3 razones por las que Chromebook no resuelve problemas de seguridad digital

ChromeOS de Google, a primera vista, es una especie de touchdown para la seguridad del sistema operativo. Es probablemente el sistema operativo más seguro del mundo (a costa de algunas funcionalidades limitadas. Todo lo que necesita saber sobre el cambio a un Chromebook Todo lo que necesita saber sobre el cambio a un Chromebook Las Chromebook ejecutan un sistema operativo reducido optimizado para funcionar la web con solo el navegador Chrome y las aplicaciones de Chrome. ¿Puedes cambiar a una Chromebook?). Desafortunadamente, ChromeOS no es una panacea, y persisten serias preocupaciones de seguridad sobre la plataforma..

Primero, sin embargo, las buenas noticias:

ChromeOS (el sistema operativo Linux simplificado que se ejecuta en netbooks de marca Chrome económicos Toshiba CB35-A3120 Chromebook Review and Giveaway Toshiba CB35-A3120 Chromebook Review and Giveaway Puedes obtener algunos Chromebooks realmente baratos si estás de acuerdo con obtener un 11.6- pantalla en pulgadas.) tiene un montón de características realmente agradables para usuarios conscientes de la seguridad. El código de carga de arranque se almacena en la memoria de solo lectura y comprueba la firma digital del núcleo del sistema operativo antes del arranque (el “arranque verificado” característica). Debido a que el gestor de arranque está en ROM, los hackers no pueden modificarlo sin alterar físicamente el chip. Si los archivos del sistema no pasan la comprobación, el gestor de arranque simplemente restablecerá toda la máquina a la configuración de fábrica, destruyendo cualquier código malicioso que pueda haberse insertado.

La seguridad de la plataforma se fortalece aún más porque se basa en aplicaciones web, que se ejecutan en una caja de arena: sus hilos y memoria se mantienen separados, teóricamente evitando que una aplicación web maliciosa acceda a la información o tome el control de otras aplicaciones. Las actualizaciones del sistema que contienen correcciones de seguridad se aplican de forma automática e invisible cuando la computadora está conectada a la red, para garantizar que las Chromebooks estén siempre actualizadas. Incluso hay algunas opciones de seguridad Asegurar su Chromebook con dos ajustes sencillos Asegurar su Chromebook con dos ajustes sencillos Uno de los beneficios más promocionados de un Chromebook es su seguridad. Pero, ¿hay algún paso que los propietarios puedan tomar para mejorar y mejorar el nivel actual de protección? puede habilitar para proteger el dispositivo de los atacantes con acceso físico al dispositivo. Intentar instalar malware en una máquina ChromeOS no es una tarea envidiable. Puedes conocer la seguridad de la plataforma ChromeOS aquí.

Entonces, cuál es el problema?

No puedes confiar en la caja de arena

Desafortunadamente, la seguridad que ofrece el sandboxing web es en gran medida informal y no está probada. En muchos sandboxes, incluido Java, se han descubierto errores que permiten que las aplicaciones salgan de ellos y ejecuten instrucciones arbitrarias en la máquina. El propio Chrome ha tenido ataques de sandbox rompientes demostrados contra él por hackers de sombrero negro. Esos exploits específicos ahora están arreglados, pero no hay garantía de que no haya más. Rik Ferguson, un investigador de seguridad, lo dice así:

“Ya se han demostrado las vulnerabilidades que surgen del sandboxing para Internet Explorer, Java, Google Android y, por supuesto, para el navegador Chrome (por nombrar solo algunas), mientras que el sandbox de Google es efectivo, no es impenetrable y depende de para el 100 por ciento de seguridad sería miope.”

El peor delincuente aquí es la web interactiva, particularmente webGL, una implementación de OpenGL (una biblioteca de gráficos común) diseñada para su uso en navegadores web. WebGL le permite ejecutar demostraciones 3D gráficamente impresionantes desde su navegador, lo cual es realmente genial (como estos ejemplos), pero, desafortunadamente, también es una pesadilla para la seguridad. WebGL permite que las aplicaciones web envíen instrucciones arbitrarias de sombreado a la tarjeta de video de la máquina, lo que permite un arco iris imaginativo de posibles hazañas que rompen la caja de arena. La posición oficial de Microsoft es que webGL es demasiado inseguro para uso interno:

“La seguridad de WebGL en su conjunto depende de los niveles más bajos del sistema, incluidos los controladores OEM, lo que garantiza garantías de seguridad de las que nunca antes deben preocuparse. Los ataques que anteriormente solo habían resultado en una elevación local de privilegios ahora pueden resultar en un compromiso remoto. Si bien es posible mitigar estos riesgos hasta cierto punto, la gran superficie de ataque expuesta por WebGL sigue siendo una preocupación. Esperamos ver errores que solo existen en ciertas plataformas o con ciertas tarjetas de video, lo que podría facilitar los ataques dirigidos.”

No puedes confiar en la nube

Sin embargo, incluso peor que las posibles amenazas contra el sandbox es la naturaleza de la plataforma en sí. Las Chromebooks, por diseño, dependen en gran medida de la nube. Si accidentalmente destruye su Chromebook (por ejemplo, al pisarlo o dejarlo caer en un lago de roca fundida), sus datos no desaparecerán. Puede comprar uno nuevo, iniciar sesión y recuperar todos sus datos y configuraciones.

Desafortunadamente, esto expone a los usuarios a un riesgo considerable en el lado de la nube de la ecuación. Sean Gallagher de Ars Technica señala en su editorial “Por qué la NSA ama el Chromebook de Google,” sabemos que la NSA ha tenido (y aún puede tener) puertas traseras invasivas en el almacenamiento en la nube de Google, y puede usar eso para espiar todos los archivos de los usuarios de Drive, incluidos los que usan Chromebooks. Como lo dice Gallagher,

“Nada de esto es necesariamente culpa de Google. Pero es una debilidad del navegador como plataforma: al empujar casi todos los recursos informáticos para las aplicaciones, además de la presentación, de vuelta a la nube, el modelo Chromebook crea una ventanilla única para que los atacantes u observadores se inyecten en su mundo informático.”

No es solo la NSA, tampoco. Si bien el cargador de arranque de confianza puede protegerlo de modificaciones persistentes y maliciosas en el sistema operativo que informan sobre sus acciones, incluso una sola violación de seguridad por parte de una aplicación web podría ser suficiente para robar sus claves y detalles de autenticación, que un atacante podría usar para acceder sus datos en la nube y navegue a su gusto.

Las aplicaciones nativas están llegando

Para empeorar las cosas, el entorno limitado de ChromeOS no es un paradigma particularmente puro: las extensiones del navegador que se ejecutan en la parte superior de las páginas web, como Adblock Plus y Google Translate, son códigos nativos que se ejecutan en la máquina, y pueden hacer todo tipo de cosas desagradables ( incluyendo mostrar adware y espiar sus contraseñas). Incluso hay extensiones que puede descargar que detectan y eliminan otras extensiones maliciosas, una forma del software antivirus que ChromeOS no necesita. Para crédito de Google, ChromeOS solo instalará aplicaciones de la tienda de extensiones de Chrome que ya hayan pasado por el proceso de aprobación de Google. Desafortunadamente, ese proceso de investigación de antecedentes se basa en el juicio humano, y las garantías proporcionadas por esa investigación de antecedentes son mucho más débiles que las que brinda un buen sandboxing..

Se pone peor: Google planea implementar aplicaciones nativas en forma de aplicaciones de Android, que se ejecutan en ChromeOS a través de una capa de interfaz. Estas serían aplicaciones nativas que introducen una gran variedad de problemas de seguridad para ChromeOS, y esas preocupaciones de seguridad se vuelven más serias por la vulnerabilidad relativa de la nube al robo de claves. Las infracciones son más graves cuando son invisibles y persistentes..

Ahora, por supuesto, cualquier aplicación de Android permitida en ChromeOS probablemente será examinada cuidadosamente por el equipo de Google en busca de código malicioso, pero eso simplemente no es una garantía lo suficientemente sólida como para colgar la seguridad de la máquina. Incluso si el código no es malicioso, casi seguramente vendrán con sus propias vulnerabilidades y vulnerabilidades que podrían usarse para obtener acceso al sistema operativo. El código nativo es peligroso y viola los principios de seguridad destinados a mantener ChromeOS seguro.

ChromeOS: seguro, pero existen preocupaciones

Vale la pena tomarse un momento aquí para reiterar que ChromeOS es muy seguro. Si usa Windows, Linux u OSX, ChromeOS es más seguro a pasos agigantados. De hecho, eso es cierto básicamente para todos los sistemas operativos, excepto el Plan 9, un sistema operativo hiper seguro tan oscuro que evita el malware al menos parcialmente al no tener ningún 'hardware' para hablar. Sin embargo, no tome eso como una excusa para ser descuidado: persisten serias preocupaciones de seguridad sobre ChromeOS, y vale la pena tenerlas en cuenta cuando confía en su computadora con información confidencial.

Créditos de imagen: Hacker con una computadora portátil a través de Shutterstock, “Pin de solapa cromado” por Stephen Shankland, “Chromebook“, por slgckgc, “Prueba de foto de Chromebook“, por ?? ?, “Kryha-Chiffriermaschine, Dispositivo de cifrado Kryha“, por Ryan Somma