Vývojáři softwaru se zajímají o nezamýšlené důsledky nových webových technologií

ZAPOMENOUT

Novější webové technologie, jako je WebAssembly a Rust, pomáhají masivně snižovat čas potřebný na dokončení některých procesů na straně klienta při načítání stránek, ale vývojáři nyní vydávají nové informace, které by mohly v příštích týdnech vést k opravám těchto aplikačních platforem. .

Pro WebAssembly je plánováno několik dodatků a aktualizací, které by hypoteticky mohly učinit některá ze zmírnění útoku Meltdown a Spectre zbytečnými. Zpráva zveřejněná výzkumníkem z Forcepoint naznačila, že moduly WebAssembly by mohly být použity pro hanebné účely a některé typy časovacích útoků by mohly být ve skutečnosti ještě horší kvůli novým rutinám, které mají za cíl zpřístupnit platformu pro kodéry.

Časové útoky jsou podtřídou exploitů postranních kanálů, které umožňují pozorování třetích stran nahlédnout do šifrovaných dat tím, že zjišťují, jak dlouho trvá provedení kryptografického algoritmu. Meltdown, Spectre a další související chyby zabezpečení založené na CPU jsou všechny příklady časovaných útoků.

Zpráva naznačuje, že WebAssembly by tyto výpočty mnohem usnadnil. Již se používá jako útočný vektor pro instalaci softwaru pro těžbu kryptoměny bez povolení a může to být také oblast, kde budou vyžadovány nové patche, aby se zabránilo dalšímu zneužití. To by mohlo znamenat, že opravy těchto aktualizací bude možná nutné vydat po jejich vydání většině uživatelů.

Mozilla se pokusila do jisté míry zmírnit problém s načasováním útoků snížením přesnosti některých čítačů výkonu, ale díky novým přírůstkům do WebAssembly by to již nemohlo být účinné, protože tyto aktualizace by mohly umožnit neprůhledný kód na počítači uživatele. Tento kód by se teoreticky mohl nejprve napsat v jazyce vyšší úrovně, než se překompiluje do formátu bytecode WASM.

Tým, který vyvíjí Rust, technologii, kterou sama Mozilla propagovala, zavedl proces odhalení v pěti krocích a 24hodinové e-mailové potvrzení pro všechna hlášení chyb. I když se jejich bezpečnostní tým v tuto chvíli jeví jako poměrně malý, je více než pravděpodobné, že se poněkud podobají přístupu, který při řešení těchto druhů problémů zaujme mnoho konsorcií novějších aplikačních platforem.

Koncoví uživatelé se jako vždy vyzývají k instalaci příslušných aktualizací, aby se snížilo celkové riziko vzniku zranitelností souvisejících s exploity založenými na CPU.