Je me demande si un Chromebook peut recevoir un virus via un site Web malveillant. J'ai récemment entendu dire qu'ils sont immunisés contre tout type de virus, mais je ne suis pas sûr que ce soit vrai. Quelqu'un sait-il si les Chromebooks peuvent être infectés par un virus?
27
Réponses:
Tl; dr - oui (mais peu probable).
De https://en.wikipedia.org/wiki/Chrome_OS :
Cherchez des informations sur Linux et les virus sur Google et vous constaterez qu'il est faible, mais certainement pas inconnu.
Par exemple, Linux a-t - il besoin d'un antivirus? dit
et mon ordinateur UNIX ou Linux peut-il être infecté par un virus? dit
Donc, vous êtes à peu le risque, mais pas sans risque
Lecture recommandée: Comment utiliser le Chromebook: Virus, programmes malveillants et sécurité de Chrome OS
la source
tl; dr
Oui, soyez prudent et n'installez aucune extension et si vous vous assurez de bien comprendre les autorisations demandées.
Tout à fait d'accord avec l'autre réponse et partira du même endroit, mais développez-le un peu:
Source: Wikipedia
Chrome: attaques passives
Description de l'attaque:
Probabilité: même avec Chrome sur Windows, cela est incroyablement rare, mais le fait que Chrome sur ChromeOS fonctionne sur Linux signifie qu'il est beaucoup moins "utile" pour les attaquants de créer des attaques pour Linux / ChromeOS.
Chrome: attaques stupides des utilisateurs (malware + site malveillant)
Description de l'attaque:
Probabilité: comme Chrome ne permet pas (par défaut) d'exécuter des applications Linux réelles, la surface d'attaque est beaucoup plus petite. De plus, la plupart de ces attaques ciblent à nouveau Windows, vous vous retrouvez donc avec un tas de
.exe
fichiers inutiles dans votreDownloads
dossier.MAIS un autre type d'attaque multiplateforme qui fonctionne et n'est pas rare est l'installation d'extensions malveillantes de chrome. Ceux-ci demandent généralement l'autorisation de
Quoi qu'il en soit, cela oblige l'utilisateur à faire quelque chose de stupide et à ignorer l'avertissement littéral que l'extension aura la permission de voir et de changer tout ce que vous voyez (y compris par exemple votre interface bancaire en ligne).
Remarque: Cela ne commence pas par un site malveillant, donc cela ne relève pas vraiment de la question du PO du titre, mais répond à la question dans le corps.
Android: attaques passives
Description de l'attaque:
Probabilité: le sandboxing sur les applications Android est si bien fait que, pour autant que je sache, personne ne l'a encore franchi. Cela signifie cependant que vous êtes raisonnablement à l'abri de tout cela. Bien sûr, toute autorisation vous faire don à l'application Android - comme avec les extensions de chrome - peut être utilisé contre vous par un joueur malveillant.
Surface d'attaque Linux
Description de l'attaque:
Probabilité: même si vous activez les applications linux et que vous vous ouvrez à plus ou moins tous les dangers ou que vous utilisez linux normal, les virus sur Linux sont incroyablement rares. Voir la réponse de Mawq pour une discussion à ce sujet.
la source
Chrome OS possède certaines fonctionnalités qui rendent très difficile l'exécution d'un virus, l'élévation des privilèges de root ou la survie d'un redémarrage (devenu persistant).
Le Chrome Sandbox ( pdf ) limite ce qu'un processus peut faire. Toutes les opérations sont en bac à sable, à l'exception de l'utilisation de base du processeur et de la mémoire. Cela signifie que le moteur de rendu, le processus javascript, le moteur de rendu PDF, etc. sont mis en bac à sable et ne seront pas autorisés à exécuter des appels système arbitraires, à écrire dans des fichiers arbitraires, à effectuer des io réseau, etc., sauf si ces appels sont explicitement autorisés.
Démarrage vérifié ( démarrage du micrologiciel ). Le démarrage de Chrome OS se déroule en plusieurs étapes. La première étape est une ROM flash de démarrage, qui est protégée contre l'écriture par un commutateur matériel sur la carte mère (cette protection peut être désactivée si vous voulez flasher votre propre chargeur de démarrage). Le micrologiciel Chrome est stocké dans deux emplacements inscriptibles, mais la signature est vérifiée par la première étape, il ne peut donc pas être modifié arbitrairement et toujours démarrer. Le noyau et les initramfs sont stockés en tant que volumes GPT et sont signés, donc ceux-ci ne peuvent pas être modifiés non plus. Le système de fichiers du système d'exploitation réel utilise Verity pour signer chaque bloc, et la signature est vérifiée lorsqu'un bloc est chargé, de sorte que le système de fichiers ne peut pas non plus être modifié.
Mises à jour constantes. Chrome OS utilise une installation A / B OS afin que les mises à jour de sécurité puissent être expédiées régulièrement et automatiquement, les mises à jour ayant échoué étant facilement annulées.
Ainsi, pour qu'un virus s'exécute sur le Chromebook, il faudrait un compromis persistant qui enchaîne quelque chose comme:
Google offre une prime de 100 000 $ à toute personne qui révèle un compromis aussi persistant. Il n'y a que quelques cas ( 1 , 2 ) où cela a été réclamé. La seconde d'entre elles nécessitait de chaîner cinq vulnérabilités CVE. Pas facile.
la source
Les Chromebooks présentent-ils des vulnérabilités?
Oui.
Une brève recherche , au moment de la rédaction de cette réponse, sur le site Web de MITRE CVE par mot-clé «chromebook», donne 9 rapports de vulnérabilité, tous datés de 2011 ou 2012. Plus précisément, ceux-ci mentionnent «Acer AC700, Samsung Series 5 et Cr-48 ". Selon l' article de la semaine de la sécurité d'Eduard Kovacs :
Il y a donc un autre ensemble d'exploits CVE daté de 2017.
Surface d'attaque:
Notez que cela ne prend pas en compte les vulnérabilités dans les extensions de Google Store. Chaque extension supplémentaire peut augmenter la surface d'attaque. Un exemple intéressant d'une extension qui viole la confidentialité de l'utilisateur et met la machine en service de botnet peut être trouvé dans l'article de Trend Micro :
Bien sûr, l'accès physique aux appareils est un facteur important - le matériel lui-même pourrait être compromis.
Notez que la surface d'attaque peut augmenter, car le Chromebook sort du cycle de support, qui est actuellement de 5 ans, selon l'article de PC World . Bien que l'article indique qu'il n'y a pas de clarté sur la situation, Google a apparemment l'intention de fournir des mises à jour de sécurité:
Conclusion
En bref, oui, on peut obtenir des exploits sur Chrome OS. Comme mentionné dans la réponse de Mawg , Chrome OS utilise le noyau Linux, donc les exploits spécifiques à Windows n'affecteront pas Chrome OS. Néanmoins, cela ne diminue pas la surface d'attaque si les exploits du noyau Linux sont intéressants.
la source