«

»

Апр 29

Массовое внедрение HTML5 имеет и отрицательные стороны

Массовое внедрение нового языка разметки HTML5 имеет и отрицательные стороны, уверены эксперты.
Согласно публикации Роберта МакЭрдла (Robert McArdle), старшего специалиста по исследованию киберугроз компании Trend Micro, активное внедрение HTML5, дающего дизайнерам и пользователям массу новых возможностей не обделяет и киберпреступнков. И им он дает массу новых возможностей для проведения несанкционированных действий. Доклад эксперта, который он представил на конференции по информационной безопасности B-Sites в Лондоне был посвящен распространению новых технологий создания вебсайтов HTML5 и JavaScript, и возможностям, которые они дают киберпреступникам. По словам Роберта существует множество сценариев атак при использовании данных технологий. Злоумышленник может использовать JavaScript для создания так называемых «ботнетов в браузерах», которые будут размещаться только в оперативной памяти, и не иметь следов присутствия в других местах. Данные ботнеты могут служить для реализации DDOS-атак, отправки спама, генерации виртуальной валюты и т.п. Особенность размещения такого ботнета приведет к кроссплатформенности, т.е. универсальности вируса для любого устройства. Он будет работать на любом браузере любого устройства, поддерживающего соврменные технологии: персональный компьютер, смартфон, планшет. Устройство будет выполнять инициированные злоумышленником при любом месторасположении при условии подключения к интернет. Кроссплатформенность, к которой кстати стремятся разработчики новых стандартов, облегчит разработку и вредоносных приложений, т.к будет одинаковым для любой платформы. Кроме того, размещение вредоносного кода в оперативной памяти, или флеш-памяти мобильного устройства затруднит детектирование традиционными антивирусными средствами, большинство которых сканирует код в постоянной, а не в оперативной памяти устройства. Кроме того, использование только лишь JavaScript облегчит злоумышленнику преодоление сетевого экрана. Большинство файрволов просто этого не заметит.
Дополнительные возможности HTML5 можно использовать также для подложных уведомлений, что «поможет» преступнику и проведение фишинга (получение от пользователя персональных данных).
Вывод, как и в бесчисленных примерах из истории один: переход к новым современным технологиям не только облегчит разработку и добавит новых возможностей, но и будет иметь множество дополнительных возможностей для киберпреступников. Поэтому параллельно с переходом необходимо разрабатывать новые механизмы и технологии защиты.

источник

Добавить комментарий