Erreur de sécurité catastrophique exposée dans la fonctionnalité Boosts du navigateur Arc

Comprendre la fonctionnalité Boosts d'Arc

Arc a introduit une fonctionnalité puissante appelée Boosts qui permet aux utilisateurs d'améliorer n'importe quel site Web en incorporant des CSS et du Javascript personnalisés. Cette fonctionnalité permet aux utilisateurs de personnaliser leur expérience Web en fonction de leurs préférences et besoins personnels. Cependant, l'exécution de Javascript arbitraire sur des sites Web peut poser d'importantes préoccupations en matière de sécurité, ce qui a conduit à des décisions de conception importantes concernant les Boosts.

Mesures de sécurité pour les Boosts

Pour atténuer les risques de sécurité associés au partage de Javascript personnalisé, Arc a mis en place des restrictions qui empêchent le partage des Boosts avec Javascript personnalisé entre les membres. Cette approche proactive garantit que, bien que les utilisateurs puissent personnaliser leurs expériences individuelles, le potentiel d'exécution de code malveillant est minimisé.

Synchronisation sur différents appareils

Malgré les limitations de partage, les Boosts sont synchronisés sur notre serveur, ce qui rend vos Boosts personnels disponibles sur tous les appareils. Cette synchronisation repose sur Firebase, un service backend robuste qui soutient diverses fonctionnalités d'Arc.

Mauvaise configuration de Firebase et ses implications

Récemment, une mauvaise configuration de nos listes de contrôle d'accès Firebase (ACL) a créé des vulnérabilités imprévues. Les ACL jouent un rôle crucial dans la sécurisation des points de terminaison au sein de Firebase, garantissant que les permissions des utilisateurs sont correctement appliquées. Cependant, en raison de paramètres mal configurés, il était possible pour les utilisateurs d'exécuter des requêtes Firebase qui modifiaient le creatorID d'un Boost existant après sa création.

Conséquences de la mauvaise configuration

• Risques d'attribution des Boosts : Étant donné que les utilisateurs pouvaient attribuer n'importe quel Boost à n'importe quel utilisateur (à condition qu'ils disposent de l'userID pertinent), cela a permis à des personnes non autorisées d'activer des CSS ou du Javascript personnalisés sur des sites Web où ces Boosts étaient activés. Cette capacité a mis en évidence une préoccupation sérieuse en matière de sécurité, car cela pouvait entraîner un usage abusif ou des altérations malveillantes.
• Impact sur la confiance des utilisateurs : Les utilisateurs font confiance à Arc pour fournir un environnement sécurisé pour la personnalisation. Toute violation ou mauvaise utilisation des Boosts pourrait nuire à cette confiance, rendant impératif de traiter et de rectifier rapidement de telles vulnérabilités.

Mesures prises pour résoudre les problèmes de sécurité

À la lumière de cette vulnérabilité, des mesures sont prises pour renforcer les mesures de sécurité, y compris :

1. Examiner et mettre à jour les configurations ACL : Un examen approfondi et une refonte des ACL Firebase sont en cours pour s'assurer qu'elles appliquent correctement les permissions des utilisateurs et empêchent les ajustements non autorisés des Boosts.
2. Renforcer les mécanismes de surveillance : La mise en œuvre d'outils de surveillance améliorés aidera à suivre l'utilisation des Boosts et à détecter toute activité suspecte pouvant indiquer des tentatives d'exploitation.
3. Éducation des utilisateurs : Fournir des ressources informatives aux utilisateurs sur les meilleures pratiques pour utiliser les Boosts en toute sécurité et l'importance de maintenir leur sécurité personnelle lors de la personnalisation de leurs expériences Web.

Conclusion

Bien que la fonctionnalité Boosts d'Arc améliore l'expérience utilisateur grâce à des fonctionnalités Web personnalisables, elle nécessite également des mesures de sécurité strictes pour protéger les utilisateurs et leurs données. Les efforts continus pour rectifier les vulnérabilités actuelles et renforcer le cadre de sécurité global démontrent l'engagement d'Arc à fournir un environnement sûr et flexible pour la personnalisation.