Trudniejsze życie włamywaczy: Chrome zaszyfruje ciasteczka

W rozmowach o internetowych ciasteczkach, które za sprawą nowychregulacji UE stały się w minionym roku kwestią obecną w świadomościnawet tzw. Zwykłych Użytkowników, nie sposób pominąć kwestiibezpieczeństwa. Technologię tę wykorzystuje się przecież dosprawdzania stanu logowania do witryn (ciasteczka przechowują wówczasdane uwierzytelniające), czy do śledzenia przechodzenia internautówze strony na stronę, a ataki typu XSS (cross-site scripting) czy CSRF(cross-site request forgery) od lat już pozwalają na ciasteczekprzechwytywanie, z czasem katastrofalnymi konsekwencjami dla ofiar. Ichoć w teorii ciasteczka dysponują wszelkimi zabezpieczeniami, jakichmogłyby potrzebować (opcje domain, path i secure),to realia WWW znacznie utrudniają ich zastosowanie. Kilka tygodnitemu deweloperzy Chromium doszli więc do wniosku, że trzebaskuteczniej chronić prywatne dane użytkownika zapisane wciasteczkach.Zarówno złośliwe oprogramowanie uruchomione zdalnie, jak inapastnicy majstrujący przy komputerze ofiary, mają dziś łatwy dostępdo ciasteczek. W wypadku Google Chrome wystarczy zajrzeć do katalogudanych użytkownika i poszukać tam bazy danych sqlite, którejotworzenie nie jest niczym trudnym – biblioteki są pod ręką,interfejsy są dobrzeopisane. Zagrożenie jest więc całkiem realne, a ochrona przed nimnie powinna być trudna, wystarczy ciasteczka zaszyfrować.[img=chromecookie]Odpowiednie łatki jużsię pojawiły w kodzie google'owej przeglądarki, i z tego co pisządeweloperzy, nie są zbyt kosztowne dla systemu pod kątem wydajności.Opóźnienia w wersji dla OS-a X wynieść miały ok. 1 ms (bez względu narozmiar ciasteczka), w wersji dla Windows od 0,1 do 0,7 ms (wzależności od rozmiaru ciasteczka). Zaszyfrowane dane zapisywane sąbinarnie i przechowywane w bazie jako bloby. Zmiana dotknie tylkonowych ciasteczek, zapisanych po aktualizacji Chrome, dotychczasowepozostaną niezaszyfrowane. To, w jakim stopniu szyfrowanie ciasteczek zwiększy bezpieczeństwoużytkowników, zależy od scenariusza, w jakim są one wykorzystywane.Na pewno nie ochroni to przed przejęciem ciasteczek przez osoby,które uzyskały lokalny dostęp do maszyny, gdy użytkownik jestzalogowany. Jeśli więc np. policyjni technicy odpowiednio zabezpiecząkomputer, będą wciąż mogli z niego przejąć wszystkie ciastka zloginami do internetowych serwisów. W najbardziej popularnym scenariuszu ataku, w którym ciasteczkapróbuje przejąć zainstalowane z zewnątrz malware, a dysk użytkownikanie jest zaszyfrowany, wprowadzone do Chrome łatki powinny jednakochronić przed zagrożeniem – w najlepszym razie napastnikuzyska jedynie zaszyfrowane dane. Oczywiście najlepszym rozwiązaniempozostaje szyfrowanie całego dysku i izolowanie od siebie aplikacji,jednak takie rozwiązania stosuje jedynie niewielki odsetekużytkowników, więc pomysł deweloperów Chrome'a jest całkiem rozsądny.