Klony Chromium mniej bezpieczne niż oryginał? Google obala twierdzenia obrońców prywatności
Aviator nie jest znanąprzeglądarką. To jeden z tych klonów Google Chrome, które zostałyprzerobione z myślą o zapewnieniu jak najwyższego poziomubezpieczeństwa i prywatności – przynajmniej według autorów. Wtym wypadku producentem jest WhiteHat Security Labs, obiecujące, że zAviatorem dostaniemy najlepsze, najszczelniejsze zabezpieczeniaprywatności, wbudowane w program i od razu aktywowane. A co, jeśli bysię okazało, że bezpieczna przeróbka Chrome jest mniej bezpieczna odoryginału?
Panowie Tavis Ormandy i Justin Schuh nieoszczędzili twórcom Aviatora cierpkich słów. Wnioski wynikające zprzeprowadzonej przez nich analizy kodu klona Chrome są niezbytwesołe – jeśli komuś zależy na bezpieczeństwie i prywatności,nie powinien z przeglądarki od WhiteHat Security Labs korzystać.Zabezpieczenie przeglądarek internetowych to trudna sprawa, nie dlaamatorów, samo Google zatrudnia w Chrome Security Team przynajmniej30 osób – i żadna z nich nie ma zbyt wiele wolnego czasu.Powstający na bazie kodu źródłowego Chromium Aviator z takich zasobówludzkich skorzystać nie może, a efekty tego są szybko widoczne.
Według ekspertów Google'a, konkurencyjna przeglądarka jest niskiejjakości, wprowadzone w niej zmiany dotyczą głównie obrandowania, awykorzystany kod jest o dwa wydania do tyłu za Chrome. Co gorsze,wprowadzone do niego zmiany mają dowodzić, że autorzy Aviatora niebardzo rozumieją, jak Chrome działa i nie dbają należycie obezpieczeństwo. Przykładem może być kod debuggera,w którym bez powodu wyłączono pułapki. W oryginalnym kodzie Chromiumwywołanie to umożliwiało bezpieczne zakończenie uszkodzonych procesóww piaskownicy – w Aviatorze wszystkie takie sytuacje stały sięmożliwymi do wyexploitowania lukami – tłumaczy Schuh.
Robert Hansen z WhiteHat Security Labs krytyki nie przyjął, awręcz przeciwnie, odbił piłeczkę w stronę Google. Stwierdził, że jegofirma nigdy nie twierdziła, że będzie wydawać aktualizacje takszybko jak producent Chrome – jednak w przeciwieństwie doGoogle nie ma ukrytych interesów reklamowych. To bowiem Google,zarabiając ponad 50 miliardów dolarów rocznie na reklamie robiwszystko, by przeglądarka mogła wyświetlić użytkownikom więcejreklam. Tymczasem Aviator został wzbogacony o takie mechanizmy jakblokowanie przekazywania adresów internetowych poprzednioodwiedzonych stron czy domyślne aktywowanie trybu prywatnego.
Konstruktywnej rozmowy w tym temacie raczej nie będzie –Schuh uznał, że tego typu odpowiedzi jak Hansena psują opinię całemuOpen Source. Jego zdaniem WhiteHat Security Labs nie chce przyjąćodpowiedzialności za stosowanie wprowadzających użytkowników w błądtwierdzeń o najbardziej bezpiecznej i prywatnej przeglądarce.Co więcej, nawet gdyby Hansen z kolegami poprawili wskazane imusterki, i tak będą w gorszej sytuacji niż upstreamowe Chromium –ich Aviator cierpi na wszystkie luki, które zostały załatane waktualnych wersjach przeglądarki Google.
Nie jest to pierwszy tego typu wypadek. Spośród tych „bezpiecznychi prywatnych” odmian Chromium najpopularniejszą jest chybaniemieckie SRWareIron. Przeglądarka ta od samego początku budziła sporokontrowersji, producenta również oskarżano o celowe wprowadzanieużytkowników w błąd, trzeba przynajmniej jednak przyznać, żedotrzymuje kroku wydaniom Chromium – aktualna wersja Iron to39, tak samo jak stabilnej wersji Chrome. Z innymi klonami, takimijak np. Comodo Dragon Browser czy wspomniany Aviator już tak dobrzenie jest, ich autorzy po prostu nie nadążają za rozwojem google'owejprzeglądarki. Wydaje się więc, że oferując program podatny na atakiwykorzystujące znane luki bezpieczeństwa w Chrome nie powinniokreślać go jako szczególnie bezpiecznego.