Atas Permintaan Adobe,' clickjacking 'Hacker Nix' Bicara

Setelah Adobe Systems meminta mereka untuk tetap diam tentang temuan mereka, dua peneliti keamanan telah menarik diri dari pembicaraan teknis di mana mereka akan menunjukkan bagaimana mereka bisa menguasai browser korban menggunakan serangan online yang disebut 'clickjacking '

Robert Hansen dan Jeremiah Grossman telah diatur untuk menyampaikan ceramah mereka minggu depan pada konferensi OWASP (Open Web Application Security Project) di New York. Tapi bukti kode konsep yang mereka kembangkan menunjukkan bagaimana serangan clickjacking mereka bekerja membocorkan bug di salah satu produk Adobe. Setelah seminggu diskusi dengan Adobe, para peneliti memutuskan Jumat lalu untuk menarik pembicaraan.

Meskipun Hansen dan Grossman percaya bahwa kesalahan clickjacking pada akhirnya terletak pada cara peramban Internet dirancang, Adobe meyakinkan mereka untuk menunda diskusi mereka sampai mereka bisa merilis patch. "Adobe berpikir mereka dapat melakukan sesuatu untuk membuat peretasan lebih keras," kata Grossman, CTO dengan White Hat Security, dalam sebuah wawancara.

Dalam serangan clickjacking, penyerang menipu korban untuk mengklik tautan Web berbahaya tanpa menyadarinya. Jenis serangan ini telah dikenal selama bertahun-tahun, tetapi belum dianggap sangat berbahaya. Para ahli keamanan mengira itu dapat digunakan untuk melakukan penipuan klik iklan atau untuk menggembungkan peringkat Digg untuk halaman Web, misalnya.

Namun, dalam menulis kode bukti-konsep mereka, Hansen dan Grossman menyadari bahwa clickjacking sebenarnya lebih sungguh serius dari yang mereka pikirkan.

"Ketika kami akhirnya membangunnya dan mendapatkan bukti konsep itu sangat buruk," kata Grossman. "Jika saya mengendalikan apa yang Anda klik, seberapa buruk yang dapat saya lakukan? Ternyata Anda dapat melakukan sejumlah hal yang benar-benar buruk."

Baik Grossman maupun Hansen, CEO konsultan SecTheory, ingin masuk ke spesifik dari serangan mereka. Namun, Tom Brennan, penyelenggara konferensi OWASP mengatakan bahwa ia telah melihat kode serangan yang ditunjukkan dan bahwa itu memungkinkan penyerang untuk mengendalikan sepenuhnya desktop korban.

Para peneliti mengatakan bahwa mereka tidak ditekan oleh Adobe untuk menghentikan pembicaraan mereka.. "Ini bukan kejahatan 'orang itu sedang mencoba untuk menjaga kita peretasan' situasi," Hansen menulis Senin di blog-nya.

Akhir Senin, Adobe diposting catatan, berterima kasih kepada para peneliti untuk menjaga bug pribadi dan menunjukkan bahwa Perusahaan sedang bekerja untuk mengatasi masalah.

Bahkan jika mengungkapkan bug dapat membantu penyerang, Brennan dari OWASP mengatakan bahwa para peneliti harus tetap melanjutkan dan memberikan ceramah mereka untuk memberi para profesional TI kesempatan untuk memahami sifat sebenarnya dari ancaman tersebut.. "Ada masalah zero-day di browser yang mempengaruhi jutaan orang saat ini," katanya. "Ketika seseorang membahasnya, itu menempatkan semua orang di lapangan bermain yang sama."

Hansen dan Grossman mengatakan bahwa mereka juga mengharapkan Microsoft untuk menambal bug terkait di Internet Explorer, dan bahwa banyak browser lain juga dipengaruhi oleh masalah clickjacking. "Kami percaya itu lebih atau kurang masalah keamanan browser," kata Grossman.