On 08/06/2020, Giovanni Biscuolo <giovanni@biscuolo.net> wrote:
Mi rimane il mio dubbio terrificante:
Siamo sicuri che una tecnica analoga non possa essere usata anche per **esporre** un'intera rete locale attraverso un reverse tunnell "in browser" sfruttando questa tecnica: https://github.com/MDSLab/wstun?!?
Risponderti è più complesso di quanto non sembri. I WebSocket non sono semplici socket TCP/UDP: anche dopo l'handshake con il servizio la comunicazione avviene attraverso uno scambio di messaggi composti da uno o più frame dal formato prestabilito https://tools.ietf.org/html/rfc6455#section-5 Dunque IN TEORIA non puoi usare un WebSocket per accedere ad un comune servizio telnet, primo perché non risponderebbe all'handshake, poi perché non rispetterebbe il protocollo. Tuttavia, se hai dei servizi WebSocket sulla tua rete (consapevolmente o meno), quelli sono ad un DNS rebinding di distanza da qualsiasi sito web che visiti con JavaScript abilitato. E naturalmente, se ti installi (consapevolmente o meno) un proxy WebSocket sulla tua rete o sulla tua macchina, a quel punto ogni sito web potrà accedervi allo stesso modo ed il proxy tradurrà l'eventuale protocollo telnet (o SSH o IMAP o...) verso le macchine di interesse. Dunque IN TEORIA, se usano WebSocket per accedere a servizi non WebSocket, i membri del WHATWG possono dire che la responsabilità è tua che non hai impedito a tuo figlio di installare il videogioco infetto dal malware. Ed IN TEORIA, la pratica corrisponde alla teoria. Ma in pratica non è così. La realtà è questa (prendo solo i primi link che ho sottomano): https://www.zdnet.com/article/google-reveals-chrome-zero-day-under-active-at... https://www.cisecurity.org/advisory/critical-patches-issued-for-microsoft-pr... https://www.theregister.com/2020/06/04/firefox_77_security_fixes/ Qui si enunciano convenientemente i gloriosi fix... ma fino al fix? Esatto, per parafrasare le tue parole: per tenere al sicuro la tua rete locale dal tuo browser DEVI usare una macchina dedicata con tanto di rete dedicata...
Grazie per gli ulteriori puntatori, li conserverò per le lunghe sere invernali quando racconterò ai miei nipoti quanto era triste il mondo in cui vivevamo, nel quale per consultare pagine web senza rischiare di essere oggetto di attacchi informatici era necessario indossare un analogo virtuale delle tute contro il rischio biochimico.
... o disabilitare JavaScript. ;-) Giacomo