CSS может стать причиной утечки данных Facebook-аккаунта

Особенности реализации в браузерах одной из функций языка CSS могут привести к утечке персональных данных из социальных сетей, а также других сайтов. Как сообщает Threatpost, к такому выводу пришли эксперты по информационной безопасности, опубликовавшие proof-of-concept этой уязвимости.

Проблема была выявлена в браузерах Google Chrome и Mozilla Firefox и не затронула Safari, Internet Explorer и Microsoft Edge. Надо отметить, что разработчики из Google и Mozilla уже закрыли эту уязвимость, выпустив обновления Chrome 63 и Firefox 60.

Внимание специалистов привлек метод mix-blend-mode, отвечающий за различные режимы смешивания цветов, — по аналогии с теми, которые применяются в графических редакторах. Результатом наложения DIV-блока с этой функцией поверх элемента iframe станет смешивание цветов фотографии посетителя и, например, элементов виджета социальной сети по заданным алгоритмам.

Эксперты заметили, что при наложении одного и того же цвета на пиксели разных цветов время рендеринга отличается. При многократном использовании определенного сложного режима — насыщения (saturation) — разница во времени обработки становится достаточной для того, чтобы на ее основании делать выводы о цвете исходного пикселя.

Узнав цвет и последовательность отдельных пикселей, несложно восстановить исходное изображение. В рамках PoC генерация имени профиля заняла около 20 секунд, а получение не очень качественного фото — порядка 5 минут, но эксперты уверены, что при желании результата можно добиться быстрее.

Учитывая, что атака не требует от пользователя никаких дополнительных действий, использование этой уязвимости вполне реально, отмечают эксперты. Посетителю даже не обязательно видеть фрейм с его личными данными: преступники могут замаскировать его, наложив сверху любое содержимое, и похищать данные, пока жертва читает статью или отвечает на вопросы теста.

Автор:	Softodrom.ru
Дата:	04.06.2018 19:29