Mi chiedo se un Chromebook può ricevere un virus attraverso un sito Web dannoso. Di recente ho sentito che sono immuni da qualsiasi tipo di virus, ma non sono sicuro che sia vero. Qualcuno sa se i Chromebook possono essere infettati da un virus?

Tl; dr - yes (ma improbabile).

Da https://en.wikipedia.org/wiki/Chrome_OS :

Chrome OS è un sistema operativo progettato da Google che si basa sul kernel Linux e utilizza il browser Web Google Chrome come interfaccia utente principale. Di conseguenza, Chrome OS supporta principalmente le applicazioni Web.

Google in giro per informazioni su Linux e virus e scoprirai che è a basso runner, ma di certo non inaudito.

Ad esempio, Linux ha bisogno dell'antivirus? dice

C'è molto dibattito sul fatto che Linux abbia bisogno di un antivirus. I sostenitori di Linux affermano che la sua eredità come sistema operativo multiutente e in rete significa che è stato costruito da zero con una difesa del malware superiore. Altri sostengono che mentre alcuni sistemi operativi possono essere più resistenti ai malware, semplicemente non esiste un sistema operativo resistente ai virus. Il secondo gruppo è corretto: Linux non è impermeabile ai virus

e il mio computer UNIX o Linux può essere infettato da un virus? dice

Pochi virus sono attualmente noti per UNIX o Linux. Tuttavia, il controllo antivirus è necessario per questi motivi:

• I computer UNIX o Linux che fungono da server per altre workstation client del sistema operativo possono diventare corrieri per altri tipi di virus, ad esempio i macro virus di Windows.
• I computer UNIX e Linux sono spesso utilizzati come server di posta e possono controllare la posta elettronica per worm e allegati infetti prima che raggiungano il desktop.
• Se il tuo computer UNIX o Linux esegue un emulatore PC (un "soft PC"), le applicazioni in esecuzione sotto quell'emulatore sono vulnerabili ai virus, in particolare ai macro virus.

Quindi, si è a poco rischio, ma non senza rischi

Lettura consigliata: Chromebook Procedura: virus, malware e sicurezza del sistema operativo Chrome

tl; dr

Sì, fai solo attenzione e non installare alcuna estensione e se ti assicuri di aver compreso le autorizzazioni richieste.

_{^{Nota : la definizione professionale di "virus informatico" è un tipo specifico di applicazione dannosa, la definizione "normale" di "virus informatico" è più o meno qualsiasi applicazione dannosa. Leggendo il post del PO ho interpretato la sua domanda per usare il termine in quest'ultimo significato.}}

Totalmente d'accordo con l'altra risposta e partirà dallo stesso posto, ma espandi un po 'su di esso:

Chrome OS è un sistema operativo progettato da Google che si basa sul kernel Linux e utilizza il browser Web Google Chrome come interfaccia utente principale. Di conseguenza, Chrome OS supporta principalmente le applicazioni Web.

Fonte: Wikipedia

Chrome: attacchi passivi

Descrizione dell'attacco:

1. Si apre un sito Web
2. Improvvisamente hai un virus

Probabilità: anche con Chrome su Windows, questi sono incredibilmente rari, ma il fatto che Chrome su ChromeOS funzioni su Linux significa che è molto meno "utile" per gli aggressori creare attacchi per Linux / ChromeOS.

Chrome: attacchi utente stupidi (malware + sito dannoso)

Descrizione dell'attacco:

1. Si apre un sito Web
2. Il sito web convince l'utente a fare qualcosa di stupido
   • Esempio: si apre un sito di streaming (il tipo che prende il suo contenuto senza autorizzazione o diritto legale dal proprietario del copyright) e il sito convince i suoi utenti a installare un codec mancante, mentre in realtà installano un virus.

Probabilità: poiché Chrome non consente (per impostazione predefinita) l'esecuzione di applicazioni Linux reali, esiste una superficie di attacco molto più piccola. Inoltre, la maggior parte di questi attacchi prende di nuovo di mira Windows, quindi finisci con un mucchio di .exefile inutili nella tua Downloadscartella.

MA un altro tipo di attacco multipiattaforma che funziona e non è raro è l'installazione di estensioni di Chrome dannose. Questi in genere richiedono l'autorizzazione a

• Leggi e modifica i tuoi dati su tutti i siti

Ad ogni modo, ciò richiede che l'utente faccia qualcosa di stupido e ignori l'avvertimento letterale che l'estensione avrà il permesso di vedere e cambiare tutto ciò che vedi (inclusa ad esempio la tua interfaccia di banking online).

Nota: questo non inizia con un sito dannoso, quindi non rientra realmente nella domanda del PO dal titolo, ma risponde alla domanda nel corpo.

Android: attacchi passivi

Descrizione dell'attacco:

1. Installa e apri un'app Android dannosa
2. Improvvisamente hai un virus (in cui un virus viene nuovamente definito come qualcosa che potrebbe rubare le tue password o accedere al tuo banking online)

Probabilità: il sandboxing sulle app per Android è così ben fatto che per quanto ne so attualmente nessuno lo ha ancora superato. Questo significa praticamente che sei ragionevolmente al sicuro da ciò che accade. Naturalmente, qualsiasi autorizzazione che si fa concessione al app Android - proprio come con le estensioni di Chrome - può essere usato contro di voi da un giocatore dannoso.

Superficie di attacco di Linux

Descrizione dell'attacco:

1. (Prequel) Abiliti le applicazioni linux (questo è disabilitato di default e solo per i poweruser)
2. Apri un file dall'aspetto innocente
   • Esempio: alcuni documenti di libreoffice
3. Improvvisamente hai un virus

Probabilità: anche se abiliti le app linux e ti apri a più o meno tutti i pericoli o esegui linux normale, i virus su Linux sono incredibilmente rari. Vedi la risposta di Mawq per una discussione di questo.

Chrome OS ha alcune funzionalità che rendono molto difficile l'esecuzione di un virus, l'elevazione del privilegio di root o la sopravvivenza al riavvio (diventare persistente).

• Il Chrome Sandbox ( pdf ) limita ciò che un processo può fare. Tutte le operazioni sono in modalità sandbox, a parte l'utilizzo di base della CPU e della memoria. Ciò significa che il renderer, il processo javascript, il renderer PDF, ecc. Sono in modalità sandbox e non saranno autorizzati a eseguire scale di sistema arbitrarie, a scrivere su file arbitrari, a fare rete io, ecc. A meno che tali chiamate non siano esplicitamente consentite.

• Avvio verificato ( avvio del firmware ). L'avvio di Chrome OS avviene in più fasi. Il primo stadio è una ROM flash di avvio, protetta dalla scrittura da un interruttore hardware sulla scheda madre (questa protezione può essere disabilitata se si desidera eseguire il flashing del proprio boot loader). Il firmware di Chrome è memorizzato in due slot scrivibili, ma la firma viene verificata dal primo stadio, quindi non può essere arbitrariamente modificata e comunque avviata. Il kernel e initramfs sono archiviati come volumi GPT e sono firmati, quindi neanche quelli possono essere modificati. Il vero filesystem del sistema operativo utilizza Verity per firmare ogni blocco e la firma viene verificata quando viene caricato un blocco, quindi neanche il file system può essere modificato.

• Aggiornamenti costanti. Chrome OS utilizza un'installazione del sistema operativo A / B in modo che gli aggiornamenti di sicurezza possano essere spediti regolarmente e automaticamente, con la possibilità di ripristinare facilmente gli aggiornamenti non riusciti.

Quindi, per un virus in esecuzione sul Chromebook, richiederebbe un compromesso persistente che concatena qualcosa come:

• un exploit per eseguire codice nativo (il virus)
• un escape sandbox, per accedere al filesystem
• un exploit di root, al fine di modificare i file del sistema operativo
• un exploit di "avvio verificato", destinato al flash del firmware o al filesystem, in modo che i file del sistema operativo modificati vengano caricati al riavvio
• un modo per diffondersi ad altri Chromebook (se stiamo parlando di un virus tradizionale)

Google offre una taglia di $ 100.000 per chiunque sveli un compromesso così persistente. Ci sono solo un paio di casi ( 1 , 2 ) in cui questo è stato rivendicato. Il secondo di questi ha richiesto il concatenamento di cinque vulnerabilità CVE. Non facile.

I Chromebook hanno vulnerabilità?

Sì.

Una breve ricerca , al momento della stesura di questa risposta, sul sito Web CVE di MITRE con la parola chiave "chromebook", porta a 9 rapporti di vulnerabilità, tutti datati 2011 o 2012. In particolare, citano "Acer AC700, Samsung Series 5 e Cr-48 ". Secondo l' articolo su Security Week di Eduard Kovacs :

Un ricercatore che utilizza il moniker online Gzob Qq ha informato Google il 18 settembre di aver identificato una serie di vulnerabilità che potrebbero portare a un'esecuzione persistente di codice su Chrome OS, il sistema operativo in esecuzione su dispositivi Chromebox e Chromebook.

La catena di exploit include un difetto di accesso alla memoria fuori limite nel motore JavaScript V8 (CVE-2017-15401), un'escalation dei privilegi in PageState (CVE-2017-15402), un difetto di iniezione di comando nel componente network_diag (CVE- 2017-15403) e problemi di attraversamento del collegamento simbolico in crash_reporter (CVE-2017-15404) e crittografia (CVE-2017-15405).

Quindi c'è un altro set di exploit CVE del 2017.

Superficie di attacco:

Tieni presente che ciò non tiene conto delle vulnerabilità nelle estensioni di Google Store. Ogni estensione aggiuntiva può aumentare la superficie di attacco. Un interessante esempio di estensione che viola la privacy dell'utente e mette la macchina nel servizio botnet è disponibile nell'articolo di Trend Micro :

Questa botnet è stata utilizzata per iniettare pubblicità e codice di mining di criptovaluta nei siti Web visitati dalla vittima. Abbiamo soprannominato questo particolare botnet Droidclub, dopo il nome di uno dei più antichi domini di comando e controllo (C&C) utilizzati.

Oltre alle funzionalità di cui sopra, Droidclub abusa anche di librerie di replay di sessioni legittime per violare la privacy dell'utente. Questi script vengono iniettati in ogni sito Web visitato dall'utente. Queste librerie sono pensate per essere utilizzate per riprodurre la visita di un utente a un sito Web, in modo che il proprietario del sito possa vedere, tra le altre cose, ciò che l'utente ha visualizzato e ciò che ha inserito nella macchina.

Naturalmente, l'accesso fisico ai dispositivi è un fattore significativo: l'hardware stesso potrebbe essere compromesso.

Tieni presente che, secondo l'articolo di PC World, la superficie di attacco potrebbe aumentare del ciclo di supporto del Chromebook, che attualmente è di 5 anni . Mentre l'articolo afferma che non c'è chiarezza sulla situazione, a quanto pare Google intende fornire aggiornamenti di sicurezza:

C'è, tuttavia, un'altra ruga in questa storia: dato che la sicurezza è "uno dei principi chiave di Chrome OS", Google afferma che sta "lavorando con i nostri partner per aggiornare le nostre politiche in modo che siamo in grado di estendere le patch di sicurezza e aggiornamenti oltre la data EOL di un dispositivo. "

Google non sta offrendo garanzie a questo punto, ma sembra che la società voglia estendere gli aggiornamenti, almeno per quanto riguarda la sicurezza, oltre i cinque anni. Sembra anche che produttori di dispositivi come Acer e Samsung sarebbero parzialmente responsabili di ciò.

Conclusione

In breve, sì, si possono ottenere exploit su Chrome OS. Come menzionato nella risposta di Mawg , Chrome OS utilizza il kernel Linux, quindi gli exploit specifici di Windows non influiranno su Chrome OS. Tuttavia, ciò non riduce la superficie di attacco se gli exploit del kernel Linux sono interessanti.