مدل رقیب برای امنیت مرورگر های سبک (مقاله ترجمه شده)

چکیدهمرورگر های بسیار سبک بر روری دستگاه های تلفن همراه به طور فزاینده برای دسترسی به سرویس های ابری و آپلود مورد استفاده واقع شده است/ داده های ذخیره شده بر روی ابر، با توجه به قابلیت بارگذاری منابعِ سریعترِ آنها نمایش داده می شوند. این مرورگر ها از اقدامات بهره وری سمت سرویس گیرنده استفاده می کنند، مانند ذخیره سازیِ حافظه نهان بزرگتر و پلاگین های کمتر. با این حال، تاثیر بر امنیت داده ها از چنین اقداماتی در محدوده ی مورد مطالعه است. در این مقاله، ما یک مدل دشمن را برای بررسی امنیت مرورگر های سبک پیشنهاد می کنیم. با استفاده از این مدل دشمن ، ما آسیب پذیری منتشر نشده در چهار مرورگرِ سَبکِ محبوب نشان می دهند، یعنی: مرورگر UC، دلفین، مرورگر CM، و مرورگر های سهام سامسونگ، اجازه می دهند تا یک مهاجم به صورت غیر مجاز به داده های خصوصی کاربران دست یابد. در حالت دوم، شامل تاریخچه ی مرورگر، محتوای ایمیل، و جزئیات حساب بانکی می شود. به عنوان مثال، ما نیز نشان می دهیم که این امر ممکن است به جای تصاویرِ حافظه نهان در یکی از مرورگرها، که می تواند به منظور تسهیل فیشینگ و دیگر فعالیت های جعلی، مورد استفاده قرار گیرد. با شناساییِ نقص طراحی در این مرورگرها )به عنوان مثال ذخیره سازی فایل نادرست)، ما امیدواریم طراحان مرورگر های آینده می توانند از خطا های مشابه جلوگیری کنند. مقدمهدر سال های اخیر، ما شاهد یک تغییر سریع در رفتارهای مروری اینترنت از استفاده از کامپیوترهای شخصی (PC) به دستگاه های تلفن همراه هستیم، به ویژه در دسترسی به سرویس های ابری و ذخیره سازیِ داده ها در ابر ]20،45،23[. به عبارت دیگر، مرور اینترنت به طور فزاینده ای در دستگاه های تلفن همراه انجام می شود]51[. این امر همچنین منجر به افزایش استفاده از مرورگرهای بسیار سبک در دستگاه های تلفن همراه می شود.مرورگر های سبک برای قابلیتِ بارگذاری منابع سریع آنها محبوب هستند، به خصوص برای مشاهده ی فایل هایِ رسانه ای بزرگ و یا برای بازی. با این وجود، تجارت کردن به معنیِ کاهش دادنِ ویژگی های کاربر و مکانیزم های امنیتی ضعیف است]57،58[. به عنوان مثال، نیازمندی های امنیتی مرورگر اصلی توسط W3C مشخص می شود]46[ اجرا در مرورگرهای معمولی، مانند گوگل کروم و موزیلا فایرفاکس، ممکن است روی مرورگر های سبک نصب نشوند3. سابقه و هدف: مرورگرهای موبایلمرور یک صفحه ی وب نیاز به بارگذاریِ مجموعه های متعددی از منابع دارد، مانند HTML، CSS، JavaScript و فایل های رسانه ای. به عنوان مثال، مطابق با وانگ و همکارانش. ]54[، بارگذاری این منابع با توجه به تفاوت های معماری و محدودیتهای محاسباتی می تواند بر روی دستگاه های تلفن همراه آهسته تر از رایانه های شخصی باشد. کار مربوطهامنیت وب(نرم افزار) دارای تحقیقات متمرکزی در چندین سال بوده است]40[. مرورگرهای رایانه های شخصی، لپ تاپ ها و دستگاه های تلفن همراه، قوانین اساسی برای بارگذاری صفحات وب و ارتباط با سرورها را به اشتراک می گذارند. بنابراین، متون موجود در مورد امنیت مرورگر تمایل به تمرکز بر روی مرورگر های "سنتی" دارد (برای رایانه های شخصی و لپ تاپ ها)، و همچنین تمرکز بر روی امنیت شبکه های دیگر و یا بر روی تشخیص وب سایت های مخرب است(نگاه کنید به ]18،19،21،24،50[). مدل دشمنِ پیشنهادی ما و یک نمونه ی اولیه ی نرم افزارمدل دشمندر یک کار اخیرِ انجام شده، Martiniو Choo ]17[ اولین مدل دشمن برای خروج داده های پنهان اندروید را ارائه کردند. در این مدل، دشمن دارای قابلیت رهگیری، تزریق، ویرایش، حذف، رمزگذاری، رمزگشایی، انتقال، و گوش دادن به ارتباطات کاربر است. در یک کار مرتبط D’Orazio و Choo ]12[ یک مدل دشمن ارائه کردند که این مدل قطاری از قابلیت های دنیای واقعیِ را دارد، از جمله: مدیریت حقوق دیجیتال (DRM) مهاجم برای دستگاه های تلفن همراه. در این مقاله، ما یک مدل ضعیفتر )و احتمالا، واقعی تر( از آنچه Martini و Choo ]17[ و D’Orazioو Choo ]12[ انجام داده اند، ارائه کردیم، و نشان دادیم که دشمن به عنوان چنین مدلی نیز می تواند برای کشف و بهره برداری از آسیب پذیری در مرورگر های سبک برای دستگاه های آندروید استفاده شود. راه اندازی آزمایشبنا به آمارِ گوگل پلی استور، مرورگر هایِ گوگل کروم، موزیلا فایرفاکس و مرورگر های UC محبوب ترین مرورگر ها در برنامه های اندروید هستند. کروم و فایرفاکس دارای سازگاریِ مرور کراس-پلتفرم و اجرای اقدامات امنیتی مختلف هستند. با این حال، مرورگر های سبک بین کاربرانی که سرعتِ بارگذاریِ منابعِ آنها به طور قابل ملاحظه ای کمتر است، محبوب هستند ]11[، مخصوصا بارگذاریِ فایل های رسانه ای بزرگ و در محیط بازی. یافته هادر این بخش ما یافته های تحقیقمان را توضیح می دهیم. دلفینما موفق به کپی کردنِ تمام فایل ها در دایرکتوریِ ریشه ی حافظه ی نهان (/sdcard/TunnyBrowser/Cache) و در زیر شاخه های آن شده ایم. همچنین فایل ها با موفقیت در سرویس گیرنده ی ما آپلود شده اند.بحث و بررسیتعدادی از برنامه های تجاری به منظورِ پیگیری و نظارت بر فعالیت کاربران بر روی دستگاه های اندروید طراحی شده اند، مانند FlexySpy و MobileSpy. این برنامه ها به کاربر اجازه می دهند تا تاریخچه ی مرورگر را بخواند و بر روی دستگاه های بدون ریشه علامت گذاری کند، اما آنها نیاز به مالک دستگاه تلفن همراه و اجازه دسترسی به برنامه را دارند، مانند مجوز مرورگرِ"com.android. . READ_HISTORY_BOOKMARKS"" برای دسترسی به تاریخچه ی مرورگر و " android.permission.ACCESS_FINE_LOCATION" یا "android.permission.ACCESS_COARSE_LOCATION" برای ردیابی محل کاربر استفاده می شوند. این برنامه قادر به گرفتن تصاویری از فعالیت های مرورگر و یا دسترسی به محتوا نیستند(ایمیل و جزئیات حساب شخصی) مگر اینکه دستگاه روت شده باشد و ه آن مجوزهای خاص اضافی اعطا شده باشد.نتیجه گیری و کارِ پیشِ رودر این مقاله ما یک مدل دشمن ارائه کردیم که می تواند در مطالعه ی امنیت مرورگر های سبک استفاده شود، که یک روش محبوب از دسترسی به سرویس های ابری است. برای نشان دادنِ عملیِ این مدلِ دشمن، ما یک برنامه ی نمونه ساختیم. با استفاده از 4 مرورگرِ سبک محبوبِ مورد مطالعه، ما مشخص کردیم که دلفین، مرورگرِ CMو مرورگرِ UCاطلاعات کاربری حساس را در حافظه ی خارجیِ اشتراک گذاری شده ذخیره می کنند. اگرچه مرورگرِ سهام سامسونگ اطلاعات کاربری حساس را در حافظه ی داخلی دستگاه ذخیره می کند. ما نشان دادیم که یک مهاجم می تواند از مجوز های فایل ضعیف برای دسترسی به اطلاعات ذخیره شده بهره برداری کند.این آسیب پذیری به علتِ یک نقص طراحی است؛ ذخیره سازی فایلِ نادرست توسط مرورگرها. این مسئله همچنین نیاز به اطمینان برای ذخیره سازی فایل های اندروید و سیستم مجوز فایل به منظور بهبود را برای جلوگیری از دسترسیِ افراد غیر مجاز به فایل های ایجاد شده توسط برنامه های دیگر تقویت می کند. از دیدگاهِ اجرایی، بارگذاری محتوا از حافظه داخلی بدون به خطر انداختن امنیت، بسیار کارآمد تر است]29[. با این وجود، به نظر می رسد که مرورگر ها هنوز هم برای استفاده از حافظه ی خارجی طراحی شده اند تا استفاده از حافظه ی داخلی، شاید با توجه به حجم ذخیره سازیشان اینطور باشند. بنابراین، ما باور نداریم که توصیه ای ساده به مرورگر ها برای ذخیره سازی فایل ها در حافظه ی داخلی استراتژیِ قابل دوامی باشد، مگر اینکه خطر مرتبط با مجوز فایل همچنان مورد خطاب قرار بگیرد(در ]34[ ]56[). بنابراین، یک راه حل کوتاه مدت برای مرورگر ها می تواند ذخیره ی فایل های غیر حساس یا بزرگ (مانند کلیپ های ویدئویی) در حافظه ی خارجی باشد. با این حال، بهتر است به کاربران هشدار داده شود که این فایل ها ممکن است توسط برنامه های دیگر مورد دسترسی قرار بگیرند.این مقاله ISI در سال 2017 در نشریه الزویر و در مجله استانداردها و رابط های کامپیوتر، توسط گروه سیستم های اطلاعاتی و امنیت سایبری منتشر شده و در سایت ای ترجمه جهت دانلود ارائه شده است. در صورت نیاز به دانلود رایگان اصل مقاله انگلیسی و ترجمه آن می توانید به پست دانلود ترجمه مقاله مدل رقیب برای امنیت مرورگر های سبک در سایت ای ترجمه مراجعه نمایید.