Tıklaması" Adobe'nin İsteğinde, Hackers Nix'in "Talk

Adobe Systems, bulguları hakkında sessiz kalmalarını istedikten sonra, iki güvenlik araştırmacısı, kurbanın tarayıcısının kontrolünü nasıl tutabileceklerini gösterecekleri teknik bir konuşmadan vazgeçtiler. '

Robert Hansen ve Jeremiah Grossman, önümüzdeki hafta New York'taki OWASP (Açık Web Uygulama Güvenliği Projesi) konferansında konuşma yapacaklardı. Ancak tıklama kodlarının Adobe'nin ürünlerinden birinde nasıl bir hata oluşturduğunu göstermek için geliştirdikleri konsept kodunun kanıtı. Adobe ile yapılan görüşmelerden bir hafta sonra, araştırmacılar geçen Cuma gününü konuşmaya çekmeye karar verdiler.

Hansen ve Grossman, tıklama tarayıcılarının sonuçta İnternet tarayıcılarının tasarlanma biçiminde olduğunu düşünmelerine rağmen, Adobe onları tartışmalarına devam etmeye ikna etti. Bir yama bırakana kadar. Röportajda "Adobe hack yapmak için bir şeyler yapabileceklerini düşünüyor," dedi Beyaz Hat Güvenliği ile CTO, bir röportajda.

Tıkırtı saldırısında, saldırgan, kurbanı, farkında olmadan kötü niyetli Web linklerine tıklamaya zorluyor. Bu tür bir saldırı yıllardır bilinmektedir, ancak özellikle tehlikeli olduğu düşünülmemiştir. Güvenlik uzmanları, reklam tıklama sahtekarlığı yapmak veya bir Web sayfası için Digg derecelendirmelerini şişirmek için kullanılabileceğini düşünmüştü, örneğin.

Bununla birlikte, kendilerine ait konsept kanıtlarını yazan Hansen ve Grossman, tıklamaların aslında daha fazla olduğunu fark ettiler. İlk düşündüklerinden daha ciddi.

"Nihayet inşa ettiğimizde ve kavramın ispatını aldığımızda oldukça kötü bir durumdu," dedi Grossman. "Tıkladığın şeyi kontrol edersem, ne kadar kötü yapabilirim? Bu gerçekten çok kötü şeyler yapabiliyor."

Ne de olsa danışmanlık şirketi SecTheory'nin CEO'su Grossman ve Hansen, onların saldırısı. Ancak, OWASP konferans organizatörü Tom Brennan, gösterilen saldırı kodunu gördüğünü ve saldırganın kurbanın masaüstünü tam kontrol altına almasını sağladığını söyledi.

Araştırmacılar, Adobe tarafından konuşmalarını bırakmalarına yönelik baskı uygulanmadıklarını söylüyorlar. “Bu adam bir hain değil, adam bizi hackerları aşağıya çekmeye çalışıyor”, diye yazıyordu. ”

Pazartesi gününü geç saatlerde, Adobe bugüne kadar bir not yayınladı. Şirket, sorunu çözmek için çalışıyor.

Hata bildirmek bile saldırganlara yardımcı olsa bile, OWASP'ın Brennan, araştırmacılara, BT profesyonellerine tehdidin gerçek doğasını anlama fırsatı vermeleri için devam etmeleri ve konuşmalarını vermeleri gerektiğini söyledi.. "Bugün milyonlarca insanı etkileyen tarayıcılarda sıfır günlük bir sorun var" dedi. "Bir kişi bunu tartıştığında, herkesi aynı oyun alanına koyuyor."

Hansen ve Grossman, Microsoft'un Internet Explorer'da ilgili bir hatayı düzeltmesini beklediklerini ve diğer pek çok tarayıcının da tıklama sorunuyla etkilendiğini söylüyor.. Grossman, "Tarayıcı güvenlik sorununa az ya da çok inanıyorum." Dedi.