En ny studie visar att kommunikationskanaler mellan olika delar och bitar av datorprogramvara är benägna att bryta mot säkerheten. Alla med tillgång till en delad dator-medarbetare, familjemedlemmar, eller gäster - kan attackera eller ofrivilligt utsätta den för säkerhetsöverträdelser.

Forskare från Aalto-universitetet och Helsingfors universitet har hittat över tio datasäkerhetskritiska applikationer som är sårbara för insiderattacker. De flesta sårbarheterna hittades i lösenordshanterare som används av miljontals människor för att lagra sina inloggningsuppgifter. Flera andra applikationer befanns vara lika mottagliga för attacker och intrång i Windows, macOS och Linux operativsystem.

Datorprogramvara startar ofta flera processer för att utföra olika uppgifter. Till exempel, en lösenordshanterare har vanligtvis två delar:ett lösenordsvalv och ett tillägg till en webbläsare, som båda körs som separata processer på samma dator.

För att utbyta data, dessa processer använder en mekanism som kallas inter-process communication (IPC), som ligger inom datorns gränser och inte skickar information till ett externt nätverk. Av denna anledning, IPC har traditionellt ansetts vara säkert. Dock, Programvaran måste skydda sin interna kommunikation från andra processer som körs på samma dator. Annat, skadliga processer som startats av andra användare kunde komma åt data i IPC -kommunikationskanalen.

"Många säkerhetskritiska applikationer, inklusive flera lösenordshanterare, skydda inte IPC -kanalen ordentligt. Detta innebär att andra användares processer som körs på en delad dator kan komma åt kommunikationskanalen och eventuellt stjäla användarnas referenser, "förklarar Thanh Bui, doktorand vid Aalto University.

Även om datorer ofta anses vara personliga, det är inte ovanligt att flera personer har tillgång till samma maskin. Stora företag har vanligtvis ett centraliserat identitets- och åtkomsthanteringssystem som gör det möjligt för anställda att logga in på vilken företagsdator som helst. I dessa scenarier, det är möjligt för alla i företaget att starta attacker. En angripare kan också logga in på datorn som gäst eller fjärransluta, om dessa funktioner är aktiverade.

"Antalet sårbara applikationer visar att mjukvaruutvecklare ofta förbiser säkerhetsproblemen i samband med kommunikation mellan processer. Utvecklare kanske inte förstår säkerhetsegenskaperna för olika IPC-metoder, eller de litar för mycket på programvara och applikationer som körs lokalt. Båda förklaringarna är oroande, "säger Markku Antikainen, postdoktor vid Helsingfors universitet.

Efter ansvarsfullt avslöjande, forskarna har rapporterat de upptäckta sårbarheterna till respektive leverantörer, som har vidtagit åtgärder för att förhindra attackerna. Forskningen gjordes delvis i samarbete med F-Secure, ett finskt cybersäkerhetsföretag.