3 motivi per cui il Chromebook non risolve i problemi di sicurezza digitale

Google ChromeOS, a prima vista, è qualcosa di touchdown per la sicurezza del sistema operativo. È probabilmente il sistema operativo più sicuro al mondo (a costo di alcune funzionalità limitate Tutto quello che c'è da sapere su come passare a un Chromebook Tutto quello che c'è da sapere su come passare a un Chromebook Chromebook esegue un sistema operativo snellito ottimizzato per essere acceso il Web con solo il browser Chrome e le app di Chrome. Puoi passare a un Chromebook? Ulteriori informazioni). Sfortunatamente, ChromeOS non è una panacea e permangono gravi problemi di sicurezza riguardo alla piattaforma.

Prima, però, le buone notizie:

ChromeOS (il sistema operativo linux ridotto che funziona su netbook economici con marchio Chrome Toshiba CB35-A3120 Recensione e omaggio del Chromebook Toshiba CB35-A3120 Recensione e omaggio del Chromebook Puoi ottenere alcuni Chromebook davvero economici se stai bene con un 11.6- display pollici. Per saperne di più) ha un sacco di funzioni davvero carine per gli utenti attenti alla sicurezza. Il codice di bootloading è memorizzato nella memoria di sola lettura e controlla la firma digitale del kernel del sistema operativo prima dell'avvio (il file “avvio verificato” caratteristica). Poiché il bootloader è in ROM, gli hacker non possono modificarlo senza interferire fisicamente con il chip. Se i file di sistema falliscono il controllo, il bootloader semplicemente resetterà l'intera macchina alle impostazioni di fabbrica, distruggendo qualsiasi codice dannoso che potrebbe essere stato inserito.

La sicurezza della piattaforma è ulteriormente rafforzata perché si basa su app Web, che vengono eseguite in una sandbox: i loro thread e la memoria sono tenuti separati, teoricamente impedendo a un'app Web dannosa di accedere alle informazioni o di assumere il controllo di altre app. Gli aggiornamenti di sistema contenenti correzioni di sicurezza vengono applicati automaticamente e in modo invisibile quando il computer è connesso alla rete, per garantire che i Chromebook siano sempre aggiornati. Esistono anche alcune opzioni di sicurezza Protezione del Chromebook con due semplici trucchi Protezione del Chromebook con due semplici ritocchi Uno dei vantaggi più apprezzati di un Chromebook è la sua sicurezza. Ma ci sono dei passi che i proprietari possono intraprendere per migliorare e migliorare l'attuale livello di protezione? Ulteriori informazioni è possibile abilitare per proteggere il dispositivo da utenti malintenzionati con accesso fisico al dispositivo. Cercare di ottenere malware su una macchina ChromeOS non è un compito invidiabile. Puoi leggere ulteriori informazioni sulla sicurezza della piattaforma ChromeOS qui.

Allora, qual'è il problema?

Non puoi fidarti della sandbox

Sfortunatamente, la sicurezza offerta dal sandboxing web è in gran parte informale e non dimostrata. Un sacco di sandbox, incluso Java, hanno rilevato bug che consentivano alle applicazioni di uscire da essi ed eseguire istruzioni arbitrarie sulla macchina. Chrome stesso ha avuto attacchi di rottura sandbox dimostrati contro di esso da hacker black-hat. Questi specifici exploit sono ora corretti, ma non c'è garanzia che non ce ne siano altri. Rik Ferguson, un ricercatore di sicurezza, lo mette così:

“Gli exploit che escono dalla sandboxing sono già stati dimostrati per Internet Explorer, per Java, per Google Android e ovviamente per il browser Chrome (solo per citarne alcuni), mentre la sandbox di Google è efficace, non è impenetrabile e fa affidamento su per il 100% la sicurezza sarebbe miope.”

Il peggior criminale qui è il web interattivo, in particolare WebGL, un'implementazione di OpenGL (una libreria grafica comune) destinata all'uso nei browser web. WebGL ti consente di eseguire dimostrazioni 3D grafiche dal tuo browser, il che è molto interessante (come questi esempi), ma sfortunatamente è anche un incubo per la sicurezza. WebGL consente alle app Web di inviare istruzioni shader arbitrarie alla scheda video della macchina, che consente un intero arcobaleno fantasioso di possibili exploit di sandbox. La posizione ufficiale di Microsoft è che WebGL è troppo insicuro per uso interno:

“La sicurezza di WebGL nel suo complesso dipende dai livelli inferiori del sistema, inclusi i driver OEM, garantendo le garanzie di sicurezza di cui non hanno mai veramente bisogno di preoccuparsi prima. Gli attacchi che in precedenza potevano comportare solo l'elevazione locale dei privilegi possono ora portare a un compromesso remoto. Sebbene sia possibile attenuare questi rischi in una certa misura, la grande superficie di attacco esposta da WebGL rimane una preoccupazione. Ci aspettiamo di vedere bug che esistono solo su determinate piattaforme o con determinate schede video, potenzialmente per facilitare attacchi mirati.”

Non puoi fidarti del cloud

Ancora peggio delle possibili minacce contro la sandbox, tuttavia, è la natura della piattaforma stessa. I Chromebook, in base alla progettazione, dipendono fortemente dal cloud. Se distruggi accidentalmente il tuo Chromebook (ad esempio, calpestandolo o lasciandolo cadere in un lago di roccia fusa), i tuoi dati non scompaiono. Puoi semplicemente acquistarne uno nuovo, accedere e recuperare tutti i tuoi dati e le tue impostazioni.

Sfortunatamente, ciò espone gli utenti a notevoli rischi sul lato cloud dell'equazione. Sean Gallagher di Ars Technica sottolinea nel suo editoriale “Perché l'NSA ama il Chromebook di Google,” sappiamo che la NSA ha avuto (e potrebbe ancora avere) backdoor invasive nel cloud storage di Google e può utilizzarla per spiare tutti i file degli utenti di Drive, compresi quelli che utilizzano Chromebook. Come dice Gallagher,

“Niente di tutto questo è necessariamente colpa di Google. Ma è una debolezza del browser come piattaforma: spingendo quasi tutte le risorse di elaborazione per le applicazioni, oltre alla presentazione, il backup nel cloud, il modello Chromebook crea un punto di accesso unico per gli hacker o gli osservatori per immergersi nel tuo mondo informatico.”

Neanche l'NSA. Mentre il bootloader affidabile può proteggerti da modifiche persistenti e dannose al sistema operativo che segnalano le tue azioni, anche una singola violazione della sicurezza da parte di un'app Web potrebbe essere sufficiente per rubare le tue chiavi e i dettagli di autenticazione, che un utente malintenzionato potrebbe quindi utilizzare per accedere i tuoi dati cloud e sfogliali a loro piacimento.

Arrivano le app native

A peggiorare le cose, la sandbox di ChromeOS non è un paradigma particolarmente puro: le estensioni del browser che si trovano in cima alle pagine web, come Adblock Plus e Google Translate, sono codici nativi in ​​esecuzione sulla macchina e possono fare tutti i tipi di cose brutte ( incluso la visualizzazione di adware e spiare le tue password). Sono disponibili anche estensioni che possono essere rilevate e rimosse altre estensioni dannose, una forma del software anti-virus di cui ChromeOS non dovrebbe aver bisogno. Per il credito di Google, ChromeOS installa solo app dell'archivio delle estensioni di Chrome che hanno già ottenuto il processo di approvazione di Google. Sfortunatamente, quel processo di controllo si basa sul giudizio umano e le garanzie fornite da quel controllo sono molto più deboli di quelle fornite dal buon sandboxing.

La situazione peggiora: Google prevede di implementare app native sotto forma di app Android, eseguite in ChromeOS tramite un livello di interfaccia. Si tratta di app native che introducono un'intera gamma di problemi di sicurezza per ChromeOS e tali problemi di sicurezza sono resi più gravi dalla vulnerabilità relativa del cloud al furto di chiavi. Le violazioni sono più serie quando sono invisibili e persistenti.

Ora, ovviamente, qualsiasi app Android consentita su ChromeOS verrà presumibilmente controllata con attenzione dal team di Google per codice malevolo, ma semplicemente non è una garanzia sufficiente per bloccare la sicurezza della macchina. Anche se il codice non è malevolo, verrà quasi certamente fornito con i propri exploit e vulnerabilità che potrebbero essere utilizzati per accedere al sistema operativo. Il codice nativo è pericoloso e viola i principi di sicurezza che sono intesi a mantenere sicuro ChromeOS.

ChromeOS: sicuro, ma esistono preoccupazioni

Vale la pena prendere un momento qui per ribadire che ChromeOS è molto sicuro. Se utilizzi Windows, Linux o OSX, ChromeOS è un passo avanti più sicuro. In realtà, questo è vero praticamente per tutti i sistemi operativi, tranne Plan 9, un sistema operativo iper-sicuro così oscuro da evitare almeno parzialmente il malware non avendo alcun "ware" di cui parlare. Tuttavia, non considerare questo come una scusa per non prestare attenzione: permangono gravi problemi di sicurezza relativi a ChromeOS, e vale la pena tenerne conto quando si ha fiducia nel computer con informazioni sensibili.

Crediti immagine: hacker con un computer portatile via Shutterstock, “Chrome Lapel Pin” di Stephen Shankland, “Chromebook“, di slgckgc, “Test fotografico per Chromebook“, di ?? ?, “Kryha-Chiffriermaschine, Kryha-Encryption Device“, di Ryan Somma

Scopri di più su: Chromebook, Cloud Computing, Google Chrome, Sicurezza online.