Oh, non. Jamais réconfortant de lire des vols de connexion de quelque sorte que ce soit et il n'est pas étonnant qu'un détective de la sécurité ait fait l'actualité lorsqu'il a découvert un problème avec Chrome. Encore une fois, le prix de la commodité devient un sujet, cette fois dans l'offre d'enregistrer les informations d'identification Wi-Fi et de les ressaisir automatiquement pour votre commodité.
Un problème de navigateur Chrome a été décrit plus tôt ce mois-ci, ce qui aurait pu laisser une porte ouverte aux pirates. La bonne nouvelle est que le problème de sécurité dans le navigateur populaire a été résolu; Google a corrigé la vulnérabilité.
Le problème impliquait des informations d'identification remplies automatiquement sur des pages HTTP non cryptées. SureCloud a annoncé que la dernière mise à jour de Chrome (testée par rapport à la version 69.0.3497.81) résolvait le problème. La dernière version du navigateur Chrome, version 69, a été publié et il portait le patch.
ZDNet Le journaliste de sécurité Catalin Cimpanu a déclaré qu'il s'agissait d'un "problème de conception" que les attaquants pourraient exploiter pour voler les connexions WiFi, que ce soit de la maison ou des réseaux d'entreprise.
BetaNews a cité Luke Potter, Directeur des pratiques de cybersécurité de SureCloud. « Il y a toujours un compromis entre la sécurité et la commodité, mais nos recherches montrent clairement que la fonction de stockage des identifiants de connexion dans les navigateurs Web laisse des millions de réseaux domestiques et professionnels ouverts aux attaques, même si ces réseaux sont censés être sécurisés avec un mot de passe fort. »
Elliot Thompson, un chercheur de la société britannique de cybersécurité SureCloud, avait mis au point une technique exploitant le problème de conception, dit Cimpanu. Le "Wi-Jacking" de Thompson fonctionnait avec Chrome sous Windows.
"Au cours d'un engagement récent, nous avons trouvé une interaction intéressante du comportement du navigateur et une faiblesse acceptée dans presque tous les routeurs domestiques qui pourraient être utilisés pour accéder à une énorme quantité de réseaux WiFi, " a déclaré le post SureCloud de Thompson le 4 septembre.
Le comportement du navigateur lié aux informations d'identification enregistrées. Identifiants enregistrés dans un navigateur, lié à une URL, sont automatiquement insérés dans les mêmes champs lorsqu'ils sont revus. La faiblesse du routeur résidait dans l'utilisation de connexions HTTP non cryptées aux interfaces de gestion. Thompson, bien que, a déclaré qu'il existait une solution pour ce chemin vers le vol d'informations d'identification et il en a discuté dans son article du 4 septembre.
"Fondamentalement, il ne s'agit que d'un défaut dans la façon dont les origines sont partagées et approuvées entre les réseaux. Dans le cas des routeurs domestiques, ils sont suffisamment prévisibles pour être une cible viable. La solution la plus simple serait que les navigateurs évitent de remplir automatiquement les champs de saisie sur les pages HTTP non sécurisées. Il est compréhensible que cela réduise la convivialité, mais cela augmenterait considérablement la barrière contre le vol d'identifiants."
À l'époque, Thompson a recommandé de "Effacer les mots de passe enregistrés de votre navigateur et de ne pas enregistrer les informations d'identification pour les pages HTTP non sécurisées".
"Thompson dit qu'il a signalé le problème à Google, Microsoft, et ASUS en mars, cette année, " a déclaré Cimpanu. " Google a traité son rapport en n'autorisant pas Chrome à remplir automatiquement les mots de passe sur les champs HTTP. "
En plus de Chrome, les autres navigateurs sont-ils vulnérables ? "Firefox, IE/Edge et Safari nécessitent une interaction importante de l'utilisateur, donc l'attaque fonctionne, mais est plus basé sur l'ingénierie sociale, ", a déclaré Thompson le 4 septembre. "Avec Chrome, c'est nettement plus transparent."
Le conseil habituel s'applique :Mettre à jour. Cimpanu a écrit, "La mise à jour vers Chrome 69.0.3497.81 ou une version ultérieure devrait protéger les utilisateurs des attaques Wi-Jacking."
Commentant la résolution du problème par Google, Thompson a dit, "C'est une réponse positive de Google et c'est formidable à voir."
© 2018 Tech Xplore
