Photo by Basil James on Unsplash(https://unsplash.com/photos/iC4BsZQaREg)

道高一尺,魔高一丈,Google在Chrome 80剛加入以AES 256加密Windows系統密碼及cookies的技術,不到一個月就已經被竊取資訊的惡意軟體作者突破了。

不再如同之前的Chrome版本,只利用Windows內建的資料保護API(DAPI)來處理加密,Google 2月釋出的Chrome 80,是另外使用AES-256演算法加密,以增加一層防護。一家安全廠商二月底分析一個用戶資料交易的地下市集,發現和惡意程式AZORult有關的資料外洩大幅下降,顯示Chrome 80的新式防護的確發揮作用,AZORult會專門竊取加密貨幣、密碼、上網紀錄、cookies及Skype、Telegram等帳密。

不過這個成功並沒有維持太久。BleepingComputer引述KELA安全研究人員報導,至少4種竊密程式的作者,在Chrome 80釋出後4天,即在駭客論壇中宣稱已經破解了新演算法。竊密程式KPOT作者說,會實作於之後的「更新版」中。宣稱可竊取60種App資訊的竊密程式Racoon作者表示,其產品可以已經能繞過Chrome 80的安全防護層。另一個新竊密程式還打廣告說「支援Chrome 80」。安全廠商指出,竊密軟體圈最近似乎以打敗Chrome最新安全技術,做為新賣點。

即使如此,升級Chrome 80對一般使用者來說,還是有其他好處。Google指出,新版Chrome可在沙箱中執行網路層運作,也變更了加密密碼、cookies的演算法及儲存機制,可擾亂現有竊密駭客使用的工具。此外,Chrome 80也修補了前版的50多項漏洞、自動將混合內容升級到HTTPS,同時禁止網站Cookie跨站存取,仍是現有上網較安全的選擇之一。


Advertisement

更多 iThome相關內容