A4 Vertaisarvioitu artikkeli konferenssijulkaisussa
Man-in-the-browser -hyökkäyksistä Ajax-sovelluksissa
Tekijät: Sampsa Rauti, Ville Leppänen
Toimittaja: Sasu Tarkoma, Joni-Kristian Kämäräinen, Tapio Pahikkala
Julkaisuvuosi: 2012
Journal: Julkaisusarja - helsingin yliopisto. tietojenkäsittelytieteen laitos. b. raportti
Kokoomateoksen nimi: Proceedings of Federated Computer Science Event 2012
Aloitussivu: 58
Lopetussivu: 59
ISBN: 978-952-10-8024-1
ISSN: 1458-4786
Tiivistelmä
Man-in-the-browser on verkkoselaimeen asentuva haittaohjelma, joka pystyy muokkaamaan verkkosivujen ulkomuotoa ja verkkoliikennettä. Haittaohjelma toimii käyttäjän ja verkkopalvelimen välissä muokaten tietoja ja esittäen kummallekin olevansa toinen osapuoli, eikä käyttäjä tai palvelin huomaa tilanteessa mitään epäilyttävää. Ohjelma voi myös taltioida tietoja, mutta tässä keskitymme datan muokkaamiseen.
Man-in-the-browser -hyökkäystä voidaan siis pitää perinteisen man-in-the-middle -hyökkäyksen alatyyppinä ja kehittyneempänä muotona. Koska käyttäjän koneelle on paljon helpompi hyökätä kuin palvelimille, näiden haittaohjelmien määrä on viime vuosina kasvanut nopeasti. Hyökkäys voidaan toteuttaa esimerkiksi käyttämällä selainlaajennuksia. Tässä artikkelissa esitellään erilaisia Firefox-selainlaajennuksiin perustuvia man-in-the-browser -hyökkäyksiä Ajax-sovelluksissa ja ehdotetaan niihin vastatoimenpiteitä.
Man-in-the-browser on verkkoselaimeen asentuva haittaohjelma, joka pystyy muokkaamaan verkkosivujen ulkomuotoa ja verkkoliikennettä. Haittaohjelma toimii käyttäjän ja verkkopalvelimen välissä muokaten tietoja ja esittäen kummallekin olevansa toinen osapuoli, eikä käyttäjä tai palvelin huomaa tilanteessa mitään epäilyttävää. Ohjelma voi myös taltioida tietoja, mutta tässä keskitymme datan muokkaamiseen.
Man-in-the-browser -hyökkäystä voidaan siis pitää perinteisen man-in-the-middle -hyökkäyksen alatyyppinä ja kehittyneempänä muotona. Koska käyttäjän koneelle on paljon helpompi hyökätä kuin palvelimille, näiden haittaohjelmien määrä on viime vuosina kasvanut nopeasti. Hyökkäys voidaan toteuttaa esimerkiksi käyttämällä selainlaajennuksia. Tässä artikkelissa esitellään erilaisia Firefox-selainlaajennuksiin perustuvia man-in-the-browser -hyökkäyksiä Ajax-sovelluksissa ja ehdotetaan niihin vastatoimenpiteitä.
Turun yliopiston Tutkimustietojärjestelmän portaali