HTML5增強網絡安全 同時帶來新安全漏洞
面對新的安全問題，火狐瀏覽器的安全團隊想到了使用新版本的網絡超文本標記語言HTML5。
“HTML5的網絡應用程序非常豐富，該瀏覽器正開始試圖管理十分繁雜的應用程序，而不僅僅是網頁，”Mozilla安全問題專家Sid Stamm近日在華盛頓召開的Usenix安全專題討論會上表示。
“也就是說我們有一個很大的攻擊面需要考慮，”他說道，而同時他又表示了對HTML5的擔憂，Opera瀏覽器的開發人員正在積極修復一個緩沖區溢出漏洞，這個漏洞可能使用HTML5的畫布圖像渲染功能被利用。
萬維網聯盟（W3C）發布新一套渲染網頁標準（統稱為HTML5）不可避免地會帶來全新的安全漏洞嗎？至少有一部分安全研究人員正在考慮這個問題。
“HTML5為網絡世界帶來了很多功能和能量，黑客們現在可以更多地對HTML5和JavaScript發動惡意攻擊，甚至比以往任何時候都要容易，”安全研究人員Lavakumar Kuppan表示。
“W3C的重新設計是考慮到我們將開始在瀏覽器內執行應用程序，多年以來，我們已經見證了瀏覽器的安全性，”安全咨詢公司Secure Ideas滲透測試員Kevin Johnson表示，“我們必須回過頭來理解，瀏覽器是一種惡意環境。”
雖然按照慣例被命名為HTML5，HTML5也常用來形容相互關聯標準套的集合，這些標準聯合的話，可以用來構建成熟的網絡應用程序。它們提供的功能包括頁面格式化、離線數據存儲、圖像移交和其他功能。
所有這些新的功能將開始接受安全研究人員的研究。
在今年夏天，Kuppan和另一位安全研究人員公布了濫用HTML5離線應用程序緩存的方法，谷歌Chrome、Safari、Firefox和Opera瀏覽器測試版都已經部署了這個功能，并且都很容易被這種方法攻擊。
研究人員認為，這是因為任何網站都可以在用戶的計算機上創建一個緩存，并且，在某些瀏覽器中，這種緩存創建根本沒有得到用戶的明確許可，攻擊者可以設置到一個網站的假的登錄頁面，例如社交網站或者電子商務網站，隨后這種假冒頁面可以被用來竊取用戶的登錄憑證信息。
其他研究人員則對這一發現的價值持不同意見。
“這是一個有趣的問題，但它似乎并沒有為網絡攻擊者提供比現在更多的額外利用價值，”Chris Evans表示，他是VSFTP軟件的創造者。
安全研究公司Recursion Ventures公司的首席研究人員Dan Kaminsky贊同這種說法，他認為這種攻擊是對HTML5出現前的攻擊的延續。“瀏覽器并不只是請求內容、渲染內容并把內容扔掉，瀏覽器還會存儲內容以備日后使用，Lavakumar觀察到這個新一代緩存技術也將會有同樣的特點。”
評論家一致認為，這種攻擊將依賴于沒有使用SSL來加密瀏覽器和網頁服務器間的數據的網站，這種網站也很常見。但即使這種攻擊沒有發掘出新的漏洞類型，它也確實表明以前的漏洞在這種新環境中仍然可以被利用。
Johnson表示，對于HTML5，很多新功能都會對其自身的安全構成威脅，因為這些新功能增加了攻擊者利用用戶的瀏覽器發動某種形式的攻擊的幾率。
“多年以來，安全問題都集中在漏洞緩沖區溢出和SQL注入攻擊上，我們必須修復這些漏洞，并且監控這些漏洞，”Johnson表示。但是對于HTML5而言，通常是它本身的功能“可以用來攻擊我們”。
例如，Johnson指出谷歌的Gmail，這是HTML5本地存儲功能的早期使用者。在HTML5之前，攻擊者可能必須竊取計算機的cookies，然后進行解碼以獲取在線電子郵箱服務的密碼。現在，攻擊者只需要獲取到用戶瀏覽器的信息就能發動攻擊，因為在瀏覽器中，Gmail存儲了收件箱的副本。
“這些功能集是很可怕的，”他表示，“如果我能夠在你的網絡應用程序中找到一個漏洞，并且注入HTML5代碼，我就能修改你的網站并且隱藏我不想讓你看到的內容。”
對于本地存儲，攻擊者可以從你的瀏覽器讀取數據，或者在你不知情的情況下插入其他數據。對于地理位置，攻擊者可以在你不知情的情況下確定你的位置。對于新版本的CSS（層疊樣式表），攻擊者可以控制你能夠看見的CSS增強網頁的要素。HTML5的WebSocket向瀏覽器提供了一種網絡通信協議棧，這可以被濫用來秘密的后門通信。
這并不是說瀏覽器制造商無視于這個問題。即使他們必須為這個新標準增加新支持，他們正在努力尋找方法來防止攻擊者的濫用。在Usenix安全專題座談會上，Stamm指出火狐團隊正在研究的用以緩解這種針對HTML5新技術的攻擊的技術。
例如，他們正在研究一種替代插件平臺，被稱為JetPack，這個平臺將可以嚴格控制插件執行的行動，“如果我們能夠完全控制應用程序編程接口，我們就可以說‘這個插件正在訪問某某網站，是否允許’，”Stamm表示。
JetPack也可以使用一種聲明式安全模式，即插件必須向瀏覽器聲明它將執行的行動，然后瀏覽器會監測插件來確保它位于這些參數間。
不過，評論家認為，瀏覽器制造商是否可以采取更多有效措施來確保HTML5的安全仍然還有待觀察。
“企業已經開始評估是否應該使用這些新功能來應用于瀏覽器，”Johnson表示，“這種時候，可能聽到平時決不可能聽到的話，‘IE6可能比較好’。”
【編輯推薦】
