sabato 12 marzo 2011

Chrome e Opera a rischio SICUREZZA (phishing)!!!

Chrome e Opera a rischio SICUREZZA (phishing)!!!

Ho scovato un piccolo problema che riguarda i browser più veloci al mondo. Sto parlando di Chrome e Opera. I due browser non segnalano nessun warning quando un utente clicca su un url costruito ad hoc per effettuare l'ormai famoso attacco phishing.

Sfruttiamo l'autenticazione di un utente sul browser nello stile:
utente@dominio
In utente inseriamo una stringa maligna e in dominio inseriamo la nostra pagina fake.

Esempio di url fasullo:

facebook.com$casualstring=longggggggg=fdsafdfdsa=fdsabcvbvcb=543252=reergfdgfdgfdvcxvxcvxcvcxadasdas=dsadsadsa=dasdasd@facebook.it0q48918911656156543543543543165523523523523523523525423523.9w9.org



L'utente vedendo iniziare l'indirizzo con "facebook.com" crede di collegarsi ad esso, invece entra in una classica pagina fake.

Ho testato l'url fasullo con Opera, Google Chrome, Firefox e Safari.
  • Firefox e Safari segnalano un Warning chiedendo l'utente se vogliono continuare con l'operazione.
  • Google Chrome e Opera non segnalano nessun Warning facendo cadere in trappola molti utenti distratti.
Video Dimostrativo con i test effettuati

Speriamo correggano presto il problema!!!

Aggiornamento Domenica 13 Marzo 2011
Ho segnalato il problema a Adam Barth, la sua risposta è stata:
"...we do not consider this behavior to be a phishing risk."
-----------------------------------------------------------------------------
 
Quindi questo problemino non verrà risolto... (almeno per il momento)

Canale Ufficiale Youtube: http://www.youtube.com/tail0t