В ходе конференции Black Hat новым направлением спамерских атак были названы RSS-каналы. Действительно, RSS-рассылки имеют ряд преимуществ перед рассылками по электронной почте. Специальная программа-агрегатор самостоятельно собирает RSS-сообщения с нужных пользователю сайтов, что практически исключает вмешательство стороннего спамера или злоумышленника.
Однако если RSS-канал удастся скомпрометировать, то моментально можно будет забросать мусорными сообщениями с ссылками, например, на вредоносные сайты тысячи подписчиков тех или иных интернет-ресурсов. Как раз этот случай и обсуждался в ходе конференции на секции, посвящённой безопасности RSS.
Было показано, что агрегаторы на основе веб чувствительны к инъекциям SQL, выполнению кода и DoS-атакам.
В блоге RSS Team представитель Microsoft сказал, что в браузере Internet Explorer 7 и платформе Windows RSS Platform будут исключены эти угрозы, а также связанные с выполнением скриптов в HTML-фрагментах RSS-сообщений.
RSS Platform будет вычищать скрипты в поступающих с RSS-ленты сообщениях и сохранять их в RSS Store. Программа-агрегатор, в частности IE7, будет обращаться к RSS Store и показывать сообщения пользователю в режиме Restricted Zone.
Сотрудник Microsoft выразил пожелание, чтобы разработчики других RSS-агрегаторов и платформ также реализовали очищение HTML-фрагментов от исполняемых скриптов.
