Μια πρόσφατα αναφερθείσα zero-day ευπάθεια στο Google Chrome έχει τραβήξει την προσοχή της τεχνολογικής κοινότητας. Το άρθρο πηγής που την περιγράφει είναι φτωχό σε τεχνικές λεπτομέρειες: χαρακτηρίζει την αδυναμία κρίσιμη και λέει ότι εγείρει ευρύτερα ερωτήματα σχετικά με την ασφάλεια των προγραμμάτων περιήγησης, αλλά δεν αναφέρει CVE, έκδοση επιδιόρθωσης ή ημερομηνία. Αυτό περιορίζει το τι μπορούμε να πούμε υπεύθυνα για το ίδιο το σφάλμα. Δεν περιορίζει το τι μπορείτε να κάνετε γι' αυτό. Η εγκατάσταση της τελευταίας ενημέρωσης για τη zero-day ευπάθεια του Chrome είναι το πιο χρήσιμο βήμα και έχει μεγαλύτερη σημασία από οποιοδήποτε εργαλείο απορρήτου μπορεί να εκτελείτε παράλληλα.
Τι Γνωρίζουμε για τη Zero-Day του Chrome
Ένα zero-day είναι ένα σφάλμα λογισμικού που οι επιτιθέμενοι μπορούν να εκμεταλλευτούν πριν ο προμηθευτής κυκλοφορήσει μια διόρθωση ή ενώ η διόρθωση φτάνει ακόμη στους χρήστες. Το όνομα προέρχεται από το γεγονός ότι οι προγραμματιστές είχαν μηδέν ημέρες για να ανταποκριθούν. Επειδή το Chrome είναι ένα από τα πιο ευρέως χρησιμοποιούμενα προγράμματα περιήγησης, ένα σφάλμα σε αυτό είναι ελκυστικό για τους επιτιθέμενους και σημαντικό για όλους τους άλλους να το λάβουν σοβαρά υπόψη.
Το άρθρο που εξετάσαμε αναφέρει μόνο ότι μια zero-day ανακαλύφθηκε πρόσφατα στο Chrome και ότι είναι ένα κρίσιμο σφάλμα. Δεν δίνει τεχνικές λεπτομέρειες, οπότε δεν πρόκειται να τις μαντέψουμε. Αν θέλετε λεπτομέρειες όπως το επηρεαζόμενο στοιχείο ή την ακριβή διορθωμένη έκδοση, ελέγξτε τις επίσημες σημειώσεις έκδοσης του Chrome της Google και το μήνυμα ενημέρωσης μέσα στο ίδιο το πρόγραμμα περιήγησης. Μέχρι να επιβεβαιωθούν αυτές οι λεπτομέρειες, η ασφαλής υπόθεση είναι απλή: αν το πρόγραμμα περιήγησής σας δεν είναι στην τελευταία έκδοση, ενημερώστε το.
Πώς να Ελέγξετε την Έκδοση του Chrome και να την Ενημερώσετε
Το Chrome συνήθως ενημερώνεται μόνο του στο παρασκήνιο, αλλά η ενημέρωση εφαρμόζεται μόνο όταν επανεκκινήσετε το πρόγραμμα περιήγησης. Πολλοί άνθρωποι αφήνουν το Chrome ανοιχτό για ημέρες ή εβδομάδες, πράγμα που σημαίνει ότι μια ληφθείσα επιδιόρθωση μπορεί να μένει αχρησιμοποίητη. Ακολουθεί ένας γρήγορος έλεγχος:
- Ανοίξτε το Chrome και κάντε κλικ στο μενού με τις τρεις τελείες στην επάνω δεξιά γωνία.
- Μεταβείτε στο Βοήθεια και μετά στο Σχετικά με το Google Chrome.
- Το Chrome θα ελέγξει για ενημερώσεις και θα εμφανίσει την τρέχουσα έκδοσή σας. Αν υπάρχει διαθέσιμη ενημέρωση, θα ληφθεί αυτόματα.
- Κάντε κλικ στην Επανεκκίνηση για να ολοκληρώσετε την εγκατάστασή της.
Στο Android και στο iOS, ανοίξτε το κατάστημα εφαρμογών σας, αναζητήστε το Chrome και εγκαταστήστε οποιαδήποτε εκκρεμή ενημέρωση. Αν χρησιμοποιείτε άλλα προγράμματα περιήγησης που βασίζονται στην ίδια μηχανή, όπως Edge, Brave ή Opera, ελέγξτε τα επίσης. Τα προγράμματα περιήγησης που μοιράζονται μια βάση κώδικα συχνά χρειάζονται τη δική τους επιδιόρθωση, και αυτή μπορεί να φτάσει σε διαφορετικό χρονοδιάγραμμα.
Αν διαχειρίζεστε συσκευές για μια ομάδα, επιβεβαιώστε ότι οι αυτόματες ενημερώσεις δεν εμποδίζονται από πολιτική και ότι οι άνθρωποι επανεκκινούν πραγματικά τα προγράμματα περιήγησής τους.
Πώς οι Zero-Day των Προγραμμάτων Περιήγησης Εκθέτουν τα Δεδομένα σας
Το πρόγραμμα περιήγησής σας είναι το μέρος όπου συμβαίνει μεγάλο μέρος της ψηφιακής σας ζωής: email, τραπεζικές συναλλαγές, εργαλεία εργασίας και αποθηκευμένοι κωδικοί πρόσβασης. Μια επιτυχημένη εκμετάλλευση του προγράμματος περιήγησης μπορεί να επιτρέψει σε έναν επιτιθέμενο να εκτελέσει κώδικα στη συσκευή σας, συχνά απλώς κάνοντάς σας να επισκεφθείτε μια κακόβουλη ή παραβιασμένη ιστοσελίδα. Ανάλογα με το σφάλμα, αυτό μπορεί να ανοίξει την πόρτα σε κλεμμένα cookies συνεδρίας, αποθηκευμένα διαπιστευτήρια ή περαιτέρω κακόβουλο λογισμικό.
Το βασικό σημείο είναι ότι η επίθεση συμβαίνει στη συσκευή σας, μέσα στο πρόγραμμα περιήγησης, αφού η ιστοσελίδα σας έχει παραδοθεί. Η κρυπτογράφηση της κίνησης δεν αλλάζει το τι κάνει το πρόγραμμα περιήγησης με το περιεχόμενο που λαμβάνει. Γι' αυτό ένα σφάλμα στο ίδιο το πρόγραμμα περιήγησης είναι διαφορετικού είδους πρόβλημα από την υποκλοπή δικτύου, και γι' αυτό η επιδιόρθωση είναι η κύρια άμυνα.
Η επιχειρηματική πλευρά αυτού αξίζει επίσης να γίνει κατανοητή. Οι μη επιδιορθωμένες εκμεταλλεύσεις μπορεί να είναι δαπανηρές για τους οργανισμούς, ένα θέμα που καλύψαμε στην ανάλυσή μας για την κυβερνο-ανθεκτικότητα των ΜΜΕ μετά από επιθέσεις zero-day.
Πολυεπίπεδη Προστασία: Τι Καλύπτει και Τι Δεν Καλύπτει ένα VPN
Ένα VPN κρυπτογραφεί τη σύνδεση μεταξύ της συσκευής σας και του διακομιστή VPN, και κρύβει τη διεύθυνση IP σας από τους ιστότοπους που επισκέπτεστε. Αυτό είναι χρήσιμο σε δημόσιο Wi-Fi και για τον περιορισμό ορισμένων ειδών παρακολούθησης. Δεν είναι ασπίδα κατά των εκμεταλλεύσεων του προγράμματος περιήγησης. Αν μια κακόβουλη σελίδα χρησιμοποιεί ένα σφάλμα του Chrome, η εκμετάλλευση εκτελείται με τον ίδιο τρόπο είτε η κίνησή σας είναι σηραγγοποιημένη είτε όχι.
Σκεφτείτε την ασφάλεια ως επίπεδα, με το καθένα να καλύπτει έναν διαφορετικό κίνδυνο:
- Ενημερώσεις: Διορθώνουν το ίδιο το σφάλμα. Αυτό είναι το πρώτο και πιο σημαντικό επίπεδο.
- Έλεγχος επεκτάσεων: Λιγότερες επεκτάσεις σημαίνουν μικρότερη επιφάνεια επίθεσης.
- Ασφαλείς συνήθειες περιήγησης: Αποφύγετε απροσδόκητους συνδέσμους και λήψεις.
- Ισχυρή ταυτοποίηση: Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας δύο παραγόντων ώστε ένα κλεμμένο διαπιστευτήριο να είναι λιγότερο χρήσιμο.
- VPN: Προστατεύει την κίνησή σας κατά τη μεταφορά και συγκαλύπτει τη διεύθυνση IP σας. Συμπληρώνει τα υπόλοιπα αλλά δεν τα αντικαθιστά.
Τι Σημαίνει Αυτό για Εσάς
Για τους περισσότερους ανθρώπους, ο πρακτικός αντίκτυπος είναι μικρός αν ενεργήσετε άμεσα. Η ενημέρωση διαρκεί μερικά λεπτά. Ο πραγματικός κίνδυνος προέρχεται από την καθυστέρηση, καθώς οι επιτιθέμενοι κινούνται γρήγορα μόλις ένα σφάλμα γίνει δημόσιο. Αν αναβάλλατε την επανεκκίνηση του προγράμματος περιήγησης, τώρα είναι η ώρα. Αν βασίζεστε σε ένα VPN και υποθέσατε ότι σας κάλυπτε εδώ, προσαρμόστε αυτή την προσδοκία: χειρίζεται το απόρρητο δικτύου, όχι τα σφάλματα του προγράμματος περιήγησης.
Βασικά Συμπεράσματα
- Ενημερώστε το Chrome τώρα και κάντε κλικ στην Επανεκκίνηση ώστε η επιδιόρθωση να εφαρμοστεί πραγματικά.
- Ελέγξτε άλλα προγράμματα περιήγησης που βασίζονται στο Chromium και τις εφαρμογές σας για κινητά επίσης.
- Εξετάστε τις επεκτάσεις σας και αφαιρέστε όσες δεν χρησιμοποιείτε πλέον ή δεν αναγνωρίζετε.
- Αντιμετωπίστε ένα VPN ως ένα επίπεδο ανάμεσα σε πολλά, όχι ως λύση για μια ενημέρωση zero-day ευπάθειας του Chrome.
- Επιβεβαιώστε τις τεχνικές λεπτομέρειες μέσω των επίσημων σημειώσεων έκδοσης της Google αντί να βασίζεστε σε αόριστες αναφορές.
Για ευρύτερο πλαίσιο σχετικά με το κόστος που μπορούν να έχουν οι μη επιδιορθωμένες εκμεταλλεύσεις για τους οργανισμούς, διαβάστε το άρθρο μας για την κυβερνο-ανθεκτικότητα των ΜΜΕ μετά από επιθέσεις zero-day.
