Microsoft потеряла контроль над доменом Windows Tiles, и кто-то его забрал
- Категория: Безопасность
Microsoft представила плитки в меню «Пуск» и на начальной странице Windows при запуске операционной системы Windows 8. Эта функция, разработанная для добавления динамической заметки к ранее статическим ссылкам на программы, службы и веб-сайты за счет поддержки опций для регулярной загрузки нового содержимого плиток, никогда не получала широкого распространения среди пользователей Windows.
Многим был доступен только список плиток по умолчанию, который Microsoft добавила в начальные профили; это не помешало Microsoft добавить поддержку Live Tiles в Windows 10. Веб-сайты и службы также могут поддерживать эту функцию, чтобы пользователи, закрепившие их в меню «Пуск», получали обновленные плитки при появлении нового содержимого. Хотя плитки постепенно уходят, они все еще поддерживаются во всех последних версиях Windows.
Рассказ на немецком компьютерном сайте Голем (на английском языке) описывает, как Golem заполучил домен, отвечающий за доставку контента Tile в системы Windows, потому что Microsoft не смогла должным образом защитить себя от так называемой атаки с захватом поддомена.
Это поглощение предоставило Golem полный контроль над контентом, который он доставлял в пользовательские системы; Пользователи Windows 8 и 10 могут закрепить поддерживающие веб-сайты на «Пуск», чтобы получать обновления при публикации нового контента.
Голем отметил, что такие сайты, как Engadget, Mail.ru или крупные немецкие новостные сайты Heise или Giga, поддерживают плитки, как и многие другие.
Как была проведена атака
Хост, ответственный за доставку данных на устройства Windows, был notifications.buildmypinnedsite.com; Похоже, что Microsoft отказалась от домена и перенаправила его на поддомен Azure, но так и не зарегистрировала его в Azure. Golem удалось зарегистрировать поддомен, используя обычную учетную запись Azure, и добавить соответствующие имена хостов, чтобы получить полный контроль над службой Tiles, используемой для доставки контента на пользовательские устройства.
Журнал связался с Microsoft по поводу этой проблемы, но не получил ответа, согласно статье. Он отметил, что хост получил «приличный объем трафика» и что Golem не будет постоянно регистрировать хост из-за эксплуатационных расходов.
Тем временем Golem остановил веб-приложение, он возвращает ошибку 403: это веб-приложение остановлено, поэтому манипулируемый контент не может быть доставлен на пользовательские устройства в то время.
Пользователи Windows может потребоваться деактивировать живые плитки веб-сайта (посмотри это учебник для Windows 8 Live Tiles ), если они его используют, и владельцы веб-сайтов могут захотеть отказаться от поддержки этой функции, а также для защиты от потенциальных злоупотреблений.
Заключительные слова
Я никогда особо не думал о живых плитках в настольных версиях Windows. Хотя некоторые функции были оценены, например Чтобы получать актуальный прогноз погоды, открыв Пуск, я считаю, что большая часть функций не имеет особого смысла на рабочем столе.
На мой взгляд, подобный сценарий никогда не должен происходить, особенно если он может негативно повлиять на клиентов.
Теперь ваша очередь : Что вы думаете о живых плитках или динамических плитках в целом?