainstalovaný s bezpečnostním softwarem AVG nebo samostatně, ohrožuje uživatele Chrome vypnutím „zabezpečení webu“ pro uživatele Chrome, kteří nainstalovali rozšíření.
AVG nakonec vytvořilo opravu (k tomu bylo zapotřebí dvou pokusů, první byl odmítnut, protože to nestačilo).
Problém zabezpečení TrendMicro Password Manager
A teď je to společnost Trend Micro, která je společností Google hanebně otevřená. Podle Ormandyho je viníkem Password Manager součást této doby, která je automaticky nainstalována s TrendMicro Antivirus pro Windows a běží na začátku ( a také k dispozici jako samostatný program a aplikace).
Tento produkt je primárně napsán v JavaScriptu s node.js a otevírá několik portů HTTP RPC pro zpracování požadavků API.
Trvalo asi 30 sekund, než bylo možné najít ten, který umožňuje libovolné provádění příkazů, openUrlInDefaultBrowser, který nakonec mapuje na ShellExecute ().
To znamená, že každý web může spustit libovolné příkazy [..]
V odpovědi na zaměstnance TrendMicro Ormandy byly přidány následující informace:
Hej, jen jsem chtěl zkontrolovat, jestli tu není nějaká aktualizace? To je ve výchozí instalaci triviálně využitelné a zjistitelné a zjevně hrozné - podle mého názoru byste měli stránkovat lidi, aby to vyřešili.
FWIW, je dokonce možné obejít MOTW a vytvářet příkazy bez jakýchkoli výzev. Snadným způsobem, jak toho dosáhnout (testováno na Windows 7), by bylo automatické stažení souboru ZIP obsahujícího soubor HTA a jeho vyvolání [..]
První sestavení, které TrendMicro poslal Travis Ormandy k ověření, opravilo jeden z hlavních problémů programu (použití ShellExecute), ale to se nezabývalo dalšími problémy, které se objevily během hrubého zkoumání kódu.
Ormandy například poznamenal, že jedno z API používaných společností TrendMicro vytvořilo „starou“ sestavu Chromia (verze 41 prohlížeče, která je nyní k dispozici jako verze 49), a že by navíc deaktivovala karanténu prohlížeče a nabídla „ zabezpečený prohlížeč 'svým uživatelům.
Jeho odpověď na TrendMicro byla tupá:
Právě jste skrýval globální objekty a vyvolával shell prohlížeče ...? ... a poté to nazvat 'Zabezpečený prohlížeč'?!? Skutečnost, že také spouštíte starou verzi s --disable-sandbox, jen dodá urážku zranění.
Ani nevím, co říct - jak můžete tuto věc povolit * ve výchozím nastavení * na všech svých zákaznických počítačích, aniž byste dostali audit od kompetentního bezpečnostního konzultanta?
V neposlední řadě Ormandy zjistila, že program nabídl „pěkné čisté API pro přístup k heslům uloženým ve správci hesel“ a že kdokoli c jen přečetl všechna uložená hesla.
Uživatelé jsou při instalaci vyzváni, aby exportovali svá hesla prohlížeče, ale to je volitelné. Myslím, že útočník to může vynutit pomocí / exportBrowserPasswords API, takže ani to nepomůže. Poslal jsem e-mail s upozorněním:
Podle mého názoru byste měli tuto funkci dočasně zakázat uživatelům a omluvit se za dočasné přerušení a poté si najmout externí poradenskou službu pro audit kódu. Podle mých zkušeností s prodejci zabezpečení jsou uživatelé zcela odpouštěni chyb, pokud prodejci jednají rychle, aby je chránili, jakmile budou informováni o problému. Myslím, že nejhorší věcí, kterou můžete udělat, je nechat uživatele vystavené, zatímco tuto věc vyčistíte. Volba je samozřejmě na vás.
Zdá se, že problém nebyl v době psaní dokumentu zcela vyřešen navzdory úsilí společnosti TrendMicro a několika opravám, které společnost vytvořila v posledních několika dnech.
Bezpečnostní software je ze své podstaty nejistý?
Hlavní otázkou, která by z toho měla vycházet, je „jak bezpečné jsou bezpečnostní produkty“? Dva hlavní problémy ve dvou produktech hlavních hráčů v antivirové oblasti jsou důvodem k obavám, zejména proto, že existuje šance, že nejsou jediní, kteří se nezdají, že by své vlastní produkty řádně zabezpečili.
Pro koncové uživatele je téměř nemožné říci, že je něco špatně, což je nechává v nejisté situaci. Mohou důvěřovat svému bezpečnostnímu řešení, aby udrželi svá data v bezpečí, nebo je to právě ten software, který by měl zabezpečit jejich počítače, což je ohrožuje?