Firefox и Chrome подвержены новому виду атак на браузеры

Firefox и Chrome подвержены новому виду атак на браузеры

На конференции Toorcon продемонстрирован новый вид атаки на браузеры, позволяющей выяснить какие сайты пользователь посещал ранее. Атака применима к сайтам, на которых включена поддержка протокола HSTS для автоматизации проброса на области HTTPS при запросе ресурса с использованием протокола HTTP.

Проявляется даже если пользователь очистил историю посещений. Для демонстрации уязвимости подготовлена специальная страница, анализирующая открытие в прошлом некоторых популярных ресурсов. Проблема успешно проявляется в Firefox и Chrome, но также затрагивает и другие браузеры, поддерживающие HSTS. В Tor Browser проблема не проявляется из-за ограничения точности таймера, пишет opennet.ru.

Техника атаки основывается на том, что CSP запросив несуществующее изображение на сайте с использованием протокола HTTP, в случае если на этом сайте выставлен флаг HSTS и сайт открывался ранее, его параметры HSTS прокэшированы и ответ будет возвращён после одного запроса (URL сразу будет запрошен по HTTPS, минуя запрос по HTTP). Если сайт не был открыт ранее, вначале будет выполнен запрос по HTTP, а затем, после получения заголовка HSTS, браузер отправит повторный запрос с использованием HTTPS, т.е. операция займёт ощутимо больше времени. Оценив время задержки кодом на JavaScript можно с достаточно большой вероятностью определить открывал пользователь проверяемый сайт ранее или нет.

Интересно, что разработчикам Chrome около года назад сообщили о похожем методе определения факта открытия сайтов и данная проблема до сих пор не решена. Если обратиться к 443 порту сайта по протоколу HTTP (http://example.com:443), такое обращение приведёт к ошибке, если сайт не открывался ранее. Если же сайт был открыт в прошлом и использует флаг HSTS, то браузер автоматически заменит ссылку на https://example.com:443 и запрос будет выполнен успешно.

Ещё одна уязвимость связана с работой механизма привязки открытых ключей (HPKP, HTTP Public Key Pinning), позволяющего явно определить сертификаты каких удостоверяющих центров допустимо использовать для заданного сайта. Данный механизм можно использовать в Chrome или Firefox для отслеживания посетителей без применения cookie. Используя HPKP под видом сертификата можно выполнить привязку произвольного идентификатора, уникального для каждого посетителя. В дальнейшем эта привязка может применяться для достоверного определения повторного посещения сайта данным пользователем по аналогии с тем как для идентификации используются cookie. Особенность состоит в том, что привязка сохраняется независимо от удаления cookie, а удаление HPKP-записей является неочевидным действием, требующим обращения к внутренней странице (chrome://net-internals/#hpkp) для конкретного домена (список доменов с привязкой посмотреть нельзя). 

Правительство ужесточило требования к ПАК для генеративного ИИ

Правительство утвердило новые требования к программно-аппаратным комплексам генеративного искусственного интеллекта для включения их в льготный реестр. Согласно документу, разработчики таких решений должны располагать центром обработки данных мощностью не менее 10 МВт, а также системой хранения данных совокупным объёмом не менее 1 эксабайта.

Документ оказался в распоряжении «Коммерсанта». В нём также зафиксированы требования к вычислительным ресурсам и сетевой инфраструктуре.

В частности, комплексы должны использовать процессоры с матричными умножителями либо их аналоги с производительностью не ниже 8,75 PFLOP FP4, а также быть оснащены сетевыми адаптерами пропускной способностью от 400 Гбит/с с поддержкой технологии удалённого доступа к памяти (RDMA).

Как пояснили изданию в аппарате первого вице-премьера Дмитрия Григоренко, основной целью документа стало формирование самой категории программно-аппаратных комплексов для генеративного ИИ. При этом, по словам представителей правительства, задача «отсечь» часть участников рынка изначально не ставилась.

«Эксабайтное хранилище и сетевые подключения на 400 Гбит/с — это уровень крупных технологических компаний. Из-за новых требований рынок столкнётся с ростом затрат на инфраструктуру на 40–70%», — прокомментировал нововведения основатель WMT AI Игорь Никитин.

По оценке независимого эксперта Алексея Лерона, такие требования приведут к концентрации рынка в руках ограниченного числа игроков. В результате это может вызвать рост цен и сокращение предложения для заказчиков в сегменте B2B.

Источник «Коммерсанта» на рынке также отмечает, что наличие собственных вычислительных мощностей само по себе не гарантирует качество конечного продукта. По его словам, ключевую роль играет программное обеспечение, а требование о собственном ЦОД фактически превращается в дополнительный барьер для разработчиков.

Многие эксперты, опрошенные изданием, сходятся во мнении, что новые правила приведут к вытеснению нишевых игроков с рынка. В итоге в реестре могут остаться лишь 2–3 компании, способные инвестировать в строительство мощных ЦОД. Кроме того, документ усложнит создание альянсов между разработчиками оборудования и ПО и существенно сократит число новых стартапов в сфере генеративного ИИ.

RSS: Новости на портале Anti-Malware.ru