poradenská linka dTest 299 149 009 předplatné časopisu dTest

Rozšíření pro Chrome mělo chránit před phishingem, je však plné děr

20.5.2015

Google přišel na konci dubna letošního roku s novým rozšířením pro prohlížeč Chrome jménem Password Alert, které má zabránit phishingovým útokům. Během jednoho dne se však bezpečnostním expertům podařilo toto zabezpečení prolomit.

Password Alert rozpozná, pokud uživatel zadá své heslo ke Google účtu na stránku, která není provozována Googlem. Jakmile tak učiní, objeví se varování a je přesměrován na stránku, kde si okamžitě může změnit heslo. Toto rozšíření má podle Googlu nejen zabránit phishingovým útokům, ale také naučit uživatele, aby nepoužívali stejné heslo pro více důležitých účtů.

Rozšíření však bylo na světě teprve den a již bylo prolomeno. Podle Paula Moorea, jehož bezpečnostní skupina Urity Group vážnou chybu v rozšíření objevila, se jednalo o neuvěřitelně odbytou práci Googlu. V Password Alertu stačilo jednoduše zablokovat tu část Javascriptu, která měla za úkol zobrazit varování. To se následně nezobrazilo a uživatel tak mohl bez stínu podezření zadat své údaje na podvrženou stránku.

Google na to okamžitě reagoval vydáním bezpečnostní záplaty, která měla chybu opravit. Vydržela ale jen dva dny. Moore a Urity Group totiž zjistili, že pro ošálení rozšíření stačí po zadání bezpečnostních údajů stránku rychle obnovit. Rozšíření pak nestihne zaznamenat, že údaje byly zadány a varování se opět nezobrazí.

„Password Alert je i po další bezpečnostní záplatě stále zneužitelný a plný bezpečnostních děr,“ tvrdí Moore. „Navíc v současné podobě chrání uživatele jen před nejzákladnějšími útoky, proti těm sofistikovanějším nechrání vůbec. Neznalému uživateli tak snadno může dávat pocit falešného bezpečí,“ pokračuje Moore, který si myslí, že Google by měl rozšíření stáhnout a vychytat v něm všechny chyby. Google by podle něj také měl uživatele poučit, že ani doladěné rozšíření nefunguje stoprocentně.
 

Související články