At Adobe's Request، Hackers Nix'jjjinging 'Talk

بعد أن طلبت Adobe Systems منهم التزام الصمت حول النتائج التي توصلوا إليها ، قام باحثان أمنيان بالانسحاب من حديث تقني حيث كانا سيشرحان كيف يمكنهما السيطرة على متصفح الضحية باستخدام هجوم على الإنترنت يسمى "النقر"

وقد تم تعيين روبرت هانسن وإرميا غروسمان لإلقاء محاضرتهم الأسبوع القادم في مؤتمر OWASP (Open Web Application Security Project) في نيويورك. لكن الدليل على رمز المفهوم الذي طورته لإظهار كيف أن هجومهم على النقر قد كشف عن خطأ في أحد منتجات Adobe. بعد أسبوع من المناقشات مع Adobe ، قرر الباحثون يوم الجمعة الماضي سحب الحديث.

على الرغم من أن هانسن وغروسمان يعتقدان أن عيب الاختراق في النهاية يكمن في الطريقة التي صممت بها برامج تصفح الإنترنت ، فقد أقنعتها Adobe بالكف عن مناقشتهم حتى يتمكنوا من الافراج عن التصحيح. وقال جروسمان ، المدير التنفيذي لـ White Hat Security ، في مقابلة أجريت معه: "تعتقد Adobe أنها تستطيع القيام بشيء ما لجعل الإختراق أكثر صعوبة".

في هجوم نقر ، يخدع المهاجم الضحية في النقر على روابط ويب خبيثة دون أن يدرك ذلك. هذا النوع من الهجوم معروف منذ سنوات ، لكنه لم يعتبر خطيراً بشكل خاص. كان خبراء الأمن قد اعتقدوا أنه يمكن استخدامها لارتكاب عمليات الاحتيال على النقرات الإعلانية أو تضخيم تصنيفات Digg لصفحة ويب ، على سبيل المثال.

ومع ذلك ، في كتابتهم رمز إثبات المفهوم ، أدرك هانسن وغروسمان أن الاختلاط كان في الواقع أكثر قال غروسمان: "عندما خططنا في النهاية وأحصلنا على دليل على المفهوم ، كان الأمر سيئًا للغاية". "إذا كنت أتحكم في ما تنقر عليه ، فكم هو مدى سوء العمل الذي يمكنني القيام به؟ اتضح أنه يمكنك القيام بعدد من الأشياء السيئة بالفعل."

لم يرغب غروسمان ولا هانسن ، الرئيس التنفيذي لشركة سيكتيوري ، في الحصول على تفاصيل من هجومهم. ومع ذلك ، قال توم برينان ، منظم مؤتمر OWASP إنه شاهد رمز الهجوم يظهر وأنه يسمح للمهاجم بالسيطرة الكاملة على سطح المكتب الضحية.

ويقول الباحثون إنهم لم يتعرضوا لضغوط من قبل Adobe لإسقاط حديثهم.. وكتب هانسن يوم الاثنين على مدونته "هذا ليس شرًا" يحاول الرجل إبقاء المتسللين لدينا في موقفه.

في وقت متأخر من يوم الاثنين ، نشرت "أدوبي" مذكرة ، تشكر فيها الباحثين على إبقاء الخلل قائما بذاته ويشير إلى أن تعمل الشركة على إصلاح المشكلة.

حتى إذا كان الكشف عن الخلل قد يساعد المهاجمين ، فقد قال برينان من شركة OWASP إن الباحثين يجب أن يستمروا في الحديث وإلقاء محاضراتهم من أجل تزويد محترفي تكنولوجيا المعلومات بفرصة لفهم الطبيعة الحقيقية للتهديد. وقال "هناك مشكلة في يوم صفر في المتصفحات التي تؤثر على الملايين من الناس اليوم" ، قال. "عندما يناقشها شخص ما ، فإنه يضع الجميع في نفس الملعب."

هانسن وغروسمان يقولان إنهما يتوقعان أيضًا أن تقوم مايكروسوفت بتشخيص خلل مرتبط في Internet Explorer ، وأن العديد من المتصفحات الأخرى تتأثر أيضًا بمشكلة النقر. وقال جروسمان "نعتقد أنها مشكلة أمن متصفح بشكل أو بآخر."