ช่องโหว่ zero-day ที่เพิ่งได้รับการรายงานใน Google Chrome ได้ดึงความสนใจไปทั่วชุมชนเทคโนโลยี บทความต้นทางที่อธิบายเรื่องนี้มีรายละเอียดทางเทคนิคน้อยมาก โดยระบุว่าข้อบกพร่องนี้เป็นระดับวิกฤตและกล่าวว่ามันทำให้เกิดคำถามในวงกว้างเกี่ยวกับความปลอดภัยของเบราว์เซอร์ แต่ไม่ได้ระบุหมายเลข CVE เวอร์ชันแพตช์ หรือวันที่ใดๆ ซึ่งจำกัดสิ่งที่เราสามารถพูดได้อย่างมีความรับผิดชอบเกี่ยวกับตัวบั๊กเอง แต่ไม่ได้จำกัดสิ่งที่คุณสามารถทำได้เกี่ยวกับเรื่องนี้ การติดตั้งอัปเดตช่องโหว่ zero-day ของ Chrome ล่าสุดเป็นขั้นตอนที่มีประโยชน์ที่สุดเพียงขั้นตอนเดียว และมีความสำคัญมากกว่าเครื่องมือความเป็นส่วนตัวใดๆ ที่คุณอาจใช้งานอยู่ควบคู่กัน
สิ่งที่เรารู้เกี่ยวกับ Chrome Zero-Day
Zero-day คือข้อบกพร่องของซอฟต์แวร์ที่ผู้โจมตีสามารถใช้ประโยชน์ได้ก่อนที่ผู้พัฒนาจะออกแพตช์ หรือในขณะที่แพตช์ยังคงส่งถึงผู้ใช้อยู่ ชื่อนี้มาจากข้อเท็จจริงที่ว่านักพัฒนามีเวลาศูนย์วันในการตอบสนอง เนื่องจาก Chrome เป็นหนึ่งในเบราว์เซอร์ที่ใช้กันอย่างแพร่หลายที่สุด ข้อบกพร่องใน Chrome จึงเป็นเป้าหมายที่น่าสนใจสำหรับผู้โจมตีและเป็นเรื่องสำคัญที่ทุกคนควรให้ความสนใจอย่างจริงจัง
บทความที่เราตรวจสอบระบุเพียงว่าเมื่อไม่นานมานี้มีการค้นพบ zero-day ใน Chrome และเป็นข้อบกพร่องระดับวิกฤต ไม่ได้ให้รายละเอียดทางเทคนิค ดังนั้นเราจะไม่คาดเดาเกี่ยวกับรายละเอียดเหล่านั้น หากคุณต้องการรายละเอียด เช่น ส่วนประกอบที่ได้รับผลกระทบหรือเวอร์ชันที่แก้ไขแล้วอย่างแน่ชัด โปรดตรวจสอบบันทึกการเผยแพร่ Chrome อย่างเป็นทางการของ Google และการแจ้งเตือนอัปเดตภายในเบราว์เซอร์เอง จนกว่าข้อมูลเหล่านั้นจะได้รับการยืนยัน สมมติฐานที่ปลอดภัยนั้นเรียบง่าย: หากเบราว์เซอร์ของคุณไม่ได้อยู่ในเวอร์ชันล่าสุด ให้อัปเดต
วิธีตรวจสอบเวอร์ชัน Chrome และอัปเดต
โดยปกติ Chrome จะอัปเดตตัวเองในเบื้องหลัง แต่การอัปเดตจะมีผลก็ต่อเมื่อคุณรีสตาร์ทเบราว์เซอร์ หลายคนเปิด Chrome ทิ้งไว้หลายวันหรือหลายสัปดาห์ ซึ่งหมายความว่าแพตช์ที่ดาวน์โหลดมาแล้วอาจยังไม่ได้ถูกใช้งาน นี่คือวิธีตรวจสอบอย่างรวดเร็ว:
- เปิด Chrome แล้วคลิกเมนูสามจุดที่มุมขวาบน
- ไปที่ Help แล้วเลือก About Google Chrome
- Chrome จะตรวจสอบอัปเดตและแสดงเวอร์ชันปัจจุบันของคุณ หากมีอัปเดตavailable มันจะดาวน์โหลดโดยอัตโนมัติ
- คลิก Relaunch เพื่อติดตั้งให้เสร็จสิ้น
บน Android และ iOS ให้เปิดแอปสโตร์ของคุณ ค้นหา Chrome และติดตั้งอัปเดตใดๆ ที่ค้างอยู่ หากคุณใช้เบราว์เซอร์อื่นที่สร้างบนเอนจินเดียวกัน เช่น Edge, Brave หรือ Opera ให้ตรวจสอบเบราว์เซอร์เหล่านั้นด้วย เบราว์เซอร์ที่ใช้ฐานโค้ดร่วมกันมักต้องการแพตช์ของตัวเอง และอาจมาถึงตามกำหนดเวลาที่แตกต่างกัน
หากคุณดูแลอุปกรณ์ให้กับทีม ตรวจสอบให้แน่ใจว่าการอัปเดตอัตโนมัติไม่ถูกบล็อกโดยนโยบาย และผู้คนกำลังรีสตาร์ทเบราว์เซอร์ของตนจริงๆ
ช่องโหว่ Zero-Day ของเบราว์เซอร์เปิดเผยข้อมูลของคุณอย่างไร
เบราว์เซอร์ของคุณเป็นที่ที่ชีวิตดิจิทัลส่วนใหญ่เกิดขึ้น: อีเมล ธนาคาร เครื่องมือทำงาน และรหัสผ่านที่บันทึกไว้ การโจมตีเบราว์เซอร์ที่สำเร็จสามารถทำให้ผู้โจมตีรันโค้ดบนอุปกรณ์ของคุณได้ ซึ่งมักเกิดจากการที่คุณเข้าไปยังหน้าเว็บที่เป็นอันตรายหรือถูกบุกรุก ขึ้นอยู่กับช่องโหว่ สิ่งนี้อาจเปิดประตูสู่การขโมยคุกกี้เซสชัน ข้อมูลรับรองที่บันทึกไว้ หรือมัลแวร์เพิ่มเติม
ประเด็นสำคัญคือการโจมตีเกิดขึ้นบนอุปกรณ์ของคุณ ภายในเบราว์เซอร์ หลังจากที่หน้าเว็บถูกส่งมาถึงคุณแล้ว การเข้ารหัสทราฟฟิกไม่เปลี่ยนแปลงสิ่งที่เบราว์เซอร์ทำกับเนื้อหาที่ได้รับ นั่นคือเหตุผลที่ข้อบกพร่องในเบราว์เซอร์เองเป็นปัญหาที่แตกต่างจากการดักฟังเครือข่าย และเป็นเหตุผลที่การแพตช์เป็นการป้องกันหลัก
ด้านธุรกิจของเรื่องนี้ก็ควรค่าแก่การทำความเข้าใจเช่นกัน การโจมตีที่ไม่ได้รับการแพตช์อาจมีค่าใช้จ่ายสูงสำหรับองค์กร ซึ่งเป็นหัวข้อที่เราได้ครอบคลุมไว้ในบทความของเราเกี่ยวกับความสามารถในการฟื้นตัวทางไซเบอร์ของ SME หลังจากゼro-day attacks
การป้องกันแบบหลายชั้น: VPN ทำอะไรได้และไม่ได้ครอบคลุมอะไร
VPN เข้ารหัสการเชื่อมต่อระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN และซ่อนที่อยู่ IP ของคุณจากเว็บไซต์ที่คุณเยี่ยมชม ซึ่งมีประโยชน์บน Wi-Fi สาธารณะและสำหรับจำกัดการติดตามบางประเภท แต่ไม่ใช่เกราะป้องกันการโจมตีเบราว์เซอร์ หากหน้าเว็บที่เป็นอันตรายใช้ช่องโหว่ของ Chrome การโจมตีจะทำงานในลักษณะเดียวกันไม่ว่าทราฟฟิกของคุณจะถูก tunnel หรือไม่
คิดว่าความปลอดภัยเป็นชั้นๆ โดยแต่ละชั้นครอบคลุมความเสี่ยงที่แตกต่างกัน:
- การอัปเดต: แก้ไขข้อบกพร่องเอง นี่คือชั้นแรกและสำคัญที่สุด
- การตรวจสอบส่วนขยาย: ส่วนขยายที่น้อยลงหมายถึงพื้นผิวการโจมตีที่เล็กลง
- นิสัยการท่องเว็บที่ปลอดภัย: หลีกเลี่ยงลิงก์และการดาวน์โหลดที่ไม่คาดคิด
- การรับรองความถูกต้องที่แข็งแกร่ง: ใช้รหัสผ่านที่ไม่ซ้ำกันและการรับรองความถูกต้องสองขั้นตอน เพื่อให้ข้อมูลรับรองที่ถูกขโมยมีประโยชน์น้อยลง
- VPN: ปกป้องทราฟฟิกของคุณระหว่างการส่งและปกปิดที่อยู่ IP ของคุณ มันเสริมส่วนอื่นๆ แต่ไม่ได้แทนที่
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
สำหรับคนส่วนใหญ่ ผลกระทบในทางปฏิบัติมีน้อยหากคุณดำเนินการทันที การอัปเดตใช้เวลาเพียงไม่กี่นาที ความเสี่ยงที่แท้จริงมาจากความล่าช้า เนื่องจากผู้โจมตีเคลื่อนไหวอย่างรวดเร็วเมื่อข้อบกพร่องเป็นที่เปิดเผย หากคุณเลื่อนการรีสตาร์ทเบราว์เซอร์มาตลอด ตอนนี้คือ waktu ที่เหมาะสม หากคุณพึ่งพา VPN และคิดว่ามันครอบคลุมคุณในกรณีนี้ ให้ปรับความคาดหวังนั้น: มันจัดการความเป็นส่วนตัวของเครือข่าย ไม่ใช่บั๊กของเบราว์เซอร์
ประเด็นสำคัญ
- อัปเดต Chrome ทันทีและคลิก Relaunch เพื่อให้แพตช์มีผลจริง
- ตรวจสอบเบราว์เซอร์อื่นที่ใช้ Chromium และแอปบนมือถือของคุณด้วย
- ตรวจสอบส่วนขยายของคุณและลบส่วนขยายที่คุณไม่ได้ใช้แล้วหรือไม่รู้จัก
- มอง VPN เป็นเพียงชั้นหนึ่งในหลายชั้น ไม่ใช่การแก้ไขสำหรับการอัปเดตช่องโหว่ zero-day ของ Chrome
- ยืนยันรายละเอียดทางเทคนิคผ่านบันทึกการเผยแพร่อย่างเป็นทางการของ Google แทนที่จะพึ่งพารายงานที่คลุมเครือ
สำหรับบริบทที่กว้างขึ้นเกี่ยวกับค่าใช้จ่ายที่การโจมตีที่ไม่ได้รับการแพตช์อาจสร้างให้กับองค์กร โปรดอ่านบทความของเราเกี่ยวกับความสามารถในการฟื้นตัวทางไซเบอร์ของ SME หลังจาก zero-day attacks
