Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Bug in uBlock Origin: oltre alla pubblicità, blocca gli avvisi di sicurezza

Ott 18, 2017 Marco Schiaffino Attacchi, News, Privacy, Prodotto, RSS, Vulnerabilità 0

Il plugin elimina annunci pubblicitari e strumenti per tracciare la navigazione, ma impedisce agli amministratori di ricevere i report CSP.

Utilizzare un plugin che blocca le pubblicità e tutta quella paccottiglia utilizzata dai siti Internet per tracciare la navigazione è una norma di buon senso. In qualche caso, però, l’uso di un componente di questo tipo può avere degli effetti indesiderati. Per esempio mettere a rischio la sicurezza dei siti.

Ad accorgersene è stato Scott Helme, che ha lanciato l’allarme in un post sulla pagina GitHub di uno dei più diffusi blocker in circolazione: uBlock Origin.

Helme, in particolare, si è accorto che uBlock Origin impedisce al browser di inviare gli avvisi utilizzati dal sistema di Content Security Policy (CSP) che dovrebbero segnalare agli amministratori di un sito Web la presenza di un tentativo di hacking.

Gli avvisi vengono scambiati per informazioni sensibili e sistematicamente “stoppati” dal plugin.

CSP è uno strumento considerato fondamentale (Google ha recentemente incoraggiato il suo utilizzo) per fare in modo che i siti Internet abbiano una struttura “a prova di hacking” o, per lo meno, che li renda meno vulnerabili ad attacchi come quelli basati su Cross Site Scripting (XSS), che fanno leva sull’inserimento di codice estraneo all’interno della pagina.

Uno degli strumenti utilizzati a questo scopo è un sistema di “allerta” che viene inviato all’amministratore del sito direttamente dal browser di chi visita le sue pagine.

Il comportamento di uBlock Origin, quindi, rende inutilizzabile una delle funzioni più importanti di CSP, che consentirebbe di bloccare sul nascere molti attacchi e rendere più sicuro il Web.

Dalla segnalazione è partito uno scambio di battute tra Helme e lo sviluppatore di uBlock Origin Raymond Hill, in cui però i due si sono mantenuti su due posizioni inflessibili.

Se Helme lamenta che il blocco mette a rischio la sicurezza dei siti Internet, Hill considera i report CSP come un possibile veicolo per violare la privacy degli utenti. Un vero dialogo tra sordi, che sembra non possa portare da nessuna parte.

Tutta la vicenda, però, ha per lo meno il merito di accendere i riflettori su un curioso cortocircuito tra privacy e sicurezza, che raramente vengono visti come aspetti in conflitto tra loro. Chissà se dalle parti di Google qualcuno sta pensando a una soluzione.

Condividi l'articolo