Тисячі розширень для браузера Google Chrome, доступних в офіційному online-магазині Chrome, змінюють заголовки безпеки на популярних web-сайтах, піддаючи користувачів ризику широкого спектра кібератак.
Кожен раз, коли користувач звертається до web-сайту, браузер робить запит на сервер і останній завантажує сторінку. Хоча самі по собі сайти відображаються за допомогою коду HTML, JavaScript і CSS, адміністратори сайтів можуть додавати додаткові настройки в заголовок HTTP-з’єднання з метою вказати браузеру користувача обробляти доставлений контент певним чином. Не всі web-сайти використовують заголовки безпеки, але багато хто з сучасних web-сервісів зазвичай використовують їх для захисту користувачів від атак.
Дослідники з Центру інформаційної безпеки імені Гельмгольца CISPA спробували оцінити кількість розширень Chrome, які втручаються в заголовки безпеки. За допомогою користувацького фреймворка, створеного спеціально для цілей дослідження, експерти проаналізували 186 434 розширення для Chrome, які були доступні в офіційному інтернет-магазині в минулому році. За результатами дослідження, 2485 розширень перехоплювали і змінювали принаймні один заголовок безпеки, який використовується 100 найпопулярнішими web-сайтами (згідно зі списком Tranco).
Дослідження не фокусувалася на всіх заголовках безпеки, а тільки на чотирьох найбільш поширених, таких як Content-Security Policy (CSP), HTTP Strict-Transport-Security (HSTS), X-Frame-Options і X- Content-Type-Options. У 553 випадках шкідливі розширення відключали всі чотири заголовка безпеки.
Найбільш часто відключався заголовок безпеки CSP, що дозволяє власникам сайтів контролювати, які web-ресурси дозволено завантажувати сторінці в браузері, і забезпечує захист від XSS-атак і впровадження даних.
Радимо звернути увагу на поради, про які писав Cybercalm, а саме:
Як завантажити дані Google Maps? ІНСТРУКЦІЯ
Психічне здоров’я у дітей від соцмереж і смартфонів не страждає – ДОСЛІДЖЕННЯ
Як створити надійний пароль? ПОРАДИ
Як вберегти свої банківські рахунки від кіберзлочинців? ПОРАДИ
Що таке FLoC Google і як він буде відстежувати Вас в Інтернеті?
До речі, пандемія спричинила нову хвилю цифрової трансформації у всьому світі. І державні установи не залишилися осторонь цього процесу. Завдяки розширенню цифрової інфраструктури, зокрема створенню нових додатків та сервісів, віддалених робочих місць та переходу в хмарне середовище, кількість потенційних векторів атак збільшилася.
Також повністю модульний ноутбук з ОС Windows від Framework тепер готовий до попереднього замовлення за базовою ціною у $999. Клієнти можуть розміщувати замовлення на веб-сайті Framework. 13,5-дюймовий ноутбук складається повністю з модульних деталей, включаючи материнську плату, яку ви можете легко поміняти та замінити.
Кілька редакцій Windows 10 версій 1803, 1809 та 1909 досягли кінця обслуговування (EOS), починаючи з травня , про що Microsoft нагадала нещодавно. Пристрої з випусками Windows 10, які досягли EoS, більше не отримуватимуть технічну підтримку, а також щомісячні виправлення помилок та безпеки, щоб захистити їх від останніх виявлених загроз безпеки.
Окрім цього, після вступу в силу нової політики Google в описі додатків з’явиться додатковий розділ з інформацією про те, до яких даними має доступ продукт. У розробників буде можливість розповісти користувачам про те, для чого додаткам потрібен доступ до тих або інших даних і як їх обробка впливає на загальну функціональність.
