Un site Web malveillant peut-il accéder au contenu de fichiers sur un ordinateur?

27

C'est peut-être paranoïaque, mais si je visite un site Web malveillant, peuvent-ils dire ce qu'il y a dans un PDF sur mon bureau ou dans mes images sur mon disque dur?

J'ai un Chromebook et une machine Windows.

windows security chromebook

— john doe
source

Cela devrait-il être spécifié à un navigateur spécifique? J'imagine que tous les navigateurs ne sont pas également sécurisés à cet égard? IE Flash était une énorme vulnérabilité pour ce genre de choses, n'est-ce pas? Si ce n'est pas spécifique à un navigateur, peut-être devrait-il être limité à une certaine version d'une spécification HTML donnée ou autre.

— TankorSmash

1

Prise en compte de Spectre - éventuellement.

— user20574

12

cela pourrait être plus approprié sur Sécurité de l'information

— phuclv

1

C'est une possibilité, mais c'est tellement mineur que ce n'est pas ce qui devrait vous préoccuper. Vous devriez vous préoccuper des autres informations stockées dans votre navigateur Web auxquelles le site Web peut accéder. Biscuits peut stocker des informations personnelles très vulnérables vous concernant que de tels sites peuvent récupérer.

— mathreadler

1

Si vous voulez être extrêmement paranoïaque, lancez votre navigateur dans une machine virtuelle Linux barebones

— Richie Frame

33

Sauf si vous accordez explicitement à un site Web (qui est sécurisé (HTTPS) ou non sécurisé (HTTP)), d'accéder à un élément de votre système, ce site Web n'aura pas accès à cet élément sur votre système.

C'est peut-être paranoïaque, mais si je vais sur un site Web qui n'est peut-être pas sûr à 100%, peuvent-ils dire ce qu'il y a dans le fichier PDF de mon bureau de disque dur ou dans mes images sur mon disque dur?

En général, à moins que vous ne leur donniez explicitement accès à votre disque dur - ou à des documents sur votre disque dur -, non, un site Web non sécurisé ne pourra accéder à rien.

Cela dit (et en soulignant cela pour le rendre clair) il y a en effet des exploits incroyablement rares - et ésotériques - du «jour zéro» qui pourrait être préoccupant dans certains cas extrêmes . Mais en général, en tant qu’utilisateur final, vous devez vous permettre de permettre à un site Web d’avoir accès aux documents de votre système. Tant que votre système d'exploitation est corrigé et que les navigateurs sont à jour, vous êtes en sécurité. Et même dans les cas où vous n'êtes pas corrigé et mis à niveau (et soulignez encore ceci pour que ce soit clair) le risque est encore incroyablement faible .

La seule préoccupation avec un site Web qui «pourrait ne pas être 100% sécurisé (comme le disait la question initiale et je suppose que HTTPS versus HTTP simple) est que lorsque vous transmettez des données en retour, HTTPS est crypté et HTTP n'est pas crypté.

Le risque est alors que si vous tapez quelque chose sur le site via un formulaire, par exemple, si le site est en HTTP simple, les données que vous transmettez sont simplement du texte clair que toute personne possédant un renifleur de paquet a la potentiel lire. Mais c'est au mieux une mince chance.

Comme si vous êtes sur un réseau Wi-Fi public connu, alors peut-être que quelqu'un est sur ce réseau avec potentiellement capturer des paquets et pourrait ainsi détecter ce que vous tapez.

En général, si vous êtes sur un réseau sécurisé à la maison ou ailleurs - et que votre navigateur et votre système d'exploitation sont corrigés - vous êtes "en sécurité".

Un site Web "non sécurisé" ne constitue vraiment un problème que si vous leur envoyez des données ou si vous téléchargez un élément dudit site Web qui exécutera du code sur votre système.

— JakeGould
source

56

De par leur conception, les navigateurs ne le permettent pas, mais il existe toujours la possibilité qu’un bogue puisse être exploité pour obtenir un plus haut niveau d’accès à votre système. Ces bogues sont assez rares et sont toujours résolus très rapidement. Il s'agit donc d'un problème si votre système d'exploitation ou votre navigateur est obsolète. Ces deux mises à jour automatiques maintenant, ne désactivez pas les mises à jour automatiques et vous pouvez être assuré d'un niveau de protection assez élevé contre les sites Web malveillants.

— Qwertie
source

8

Il est à noter que ce jour zéro vaut des centaines de milliers de personnes aux bonnes personnes. Il est donc probable que si vous n'êtes pas vraiment intéressant, il ne sera pas utilisé contre vous.

— Adonalsium

1

@Adonalsium - Vous avez juste besoin d'une carte de crédit pour intéresser tous les ... droite ... personnes.

— Paul

5

@Paul Si quelqu'un achetait un zéro jour à six chiffres pour voler des cartes de crédit, ce serait un peu triste. Tu devrais voler milliers avant même de vous rapprocher de l'argent, et c'est si vous déclenchez chaque drapeau rouge et que vous le brûlez en une attaque. En revanche, cent mille dollars pour voler des secrets d’État ou d’entreprise ... c’est beaucoup plus probable.

— Nic Hartley

1

@Adonalsium pour un jour zéro oui, mais les exploits sur les anciennes versions est une connaissance publique gratuite. Et il y a encore assez peu de gens qui utilisent les anciennes versions d'IE ou de Silverlight.

— Qwertie

3

@Paul Bien sûr, c'est facile: ils ont été volés pour des exploits qui ne coûteraient rien des centaines de milliers de dollars d’acheter et d’avoir un rendement garanti beaucoup plus élevé qu’un défaut du navigateur pour le vol de carte de crédit. Des éléments tels que l'ingénierie sociale et les bases de données de magasins en ligne piratées peuvent également compromettre une carte de crédit. Si vous voulez bien lire mon commentaire, je n'ai jamais dit que le vol de carte de crédit ne se produisait pas - c'est ainsi que vous le lisiez - mais qu'un navigateur puissant du jour zéro ne sera pas brûlé sur la carte de crédit de certaines cartes de rando.

— Nic Hartley

43

Un ordinateur distant ne peut accéder à rien sur votre ordinateur sans l'aide d'un logiciel coopérant sur votre ordinateur.

Si vous utilisez votre ordinateur pour visiter un site Web non approuvé, vous utilisez un logiciel de navigation sur votre ordinateur pour lancer des requêtes Web (protocole HTTP ou HTTPS) afin de recevoir des données de l'ordinateur distant. Dans ce modèle simple, l’ordinateur distant n’a absolument aucun accès à votre ordinateur, mais ... les navigateurs ont des fonctionnalités qui compliquent cette image.

Les navigateurs modernes ont une fonctionnalité qui vous permet de télécharger des fichiers depuis votre ordinateur. Un site Web peut inclure un formulaire qui utilise cette fonctionnalité. Cette fonctionnalité ne fait pas donnez au site une vue sur votre ordinateur. Lorsque votre navigateur traite un tel formulaire, il vous présente un contrôle de sélection de fichier. votre navigateur peut voir les fichiers sur votre ordinateur et, lorsque vous effectuez une sélection, votre navigateur envoie le contenu de ce fichier, et uniquement de ce fichier au système distant. Le fonctionnement de cette fonctionnalité laisse penser que le site Web peut voir des fichiers sur votre ordinateur quand il ne le peut pas.

Tous les navigateurs modernes ont des moteurs JavaScript intégrés. Le site Web peut inclure du code JavaScript destiné à être exécuté par votre navigateur. Lorsque le navigateur reçoit du code JavaScript dans une page, il l'exécutera automatiquement. JavaScript est normalement utilisé pour améliorer l'expérience utilisateur. il a certaines capacités et certaines limitations. Le moteur JavaScript ne peut pas "voir" sur votre ordinateur. Il ne peut pas voir vos fichiers ni ce qui peut se passer dans d'autres programmes, mais il peut demander au navigateur de charger d'autres fichiers du même site - images, pages, etc. JavaScript peut faire que le navigateur tente au moins de télécharger et d’exécuter un programme qui peut avoir un meilleur accès à votre système ou un meilleur contrôle sur celui-ci. Bien que JavaScript soit limité dans ce qu'il peut faire sur votre ordinateur, il est néanmoins possible pour un programmeur malveillant de se servir de JavaScript pour inciter un utilisateur peu méfiant à télécharger un programme plus performant et malveillant.

TL; DR: un site Web non fiable ne peut pas voir par lui-même dans votre ordinateur. Mais un site peut essayer de vous amener à télécharger et à exécuter des logiciels malveillants. Un tel logiciel pourrait potentiellement faire quelque chose sur votre ordinateur. Votre navigateur ne doit pas télécharger automatiquement ce logiciel; à tout le moins, cela devrait nécessiter votre acceptation explicite. Un site Web malveillant pourrait toutefois tenter de vous amener à donner une telle acceptation.

— Zenilogix
source

1

Merci pour la réponse. c'était informatif

— john doe

12

+1 Cela devrait être la réponse acceptée. Si le site n'est pas digne de confiance, il n'y a pas de différence entre HTTP et HTTPS. C'est le JavaScript et les mécanismes de sécurité du navigateur qui importent.

— rexkogitans

3

Coopération douce: Windows lui-même.

— val

@val - Je l'étendrais à tous les systèmes d'exploitation, pour être juste. Si vous passez du temps, vous trouverez les trous.

— Paul

12

En théorie non, en pratique: oui, c'est certainement possible.

C’est la raison pour laquelle les utilisateurs avertis ont des extensions de navigateur qui désactivent les scripts à tout moment, à l’exception des sites Web explicitement inscrits sur la liste blanche qui en ont besoin, et qui contrent de nombreuses autres attaques telles que la falsification de requêtes intersites et autres.

Les exploits permettant l'exécution de code à distance ou l'accès aux fichiers locaux sont publiés presque tous les mois. Deux exemples récents pour un navigateur bien connu sont 1 et 2 . Des exemples pour un autre navigateur bien connu sont 3 et 4 .

(Les vulnérabilités ci-dessus sont des vulnérabilités aléatoires que j'ai choisies sans aucune raison évidente. Elles sont également corrigées des versions les plus récentes, à ma connaissance.)

Les attaques de navigateur peuvent non seulement permettre à un site Web d'accéder à des fichiers, elles peuvent en principe permettre au site Web de prendre en charge votre ordinateur, dans le pire des cas. Le problème ne se limite pas aux navigateurs, consultez la page Vulnérabilité des appels vidéo WhatsApp pour un exemple récent. Il y a environ un an, un exploit appartenant à une série de routeurs DSL largement déployée permettait à un site Web malveillant de reprendre votre routeur même en présence d'un mot de passe, si seulement vous avez visité le site Web à partir de votre ordinateur.

Le niveau de stupidité nécessaire pour qu'une attaque réussisse varie. Pour certaines attaques, l'utilisateur final doit être vraiment, vraiment stupide. Pour certaines attaques, l'utilisateur ne doit être qu'un peu inconscient pendant une fraction de seconde. Et certaines attaques fonctionneront même si l'utilisateur ne fait rien de stupide tant que certaines conditions sont remplies.

— Damon
source

3

En général, un site Web ne peut pas accéder aux fichiers de votre disque dur ni à leurs méta-informations. Néanmoins, vous devez être conscient de quelques choses:

votre navigateur peut comporter des failles de sécurité qui permettent aux attaquants de pirater votre navigateur ou même votre système
En fonction de votre navigateur, des sites Web malveillants peuvent en apprendre beaucoup sur vous et l'ordinateur que vous utilisez. http://webkay.robinlinus.com/
Le meilleur moyen de protéger vos fichiers est de les tenir à l'écart d'Internet. Stockez vos fichiers sur un lecteur externe et accédez-y uniquement via des ordinateurs hors connexion. Cela peut être gênant mais sécurisé

— Nikita Malyschkin
source