Xakep #305. Многошаговые SQL-инъекции
Представители Mozilla сообщили, что начиная с 2020 года разработчики расширений для Firefox будут обязаны использовать двухфакторную аутентификацию (2ФА) для своих учетных записей. В частности, речь идет об аккаунтах на портале Mozilla Add-Ons.
Объясняется, что на такой шаг в Mozilla пошли ради безопасности пользователей, ведь 2ФА помогает эффективно предотвращать попытки потенциальных злоумышленников по перехвату контроля над легитимными аддонами и их пользователями. Таким образом, новая мера безопасности направлена против атак на цепочку поставок.
Дело в том, скомпрометировав учетные записи разработчиков, атакующие нередко распространяют среди пользователей вредоносные обновленные версии захваченных расширений. Так как аддоны в Firefox занимают весьма привилегированное положение, злоумышленники получают возможность использовать взломанное расширение для кражи паролей, аутентификационных и сессионных cookie, шпионить за пользователями, а также перенаправлять жертв на фишинговые страницы или сайты с малварью.
Интересно, что за последние годы не было зафиксировано случаев взлома учетных записей разработчиков Mozilla Add-Ons с целью угона расширений для Firefox, зато было множество подобных случаев с расширениями для Chrome. К примеру, в прошлом году хакеры открыли настоящую «охоту» на разработчиков расширений, и подобные инциденты происходят до сих пор.
