Chrome kan webapps toegang tot lokale file system geven
Google werkt aan een nieuwe functionaliteit voor Chrome waardoor webapps straks na toestemming van de gebruiker toegang tot het lokale file system kunnen krijgen om bestanden te lezen en schrijven. Het gaat om de Native File System API waar bijvoorbeeld video- en teksteditors gebruik van kunnen maken.
Gebruikers moeten webapps wel eerst toestemming geven om van de API gebruik te mogen maken. Wanneer deze toestemming is gegeven kan de webapp direct bestanden op het lokale bestandssysteem lezen en schrijven. De API maakt hierbij gebruik van de standaard open en opslaan dialoogvensters van het besturingssysteem. Volgens Google is erbij de ontwikkeling van de API veel aandacht aan het ontwerp besteed zodat mensen eenvoudig hun bestanden kunnen beheren.
Google stelt verder dat het verschillende maatregelen heeft genomen om gebruikers en hun data te beschermen. Zo is het niet mogelijk om in bepaalde mappen bestanden op te slaan, zoals de mappen van het besturingssysteem. Het aanpassen van al bestaande bestanden kan verder alleen met "expliciete toestemming" van de gebruiker. De verleende toestemming is daarnaast eenmalig geldig en moet elke keer bij het starten van de webapp worden gegeven.
Toegang tot sms-berichten
Een andere nieuwe Chrome-functie is de SMS Receiver API. Hiermee kunnen websites toegang tot sms-berichten krijgen die naar de telefoon van de gebruiker zijn gestuurd. Het gaat dan om sms-berichten waarmee websites het telefoonnummer van de gebruiker willen verifiëren. In plaats van dat de gebruiker de via sms verkregen code handmatig moet invoeren of kopiëren en plakken, kan de website die via de SMS Receiver API meteen uitlezen.
De nieuwe functies zijn beschikbaar in de "Origin trials" van de bètaversie van Chrome 78. Via Origin trials kunnen gebruikers nieuwe browserfuncties proberen.
Goeie onderbouwing ook.
Je browser heeft al toegang tot het file systeem en je moet toestemming verlenen.
Ik voorspel dat deze API binnenkort in het rijtje standaardlekken terecht komt, samen met Flash en lockscreen bypasses op telefoons.
p.s. Om reacties voor te zijn zoals: "Oh, en hoe zit het dan met je smartphone?"....
Ik heb geen smartphone (en ben toch gelukkig) Raar hè, maar niet heus.
Google bouwt mee aan mainland China's surveillance grid.
En jij vindt alles maar geweldig. 1 crafted message and you are birdfood. Greets,
#sockpuppet
Dat betekent dus ook dat op meerdere momenten een hacker een malafide Word-document in de Documenten-map van een gebruiker kan gaan plaaten, bijv: "aanmaning.docx" of "stout buurmeisje.jpg.exe".
Uiteraard klikt Jan met de pet daar op uit nieuwschierigheid, het staat immers op zijn eigen veilige computer toch?
De nadelen lijken mij groter dan de voordelen. Hopelijk stapt de massa over op Edge met Chromium zodra deze af is (of naar Firefox).
Nou ja, chrome gebruikte ik toch al niet...
Ik voorspel dat deze API binnenkort in het rijtje standaardlekken terecht komt, samen met Flash en lockscreen bypasses op telefoons.
Dit is meer een feature die goed is voor social engineering.
Dat vind ik ook. En ze moeten niet stoppen bij het filesysteem maar ook in toegang tot andere hardware gaan voorzien. Dan zouden fabrikanten in de toekomst voor het updaten van firmware van bv. usb-apparaten niet meer een versie per besturingssysteem moeten maken, maar nog slechts één versie in de vorm van een webapp.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
