Útok Browser-in-the-Browser (BitB): proč už nelze věřit adresnímu řádku
Bezpečnostní rada, kterou zná téměř každý, zní jednoduše: zkontroluj adresní řádek. Útok Browser-in-the-Browser toto pravidlo zbavuje smyslu, protože napadá právě ty vizuální prvky, na které se člověk spoléhá.
Chraňte svá přihlášení pomocí Total Adblock
Pokud souhlasí URL a svítí ikona zámku, jsi v bezpečí. Na tomto jediném pravidle si miliony lidí postavily celou představu o tom, jak poznat důvěryhodnou stránku. Útok Browser-in-the-Browser toto pravidlo zbavuje smyslu, protože napadá právě ty vizuální prvky, na které se člověk spoléhá.
Tento článek vysvětluje, proč vizuální kontrola přestala stačit, jak je falešné přihlašovací okno sestaveno, proč běžné bezpečnostní návyky proti němu selhávají a na které vrstvě dokáže technologie Total Adblock zasáhnout. Jako v ostatních textech této série jsou hranice každé obrany popsány přímo, bez přehánění.
Konec vizuálního ověřování
Roky platilo, že rozpoznat podvod znamená pozorně se dívat. Nesprávná doména, chybějící zámek, podezřelá adresa — to byly signály, které měly varovat. Celý model bezpečnosti tak stál na předpokladu, že to, co vidíte v prohlížeči, odpovídá tomu, co se skutečně děje.
BitB tento předpoklad rozbíjí. Nejde o to obelstít vaši ostražitost falešnou doménou, kterou byste při bližším pohledu odhalili. Jde o to nakreslit dokonalou kopii samotného prohlížeče uvnitř webové stránky. To, co vypadá jako druhé přihlašovací okno, je ve skutečnosti obrázek či vykreslený prvek navržený k odcizení vašich přihlašovacích údajů. Oko nemá čeho se chytit, protože podvrh napodobuje přesně ty prvky, které měly sloužit jako důkaz pravosti.
“ Kontrolujete obrázek, nikoli skutečné spojení.
Jak je klam sestaven
BitB zneužívá způsob, jakým moderní weby zpracovávají přihlášení přes vyskakovací okno — tedy tlačítka typu „Přihlásit se přes Google” nebo „Přihlásit se přes Microsoft”. Uživatelé jsou na taková okna zvyklí, a právě tato důvěra je zneužita. Průběh útoku má několik fází.
-
1
Spouštěč
Navštívíte stránku, která vypadá věrohodně, ale je připravená útočníkem. Nabízí tlačítko „Přihlásit se”. Po kliknutí se objeví okno, jež působí jako běžné vyskakovací okno prohlížeče.
-
2
Věrná kopie
Kód útočníka vykreslí obrázek nebo prvek iframe, který napodobuje uživatelské rozhraní vašeho prohlížeče do detailu — adresní řádek, ikonu, ovládací tlačítka i symbol zámku.
-
3
Iluze bezpečí
Adresní řádek uvnitř falešného okna není funkční. Je to statický obrázek nebo řízené vstupní pole, které útočník ovládá. Může v něm zobrazit libovolnou adresu, klidně doménu vaší firmy nebo ověřeného bankovního portálu.
-
4
Sběr údajů
Zadáte přihlašovací údaje v přesvědčení, že jste na pravé stránce. Protože se okno vykresluje na škodlivé stránce, data putují přímo k útočníkovi. Ten vás pak nenápadně přesměruje na skutečný web, takže nemáte důvod cokoli tušit.
Proč běžné návyky selhávají
Nebezpečí BitB spočívá v tom, že obchází právě ty kontroly, které lidé považují za spolehlivé.
Zámek už nic nedokazuje
Útočník ovládá celou plochu okna, takže nepotřebuje zabezpečené spojení — stačí, aby vykreslil obrázek zámku, který vypadá důvěryhodně. Symbol, jenž měl potvrzovat šifrování, se stává pouhou dekorací.
Kontrola domény ztrácí smysl
„Adresní řádek” je zde jen součástí vzhledu stránky, není napojený na navigační jádro prohlížeče. Ignoruje skutečnou URL a zobrazuje název domény, který si útočník zvolí.
Zvyk na vyskakovací okna se obrací proti vám
Lidé jsou naučeni čekat vyskakovací okno při přihlašování. Napodobením tohoto vzorce útočník zneužívá vaši vlastní rutinu — okno se objeví přesně tam a tak, jak očekáváte.
Nástroje nejsou porouchané
Vzorec je stejný jako v předchozích článcích této série: nástroje nejsou porouchané. Jen hlídají dveře, kterými tento útok neprochází. Prohlížeč vidí celý podvod jako jednu běžnou webovou stránku, a proto nemá důvod cokoli označit.
Kde dokáže obrana zasáhnout
Zúžíme-li problém na jeho podstatu, zbývá jediná závislost. Celý klam funguje pouze tehdy, pokud se falešné okno napodobující rozhraní prohlížeče skutečně vykreslí. Zachytíte-li ten okamžik vykreslení, podvržené okno se nikdy nezobrazí a není kam údaje zadat.
Běžné blokovače
Hledají jen sledovací skripty a s každým prvkem okna zacházejí jako s objektem, který se smí bez otázek zobrazit.
UI-Sanitization od Total Adblock
Sleduje logiku vykreslování samotného okna prohlížeče. Rozhraní prohlížeče bere jako chráněný prostor, nikoli jako další objekt, který se má bez otázek zobrazit.
Upřímné hranice
Filtrování na úrovni vykreslování brání zobrazení podvrženého okna od tohoto okamžiku dál. Nevrací zpět údaje, které jste už zadali do falešného okna při dřívější návštěvě, a nemění způsob, jakým s vašimi daty nakládá cizí stránka mimo prohlížeč. Jeho úkolem je uzavřít cestu vpřed — a proti metodě, která spoléhá na to, že klam uvidíte a uvěříte mu, je právě tato cesta ta rozhodující. Protože kontrola míří na vzorce napodobující rozhraní prohlížeče, a ne na běžné vyskakovací prvky, legitimní přihlašovací okna dál fungují normálně.
Jak začít s Total Adblock
Uvedení aplikace Total Adblock do provozu je otázkou několika kroků. Níže je obecný přehled od instalace až po každodenní používání.
-
1
Instalace
Přidejte aplikaci Total Adblock do svého prohlížeče nebo zařízení podle pokynů poskytnutých při stažení. Postupujte dle oficiálních instrukcí poskytovatele.
-
2
Nastavení
Po prvním spuštění projděte nabízená nastavení. Můžete zvolit úroveň ochrany a rozsah filtrování podle svých potřeb.
-
3
Aktivace
Zapněte ochranu a případně aktivujte svůj účet. Aplikace poté začne pracovat na pozadí během vašeho prohlížení.
-
4
Používání
Prohlížejte web jako obvykle. Aplikace průběžně vyhodnocuje obsah stránek a v případě potřeby zasahuje ještě před jeho zobrazením.
Co můžete očekávat
Aplikace Total Adblock cílí na obecné přínosy v oblasti soukromí a plynulosti prohlížení. Skutečné výsledky se mohou lišit podle vašeho zařízení a způsobu používání.
Silnější soukromí
Omezení sledovacích prvků může přispět k tomu, že o vašem chování na webu putuje méně dat třetím stranám.
Méně rušivých reklam a trackerů
Filtrování reklamních a sledovacích prvků může zpřehlednit stránky a omezit vyrušování během čtení.
Rychlejší načítání
Když se nemusí stahovat některé reklamní a sledovací komponenty, stránky se mohou zobrazovat plynuleji.
Bezpečnější prohlížení
Zásahy na úrovni vykreslování mohou pomoci omezit expozici některým klamavým prvkům, jako jsou napodobeniny rozhraní.
Časté dotazy
Jde o techniku, při níž se uvnitř webové stránky vykreslí věrná napodobenina okna prohlížeče včetně adresního řádku a zámku. Cílem je vzbudit dojem důvěryhodného přihlašovacího okna a získat vaše údaje.
Falešné okno není napojené na navigační jádro prohlížeče. Adresní řádek v něm je jen obrázek nebo řízené pole, které útočník ovládá, takže může zobrazit libovolnou adresu.
Aplikace sleduje logiku vykreslování a snaží se rozpoznat vzorce používané k vytvoření napodobeniny rozhraní prohlížeče. Pokud takový pokus objeví, může zabránit jeho zobrazení.
Ne. Žádný nástroj nedokáže zaručit stoprocentní ochranu. Filtrování na úrovni vykreslování řeší jeden konkrétní typ klamu a nenahrazuje obezřetnost ani další bezpečnostní opatření.
Kontrola míří na vzorce napodobující rozhraní prohlížeče, nikoli na běžné vyskakovací prvky. Legitimní přihlašovací okna by proto měla dál fungovat obvyklým způsobem.
Omezení stahování některých reklamních a sledovacích komponent může naopak přispět k plynulejšímu načítání. Skutečný dopad závisí na vašem zařízení a navštěvovaných stránkách.
Před nákupem doporučujeme zkontrolovat aktuální podrobnosti a podmínky přímo u poskytovatele produktu prostřednictvím tlačítek na této stránce.
Nechte Total Adblock zastavit vykreslení falešného okna dřív, než se objeví
Silnější soukromí, méně rušivých reklam a trackerů a plynulejší prohlížení — ve prospěch stránek, které jste si sami zvolili.
Chraňte svá přihlášení pomocí Total Adblock
Výsledky se mohou lišit v závislosti na individuálních okolnostech a používání produktu.