Ο αριθμός των τρωτών σημείων του Chrome που αξιοποιούνται σε κακόβουλες επιθέσεις έχει αυξηθεί τα τελευταία χρόνια και η Google πιστεύει ότι αρκετοί παράγοντες έχουν συμβάλει σε αυτήν την τάση.
Ο αριθμός των τρωτών σημείων του Chrome που αξιοποιήθηκαν στη φύση έφτασε τα 14 το 2021, από οκτώ το 2020 και δύο το 2019. Το Chrome στοχεύεται πολύ πιο συχνά από τον Firefox, το Safari και τον Internet Explorer, σύμφωνα με στοιχεία της ερευνητικής μονάδας Project Zero της Google, η οποία παρακολουθεί εκμετάλλευση των ημερών μηδέν.
Ένας λόγος για τον αυξανόμενο αριθμό μηδενικών επιθέσεων που στοχεύουν το Chrome σχετίζεται με τη διαφάνεια — οι ομάδες ασφαλείας του προγράμματος περιήγησης και οι ερευνητικές ομάδες ενημερώνουν ολοένα και περισσότερο το κοινό σχετικά με την εκ των υστέρων εκμετάλλευση τρωτών σημείων. Για παράδειγμα, το πρόγραμμα παρακολούθησης εκμετάλλευσης του Project Zero δεν εμφανίζει ευπάθειες του Chrome που αξιοποιούνται από χάκερ πριν από το 2019, αλλά ο γίγαντας του διαδικτύου παραδέχεται ότι «δεν σημαίνει ότι δεν έγινε εκμετάλλευση».
Ένας άλλος λόγος για τον οποίο το Chrome στοχεύεται όλο και περισσότερο σχετίζεται με την κατάργηση του Flash, καθώς και με τη δημοτικότητα του προγράμματος περιήγησης ιστού. Συγκεκριμένα, οι φορείς απειλών συχνά εκμεταλλεύονταν τα τρωτά σημεία του Adobe Flash σε επιθέσεις ιστού πριν από την εξάλειψη του λογισμικού και τώρα εστιάζουν περισσότερο στο ίδιο το πρόγραμμα περιήγησης. Επιπλέον, δεδομένου ότι η μηχανή απόδοσης Chromium χρησιμοποιείται πλέον και από τη Microsoft για το πρόγραμμα περιήγησής της Edge, η εύρεση ευπάθειας Chromium επιτρέπει στους εισβολείς να στοχεύουν περισσότερα συστήματα.
Η Google έχει επίσης αποδώσει την αύξηση του αριθμού των εκμεταλλευόμενων τρωτών σημείων του Chrome στην ανάγκη αλυσίδας πολλαπλών σφαλμάτων για ένα μόνο exploit. Πριν από επτά χρόνια, μια ευπάθεια θα μπορούσε να είναι πολύ πολύτιμη για τους εισβολείς, αλλά οι βελτιώσεις ασφάλειας στα σύγχρονα προγράμματα περιήγησης είχαν ως αποτέλεσμα ένα μόνο ελάττωμα να μην είναι σχεδόν ποτέ αρκετό για έναν εισβολέα να πετύχει τον στόχο του.
Επιπλέον, η εταιρεία έχει κατηγορήσει αυτή την τάση στην αυξανόμενη πολυπλοκότητα του προγράμματος περιήγησης, που περιλαμβάνει πλέον πολλές από τις λειτουργίες ενός λειτουργικού συστήματος. Αυτή η πολυπλοκότητα, αν και ωφέλιμη από άποψη λειτουργικότητας, σημαίνει και περισσότερα σφάλματα.
«Σε τελική ανάλυση, πιστεύουμε ότι τα δεδομένα είναι ένα σημαντικό μέρος της ιστορίας, αλλά ο απόλυτος αριθμός των σφαλμάτων που εκμεταλλεύονται δεν είναι επαρκές μέτρο κινδύνου για την ασφάλεια», υποστήριξε. “Δεδομένου ότι ορισμένα σφάλματα ασφαλείας είναι αναπόφευκτα, ο τρόπος με τον οποίο ένας προμηθευτής λογισμικού αρχιτέκτονα το λογισμικό του (έτσι ώστε ο αντίκτυπος οποιουδήποτε μεμονωμένου σφάλματος να είναι περιορισμένος) και να ανταποκρίνεται σε κρίσιμα σφάλματα ασφαλείας είναι συχνά πολύ πιο σημαντικό από τις ιδιαιτερότητες οποιουδήποτε μεμονωμένου σφάλματος.”
Η εταιρεία λέει ότι έχει λάβει μέτρα για να αποτρέψει την κατάχρηση του Chrome από κακόβουλους παράγοντες. Αυτά τα βήματα περιλαμβάνουν ταχύτερη επιδιόρθωση των τρωτών σημείων και μηχανισμούς που έχουν σχεδιαστεί για να κάνουν πιο δύσκολη την εκμετάλλευση ολόκληρων κατηγοριών τρωτών σημείων.
