זהירות: מתקפות חיפוש חוצות-אתרים

ככל שמשתכללות ההגנות מפני התקפות החושפות מידע של משתמשי אינטרנט, כך משתכללות גם הטכנולוגיות להשגת מידע זה. "התקפות חיפוש חוצות אתרים" הן טכנולוגיות מחוכמות מסוג חדש; מחקר זה מאפיין אותן ובוחן את ההגנות מפניהן.

התקפות חיפוש חוצות אתרים מנצלות מילים או צירופים, שמשתמשים מקלידים במנועי חיפוש באתרים שונים, ותכונות שונות של תוצאות החיפוש. התוקף משתמש בערוצים צדדיים, כלומר במערכות ההצפנה של האתר, כדי לאסוף את המידע באמצעות טכנולוגיות כריית מידע מתוחכמות. לדוגמה, קצב המידע - כמות המידע שעוברת דרך המעבד בפרק זמן נתון - הוא ערוץ צדדי, שתוקפים מתוחכמים מנתחים כדי לפענח הצפנות.

במחקר זה מציגים ד"ר בר מיוחס ושותפיו, פרופ' אמיר הרצברג מאוניברסיטת קונטיקט וד"ר נתנאל גלרנטר מנכ"ל סייברפיון, גישה מובנית לחקר התקפות חיפוש חוצות אתרים. תחילה יצרו החוקרים טקסונומיה מקיפה המבהירה את היחסים המתקיימים בין סוגים שונים של התקפות חיפוש חוצות אתרים וכן את יחסיהן עם התקפות מסוגים אחרים. בהמשך הם מציגים, מנתחים ומשווים התקפות חיפוש חוצות אתרים. המחקר מציג התקפות חדשות, שיעילותן השתפרה והן מסוגלות לעקוף את ההגנות שמספקים הדפדפנים, ומשווה אותן להתקפות מוכרות. נוסף על כך פיתחו החוקרים ניסוי שניתן לחזור עליו בתצורות שונות, המאפשר מחקר והערכה של התקפות חיפוש חוצות אתרים והגנות. בניסוי המדובר הראו החוקרים כיצד התקפות חיפוש חוצות אתרים חשפו מספר כרטיס אשראי משרתי אתרים פופולריים כמו יוטיוב, פייסבוק וג'ימייל.

המחקר דן בהתקפות חיפוש חוצות אתרים הן מהסוג המכוון לדפדפנים והן מהסוג המכוון לשרתים, ונטען בו שהגנות מבוססות-שרת הן חיוניות.