Sandbox, un efficace approccio dei browser alla sicurezza del web

La scelta di misure di sicurezza per la protezione del sistema operativo non passa soltanto attraverso l???utilizzo di specifici software quali, ad esempio, antivirus e firewall, ma anche indirettamente tramite la scelta del browser con il quale poter navigare.

Dando uno sguardo ai dati relativi alla diffusione negli ultimi due anni dei cinque principali browser si evince chiaramente il successo che Google Chrome ha ottenuto dal 2008, anno del suo rilascio, ad oggi e che lo porta ad essere attualmente il browser maggiormente utilizzato.

Negli ultimi anni i browser si sono trasformati sempre pi?? da semplici parser HTML ad applicativi multifunzione sempre pi?? complessi, costretti ad interagire con svariate tecnologie di terze parti, plugin vari necessari per poter riprodurre i diversi formati presenti ad oggi nel web – Adobe Flash, Microsoft Silverlight, Oracle Java sono solo alcuni esempi.

La sicurezza di un browser non ?? quindi data soltanto dalla stabilit?? del proprio codice – sebbene questa ricopra un ruolo di primaria importanza – ma anche da quella dei plugin installati. Una falla nel plugin di Abode Flash, ad esempio, potrebbe compromettere la sicurezza dell???intero sistema, a meno che il browser non sia pronto a gestire tale eventualit??. Eventualit??, questa, tutt???altro che remota ma che ??, anzi, predominante negli attacchi da remoto che ogni giorno vengono scoperti online.

Nel corso degli anni sono state applicate dagli sviluppatori dei maggiori browser differenti tecnologie di sicurezza atte a rendere il lavoro dei pirati informatici sempre pi?? arduo. Ad oggi, una delle tecnologie pi?? utilizzate all???interno della maggior parte dei browser ?? la sandbox.

Come per?? i maggiori browser implementino tale tecnologia sar?? oggetto di analisi nel corso dell???articolo. Sebbene questo fattore non possa essere utilizzato come unica discriminante nella valutazione di un browser, esso rappresenta sicuramente una caratteristica di cui dover tenere conto.

Al fine di poter confrontare i diversi browser nelle rispettive implementazioni, ?? utile capire a grandi linee quali sono gli elementi che permettono la realizzazione di una sandbox.

L???obiettivo di una sandbox ?? quello di isolare dal punto di vista comportamentale e logico una porzione di codice.

L???esecuzione di ogni tab del browser sotto forma di singolo processo ?? un buon punto di partenza e presenta due vantaggi fondamentali: il primo ?? dato da una gestione locale delle caratteristiche di sicurezza (magari assegnando limitazioni pi?? o meno restrittive a differenti tab), il secondo ?? dato dall???evitare che un crash avvenuto all???interno di una tab possa portare alla chiusura dell???intero browser. Chiaramente per poter implementare tale tecnologia ?? necessario dover cambiare completamente l???architettura del browser, rendendola quindi estremamente modulare.

Limitazioni vere e proprie possono essere gestite tramite altri meccanismi messi a disposizione dal sistema operativo (nello specifico Windows), tra i quali:

Access Token
Il token associato ad un processo contiene, tra le varie informazioni, i privilegi associati al processo e il suo livello di integrit??.

Livelli di integrit??
Implementati a partire da Windows Vista, i livelli di integrit?? permettono di assegnare diritti diversi a processi appartenenti allo stresso user account. A differenza di Windows XP in cui i diritti di accesso a una risorsa erano di default uguali per ogni processo creato dallo stesso utente ed erano stabiliti soltanto dalle ACL (Access List), da Windows Vista in poi grazie all???introduzione dei livelli di integrit?? ?? stato possibile effettuare una suddivisione pi?? raffinata. In ordine crescente di limitazioni, abbiamo livello integrit?? Sistema, Alto, Medio, Basso e Non attendibile. Se non diversamente specificato le applicazione utente del sistema sono create con livello Medio. Vale la regola generale secondo la quale un oggetto con un dato livello di integrit?? non pu?? mai accedere ad un oggetto con un livello di integrit?? superiore. Si noti che i livelli di integrit?? non vengono utilizzati solo a livello di processi ma anche a livello di scambio di messaggi tra elementi grafici (UIPI).

Job object
Un job ?? un oggetto che in ambiente Windows permette di trattare un insieme di processi come un???unica entit??. Impostando le caratteristiche del job si pu?? agire indirettamente sulle regole comportamentali dei processi ad esso associati, permettendo di aggiungere ulteriori limitazioni rispetto a quelle gi?? presenti nell???access token del processo.

Gli elementi sopra elencati rappresentano soltanto alcuni degli strumenti sfruttati dai browser per implementare tecniche di sandboxing e che nello specifico fanno riferimento a funzionalit?? e oggetti messi a disposizione direttamente dal sistema operativo. Tuttavia ?? possibile, come nel caso di Chrome, ricorrere a tecniche pi?? avanzate (come l???hooking della API di sistema) per tenere sotto controllo il comportamento di ogni singolo processo.

Analizzata a grandi linee come una sandbox ?? realizzata, ?? utile comprendere il perch?? questa sia cos?? importante e soprattutto da cosa ci protegge. Sar?? utile dunque porsi nell???ottica di un attaccante e cercare di capire perch?? ?? fondamentale far s?? che un processo non possa eseguire, o possa farlo con dei limiti, determinate operazioni.

Nel caso specifico di un browser, il primo passo effettuato da un attaccante ?? quello di sfruttare un bug presente nel codice del software di navigazione tramite un exploit. Questo potrebbe occorrere anche visitando semplicemente una pagina web creata ad hoc che sfrutti un bug del motore di rendering HTML del browser o di uno dei vari plugin installati, presenti solitamente sottoforma di libreria DLL caricata nello spazio di indirizzamento del processo del browser stesso.

Anche utilizzando le tecniche di sicurezza introdotte in Windows Vista e 7 precedentemente descritte, sono comunque presenti scenari di attacco di cui i browser dovrebbero tenere conto.

Immaginiamo che l???avversario abbia ottenuto il controllo del flusso di esecuzione di un processo con privilegi limitati. A questo punto potrebbe tentare di elevarli (attacco privilege escalation) avviando un nuovo processo familiare all???utente, come il blocco note (notepad.exe), e iniettando al suo interno il codice nocivo. In questo modo ?? molto pi?? probabile che l???utente, f??dandosi del processo, approvi eventuali richieste di azioni sospette (social engineering).

L???attaccante avrebbe avuto vita pi?? facile qualora il processo del browser fosse stato avviato con livelli di integrit?? di default (medio)i. Per questo motivo una buona regola sarebbe quella di far eseguire, nei limiti del possibile, il processo del browser con un basso livello di integrit??. Come vedremo in seguito non tutti i browser adottano questa misura di sicurezza.

Supponiamo ora che l???utente abbia acconsentito al processo notepad.exe di effettuare liberamente le operazioni richieste. A questo punto il codice malevolo potrebbe tentare di leggere informazioni confidenziali sul disco o di scrivere un nuovo eseguibile per poterlo avviare al successivo riavvio del sistema inserendo un???opportuna chiave nel registro di sistema, mantenendo quindi il controllo della macchina infetta.

Un modo alternativo che hanno a disposizione i processi per comunicare ?? quello dello scambio di messaggi IPC, utilizzati anche per la comunicazione fra gli elementi dell???interfaccia grafica (window). Altri tipi di attacco possono sfruttare questo scambio di informazioni per aggirare i controlli precedentemente descritti (un esempio di abuso di tale tecnologia ?? lo shatter attack). E??? buona regola quindi isolare i processi il pi?? possible anche da questo punto di vista tramite l???utilizzo di desktop alternativi a quello principale e limitando i privilegi di acesso alle sole finestre che riguardano l???applicazione.

Altre informazioni confidenziali possono essere ricavate dalla lettura della clipboard, una particolare area di memoria condivisa fra i processi – che spesso viene sottovalutata – in cui vengono salvate le informazioni del classico meccanismo di copia-incolla.

La seguente tabella riporta come i tre browser maggiormente diffusi gestiscono gli aspetti critici precedentemente descritti.

Uno degli aspetti che pi?? saltano all???occhio ?? la totale assenza di una qualsiasi misura di sandboxing da parte di Firefox. Dietro questa mancanza di interesse da parte del team di Mozilla, culminata con l???abbandono (?) del progetto Electrolysis, si nasconde forse una scelta progettuale ben precisa, basata sulla (eccessiva?) fiducia del proprio codice e dei gestori di plugin di terze parti.

?? il caso di Flash e Silverlight, che come possiamo vedere vengono gestiti da un processo totalmente separato e indipendente dal processo Firefox:

Non ?? un caso che gli utenti Firefox ricorrano spesso all???uso di add-on quali NoScript. C????? da chiedersi per?? fino a che punto questa possa essere ritenuta una scelta ottimale in termini di sicurezza e non una forzatura per sopperire alla mancanza di tutela da parte degli sviluppatori.

Un altro aspetto non di poco conto ?? con quale livello di integrit?? i processi del browser vengono eseguiti:

Come detto in precedenza, almeno dal punto di vista della sicurezza, ?? sempre preferibile eseguire processi potenzialmente vulnerabili ad un livello di integrit?? il pi?? basso possibile per limitarli nel caso di un???eventuale infezione.

Nel caso specifico, Firefox viene sempre eseguito con livello di integrit?? medio e pu?? quindi avere accesso ad ogni altra applicazione utente.

A differenza del browser di Mozilla, Internet Explorer implementa una propria sandbox utilizzando esclusivamente le funzionalit?? messe a disposizione dal sistema operativo stesso.

Le varie tab aperte dall???utente sono gestite come processi indipendenti incapsulati all???interno di job object con livello di integrit?? basso. Questa soluzione non permette ai processi del browser di accedere in scrittura alla maggior parte delle risorse di sistema: gli accessi in scrittura sul registro sono limitati alla chiave

HKEY_CURRENT_USERSoftwareAppDataLow

mentre sul disco si pu?? scrivere esclusivamente nella directory

%USER PROFILE%AppDataLocalLow

ne permette comunque l???accesso completo in lettura.

Un attaccante che, potenzialmente, prende possesso del processo associato alla pagina web ha inoltre la possibilit?? di scrittura su tutti i processi, file su disco o di inviare messaggi IPC che condividono il livello di integrit?? basso, possiblit?? che potrebbe risultare rischiosa (ricordiamo la privilege escalation tramite social engineering) ma che in generale non comporta scenari di immediato pericolo.

Oltre a questa limitazione di sicurezza Internet Explorer non aggiunge al job restrizioni che riguardino clipboard e la creazione di processi, lasciando quindi la possibilit?? di accesso completo a questa zona di memoria condivisa e di generazione di nuovi processi figlio (che comunque erediteranno il livello di integrit?? basso).

Il principale difetto che si pu?? facilmente notare nella sandbox di Internet Explorer ?? il fatto che ?? completamente inutilizzabile in Windows XP: dato che questo sistema operativo non prevede la suddivisione in livelli di integrit?? i processi del browser rimangono totalmente esposti agli attacchi.

A differenza dei suoi due maggiori concorrenti, Google Chrome pone molta pi?? attenzione all???aspetto della sicurezza imponendo notevoli restrizioni tramite il job assegnato ad ogni processo tab creato.

La limitazione nella scrittura della clipboard (precedentemente avevamo accennato al problema nella lettura) ?? molto importante in quanto permette di evitare a un processo infetto di usare questo ???ponte di comunicazione??? per passare ad esempio dei comandi ad altri processi.

La comunicazione tra processi ?? tenuta ancora pi?? sotto controllo limitando lo scambio di messaggi tra gli elementi dell???interfaccia grafica del browser. Questo ?? possibile grazie alla creazione da parte di Chrome di un oggetto desktop dedicato ai singoli elementi del browser.

Ogni tab viene inoltre eseguita come un processo separato al quale viene associato il livello di integrit?? ???Non attendibile???. Cos?? facendo i processi non hanno accesso n?? in lettura n?? in scrittura alle informazioni provenienti da qualsiasi risorsa (registoro di sistema, processi, disco, ???) di livelli di integrit?? superiore. Cos?? facendo si limita l???infezione ai processi aventi lo stesso livello di integrit??.

Ulteriori limitazioni sono state introdotte da Chrome grazie alla notevole riduzione dei diritti associati all???access token. In questo modo il browser pu?? realizzare almeno in parte la sua sandbox anche in sistemi operativi in cui non sono previsti livelli di integrit??.

A differenza di Firefox e Internet Explorer, Chrome sfrutta anche la tecnica dell???hooking per controllare quale API di sistema vengono invocate dal browser, bloccando tentativi di accesso
alla memoria di altri processi esterni e l???esecuzione di funzioni potenzialmente pericolose se usate impropriamente tra le quali: NtCreateFile, NtOpenFile, NtOpneProcess, NtOpenThread.

Vale la pena sottolineare come le funzionalit?? della sandbox di Chrome non si basino soltanto sull???uso dei livelli di integrit??, che anzi possono essere considerati come un elemento aggiuntivo a quella che abbiamo visto essere un???architettura solida e in grado di sfruttare diverse tecniche di sandboxing.

Questo rappresenta sicuramente un grosso punto a favore di Chrome, che allo stato attuale delle cose resta di fatto uno dei pochi browser in grado di mantenere un buon livello di sicurezza anche se eseguito su sistemi operativi pi?? datati come Windows XP.

A maggior ragione se si pensa alla recentissima collaborazione tra Google e Adobe che ha portato all???integrazione del Flash Player all???interno della sandbox nativa di Chrome, che ad oggi rimane l???unico browser in grado di garantire una versione sotto sandbox del plugin su Windows XP.

Benedetto Voltattorni
Marco Bizzarri