Os desenvolvedores de software estão preocupados com as consequências involuntárias das novas tecnologias da Web

ESQUEÇO

Novas tecnologias da web, como WebAssembly e Rust, estão ajudando a reduzir drasticamente o tempo que leva para alguns processos do lado do cliente serem concluídos ao carregar páginas, mas os desenvolvedores agora estão liberando novas informações que podem levar a patches para essas plataformas de aplicativos nas próximas semanas .

Várias adições e atualizações estão planejadas para WebAssembly, o que poderia, hipoteticamente, tornar algumas das mitigações de ataques Meltdown e Spectre inúteis. Um relatório divulgado por um pesquisador da Forcepoint insinuou que os módulos WebAssembly podem ser usados ​​para propósitos nefastos e que certos tipos de ataques de temporização podem piorar devido a novas rotinas que têm como objetivo tornar a plataforma mais acessível para os programadores.

Ataques de temporização são uma subclasse de exploits de canal lateral que permitem que um terceiro observador espie os dados criptografados, descobrindo quanto tempo leva para executar um algoritmo criptográfico. Meltdown, Spectre e outras vulnerabilidades relacionadas à CPU são exemplos de ataques temporais.

O relatório sugere que o WebAssembly tornaria esses cálculos muito mais fáceis. Já foi usado como um vetor de ataque para a instalação de software de mineração de criptomoeda sem permissão, e esta também pode ser uma área onde novos patches serão necessários para evitar mais abusos. Isso pode significar que os patches para essas atualizações precisam ser lançados após serem lançados para a maioria dos usuários.

A Mozilla tentou mitigar o problema de ataques de temporização em algum grau, diminuindo a precisão de alguns contadores de desempenho, mas novas adições ao WebAssembly podem fazer com que isso não seja mais eficaz, pois essas atualizações podem permitir que um código opaco seja executado na máquina de um usuário. Este código poderia teoricamente ser escrito em uma linguagem de nível superior antes de ser recompilado para o formato de bytecode WASM.

A equipe que desenvolve o Rust, uma tecnologia que a própria Mozilla promoveu, introduziu um processo de divulgação de cinco etapas, bem como confirmações por e-mail de 24 horas para todos os relatórios de bug. Embora sua equipe de segurança pareça ser bem pequena no momento, isso é mais do que provavelmente um pouco semelhante à abordagem que muitos consórcios de plataformas de aplicativos mais recentes adotam ao lidar com esses tipos de problemas.

Os usuários finais são incentivados, como sempre, a instalar atualizações relevantes para reduzir o risco geral de desenvolver vulnerabilidades relacionadas a explorações baseadas na CPU.