My browser got hacked and it cost me $2,000

Summary

In diesem Video wird eine Sicherheitslücke im Arc-Browser detailliert analysiert, bei der es möglich war, Benutzerkonten über manipulierte Boosts und den Creator-ID-Mechanismus zu kompromittieren. Der Fehler ermöglichte es Angreifern, benutzerdefinierten JavaScript-Code in Boosts zu laden, was zu einer vollständigen Kontrolle über die betroffenen Benutzer führte. Die Sicherheitslücke wurde schnell gemeldet und innerhalb von 24 Stunden gepatcht, während das Unternehmen nun auch seine Firebase-Sicherheitsrichtlinien und die Privatsphäre der Benutzer verbessert. Der Sprecher lobt Eva für ihre Arbeit bei der Aufdeckung und Behebung von Sicherheitsproblemen und betont die Wichtigkeit solcher Sicherheitsmaßnahmen.

Takeaways

• 😀 Arc Browser hatte eine Sicherheitslücke, bei der Benutzer IDs manipuliert werden konnten, um eine schadhafte JavaScript-Bedrohung zu erstellen.
• 😀 Die Sicherheitslücke wurde durch die Möglichkeit verursacht, den Creator ID-Wert in den Arc Boosts zu ändern.
• 😀 Der Exploit konnte durch eine manipulierte Benutzer-ID aufgelöst werden, die über öffentliche Links oder das Arc Referral-System erlangt werden konnte.
• 😀 Sobald ein Angreifer die Benutzer-ID hatte, konnte er eine bösartige Arc Boost erstellen, die beim Benutzer ausgeführt wurde, wenn er eine Website besuchte.
• 😀 Die Sicherheitslücke wurde am 25. August gemeldet, und die Arc-Entwickler reagierten innerhalb von 24 Stunden mit einem Patch.
• 😀 Zwei Wochen nach der Meldung wurde ein CVE für diese Sicherheitslücke vergeben.
• 😀 Es gab Bedenken bezüglich der Privatsphäre, insbesondere bezüglich der URLs, die während des Surfens gesendet werden, was zusätzliche Sicherheitsbedenken aufwarf.
• 😀 Arc arbeitet daran, von Firebase wegzukommen und führt externe Sicherheitsprüfungen durch, um diese Bedenken zu adressieren.
• 😀 Eine Bug-Bounty-Programmfunktion wurde eingeführt, um weitere Sicherheitslücken zu identifizieren und zu beheben.
• 😀 Trotz der anfänglichen Fehler hat Arc schnell reagiert und wichtige Änderungen vorgenommen, um die Sicherheit und den Datenschutz zu verbessern.
• 😀 Eva wird für ihre Arbeit gelobt, die Websicherheit zu verbessern, indem sie Sicherheitslücken in Browsern und anderen Anwendungen identifiziert.

Q & A

Was ist das Hauptproblem im Arc Browser, das in diesem Video behandelt wird?

Das Hauptproblem ist eine Sicherheitslücke, die es ermöglicht, dass schadhafter JavaScript-Code in sogenannten 'Arc Boosts' ausgeführt wird. Diese Boosts können in der Arc Browser-Umgebung verwendet werden, und Angreifer können sie manipulieren, um schadhafte Payloads auf andere Nutzer auszuführen.

Wie funktioniert die Sicherheitslücke genau?

Die Sicherheitslücke beruht darauf, dass Arc Boosts in Firebase gespeichert werden und der 'Creator ID'-Feld manipuliert werden kann. Indem ein Angreifer die 'Creator ID' eines Boosts auf eine andere Nutzer-ID ändert, kann er einen schadhaften Boost erstellen, der beim Besuch eines bestimmten Links auf einem anderen Gerät ausgeführt wird.

Welche Methoden gibt es, um die Nutzer-ID eines anderen zu erlangen?

Es gibt mehrere Möglichkeiten, die Nutzer-ID zu erhalten, zum Beispiel durch den Referrallink, den Arc für Einladungen verwendet. Der Referrallink enthält die Nutzer-ID, und auch Boosts oder die 'Easel'-Funktion von Arc, mit denen Benutzer Inhalte teilen, enthalten diese ID.

Wie konnte der Angreifer in diesem Fall auf die Nutzer-ID zugreifen?

Eva, die Forscherin, wurde zu Beginn des Streams von jemandem gebeten, ihren Referrallink zu teilen. Dies war ein Versuch, ihre Nutzer-ID zu erhalten, was ein praktisches Beispiel für den Angriff zeigt.

Wie reagierte Arc auf den Entdeckungsbericht der Sicherheitslücke?

Arc nahm das Problem ernst, reagierte schnell und patchete die Sicherheitslücke innerhalb von 24 Stunden nach der ersten Kontaktaufnahme. Ein CVE wurde etwa zwei Wochen später zugewiesen.

Was ist der CVE, der diesem Vorfall zugeordnet wurde?

Das CVE (Common Vulnerabilities and Exposures) wurde etwa zwei Wochen nach der Entdeckung der Lücke zugewiesen. Es dient dazu, die Sicherheitslücke in einer zentralen Datenbank zu dokumentieren, damit andere Unternehmen und Nutzer sich dessen bewusst werden.

Welche weiteren Datenschutzbedenken wurden im Zusammenhang mit dem Arc Browser aufgeführt?

Es wurden Bedenken hinsichtlich der Privatsphäre geäußert, da URLs beim Surfen im Web möglicherweise versendet werden. Es wird angenommen, dass Arc an Lösungen arbeitet, um diese Datenschutzprobleme zu beheben.

Was unternimmt Arc, um solche Sicherheitslücken in der Zukunft zu vermeiden?

Arc führt interne Audits durch, um ihre Firebase ACL (Access Control List) zu verbessern und sicherzustellen, dass Nutzer-IDs und Creator-IDs nicht missbraucht werden können. Sie führen außerdem externe Sicherheitsüberprüfungen durch und haben ein Bug-Bounty-Programm gestartet, um zukünftige Sicherheitslücken zu identifizieren.

Was ist ein Bug-Bounty-Programm und warum ist es wichtig?

Ein Bug-Bounty-Programm ist eine Initiative, bei der Sicherheitsforscher für das Auffinden und Melden von Sicherheitslücken in Software und Systemen Belohnungen erhalten. Dies hilft, Sicherheitsprobleme frühzeitig zu identifizieren und zu beheben, bevor sie ausgenutzt werden können.

Welche allgemeinen Schlussfolgerungen können aus diesem Vorfall gezogen werden?

Dieser Vorfall zeigt, wie wichtig es ist, dass Unternehmen schnell auf entdeckte Sicherheitslücken reagieren. Die Tatsache, dass Arc schnell reagiert und Maßnahmen zur Verbesserung ihrer Sicherheitsstandards ergreift, zeigt ein positives Beispiel für die Verantwortung von Unternehmen im Bereich Cybersicherheit. Auch die Rolle von Sicherheitsforschern wie Eva ist entscheidend für die Verbesserung der Websicherheit.