Обновление WebAssembly вновь сделает браузеры уязвимыми к Meltdown и Spectre
Новости
Поддержка в WebAssembly тредов с разделяемой памятью нивелирует защиту основных браузеров от Meltdown, Spectre и других атак по сторонним каналам.
881 открытий893 показов
Дополнение к стандарту WebAssembly — поддержка тредов с разделяемой памятью — нивелирует защиту основных браузеров от Meltdown, Spectre и других атак по сторонним каналам. Разработка по этой функции пока прекращена, однако, по словам команды-разработчика стандарта, пока неизвестно, что делать дальше.
Chrome, Edge, Firefox и Safari объявили о поддержке WebAssembly в ноябре 2017 года, спустя два года работы.
В чем суть проблемы?
Как только WebAssembly получит поддержку тредов с разделяемой памятью, станет возможным создание чрезвычайно точных таймеров на JavaScript, а это приведет к тому, что ограничения для защиты от атак по сторонним каналам перестанут работать. Об этом заявил Джон Бергбом(John Bergbom), специалист по информационной безопасности из Forcepoint.
Он сослался на атаки по времени, которые считаются подвидом атак по сторонним каналам. Тайминг-атаки — это класс криптографических атак, с помощью которых сторонние наблюдатели могут получать доступ к содержимому зашифрованных данных, отслеживая и анализируя время, требуемое для выполнения криптографических алгоритмов.
Атаки Meltdown и Spectre проводились через запускаемый в браузере JavaScript-код, использующий внутренние функции браузера вроде SharedArrayBuffer или performance.now(). Обновление WebAssembly позволит проводить подобные атаки с той же эффективностью.
881 открытий893 показов
Пользователь Reddit решил узнать рецепт чесночной настойки у Google Gemini. И только чудом ему удалось не убить себя и всю свою семью, следуя совету ИИ
Киберугрозы — красный флаг для современного бизнеса. Назвали методы защиты ПО бизнеса от кражи данных и потери работоспособности IT-систем.
Антибот-системы — это технологии, которые помогают защитить веб-сайты от автоматического вмешательства, например, от спама или DDoS-атак. Но автоматическое взаимодействие с сайтом не всегда несет вред: например, иногда боты нужны для тестирования безопасности, построения поискового индекса или сбора данных из открытых источников. Для того, чтобы выполнять такие задачи, необходимы инструменты, которые позволяют избегать блокировки антибот-системами.
Компания Microsoft поделилась свежими подробностями о взломе, который российские хакеры совершили еще в начале года. Оказывается, были задеты клиенты IT-гиганта