Колко безопасни са продуктите за сигурност? Първо AVG, сега TrendMicro с големи недостатъци
- Категория: Сигурност
Изследователят на Google Тавис Орманди откри основен недостатък в компонента на мениджъра на пароли на TrendMicro Antivirus за Windows, който имаше няколко основни проблема със сигурността, които, наред с други неща, позволяват на уебсайтовете да изпълняват произволни команди, да разкриват всички съхранени пароли или да стартират защитен браузър „това изобщо не е сигурно.
Изглежда, че Google понастоящем проучва продукти за сигурност в Windows и има особено такива, които взаимодействат по един или друг начин с уеб браузъра на Chrome или Chromium.
Компанията срамува AVG открито в началото на януари за разширението му Web TuneUp за Chrome, тъй като недостатъците на сигурността излагат на риск 9-те милиона потребители на Chrome, които го използват.
TuneUp, инсталиран със софтуер за защита на AVG или поотделно, излага на потребителите на Chrome риск, като деактивира „уеб сигурността“ за потребители на Chrome, които са инсталирали разширението.
AVG произведе поправка в крайна сметка (необходими бяха два опита за това, първият беше отхвърлен, тъй като не беше достатъчен).
Проблем със сигурността на TrendMicro Password Manager
И сега Trend Micro се срамува открито от Google. Според Ormandy компонентът Password Manager е виновникът този път, който се инсталира автоматично с TrendMicro Antivirus за Windows и работи при стартиране ( и също на разположение като самостоятелна програма и приложение).
Този продукт е написан основно на JavaScript с node.js и отваря множество HTTP RPC портове за обработка на заявки на API.
Отне около 30 секунди, за да откриете такава, която позволява произволно изпълнение на командата, openUrlInDefaultBrowser, която в крайна сметка се преобразува в ShellExecute ().
Това означава, че всеки уебсайт може да стартира произволни команди [..]
В отговор на служител на TrendMicro Ormandy добави следната информация:
Хей, просто исках да проверя дали има актуализация тук? Това е тривиално изгодно и откриваемо при инсталирането по подразбиране и очевидно работещо - според мен трябва да назовавате хората, за да поправите това.
FWIW, дори е възможно да се заобиколи MOTW и нередовни команди без никакви подкани. Лесен начин да направите това (тествано на Windows 7), е да изтеглите автоматично zip файл, съдържащ HTA файл, и след това да го извикате [..]
Първата конструкция, която TrendMicro изпрати на Travis Ormandy за проверка, поправи един от основните проблеми на програмата (използването на ShellExecute), но това не се погрижи за други проблеми, забелязани по време на грубото проучване на кода.
Ormandy отбеляза например, че един от API-тата, използван от TrendMicro, породи „древна“ версия на Chromium (версия 41 на браузъра, която вече е налична като версия 49) и че ще деактивира пясъчната кутия на браузъра отгоре, за да предложи „ защитен браузър “на своите потребители.
Отговорът му към TrendMicro беше тъп:
Ти просто криеше глобалните обекти и извикваше черупка на браузъра ...? ... и след това да го наречем „Безопасен браузър“?!? Фактът, че пускате и стара версия с --isable-sandbox просто добавя обида към нараняване.
Дори не знам какво да кажа - как бихте могли да активирате това нещо * по подразбиране * на всички ваши клиентски машини, без да получите одит от компетентен консултант по сигурността?
Не на последно място, но Ормандия откри, че програмата предлага „приятен чист API за достъп до пароли, съхранявани в мениджъра на пароли“, и че всеки c просто прочете всички съхранени пароли “.
Потребителите ще бъдат подканени при инсталиране да експортират паролите на браузъра си, но това не е задължително. Мисля, че един атакуващ може да го принуди с / exportBrowserPasswords API, така че дори това не помага. Изпратих имейл, сочещ това:
Според мен трябва временно да деактивирате тази функция за потребителите и да се извините за временното прекъсване, след което да наемете външна консултантска служба, която да одитира кода. Според моя опит с доставчици на сигурност потребителите доста прощават грешки, ако продавачите действат бързо, за да ги защитят, след като са информирани за проблем, мисля, че най-лошото, което можете да направите, е да оставите потребителите да бъдат изложени, докато почиствате това нещо. Изборът е ваш, разбира се.
Изглежда проблемът не е напълно отстранен към момента на писането, въпреки усилията на TrendMicro и няколко пластира, които компанията произвежда през последните няколко дни.
Софтуерът за сигурност по своята същност е несигурен?
Основният въпрос, който трябва да излезе от това, е „колко сигурни са продуктите за сигурност“? Два основни проблема в два продукта от основните играчи в антивирусната област предизвикват безпокойство, още повече, че има вероятност те да не са единствените, които изглежда не са осигурили правилно собствените си продукти.
За крайните потребители е почти невъзможно да се каже, че нещо не е наред, което ги оставя в несигурна ситуация. Могат ли да се доверят на решението си за защита, за да запазят данните си, или рискът от самия софтуер, който трябва да защити компютрите им?