Google Safe Browsing

Google Safe Browsing to parametr monitoringu stron internetowych, który sprawdza, czy adres strony znajduje się na listach niebezpiecznych zasobów prowadzonych przez Google. Wynikiem jest trafienie z typem zagrożenia albo brak trafienia. Pomiar nie analizuje treści strony, tylko odczytuje werdykt Google. Interfejsy Safe Browsing pozwalają aplikacjom sprawdzać adresy URL na stale aktualizowanych listach, na których są m.in. strony socjotechniczne (phishing i strony wprowadzające w błąd) oraz strony z malware lub oprogramowaniem niechcianym ^[1].

Jak działa

Wpis na listę. Przy malware Google skanuje fragmenty swojego indeksu w poszukiwaniu przejętych witryn i uruchamia je w maszynie wirtualnej, sprawdzając, czy ulegnie ona infekcji. Strony phishingowe rozpoznają modele statystyczne ^[7]. Indeks jest skanowany codziennie. Niebezpieczna strona trafia na listę w ciągu kilku minut od wykrycia, a na zewnątrz staje się widoczna średnio po pół godzinie ^[7].

Dwa sposoby sprawdzenia w wersji 4. Lookup API przyjmuje żądanie z adresami i odpowiada stanem każdego z nich. Adresy nie są haszowane, więc serwer wie, o co pytano ^[1]. Update API pobiera zaszyfrowane kopie list do lokalnej bazy klienta i jest przeznaczone dla zastosowań wymagających częstych werdyktów z małym opóźnieniem. Korzysta z niego kilka przeglądarek i platform programowych ^[1].

Przed sprawdzeniem klient normalizuje adres (kanonizacja) i tworzy z niego wyrażenia: do 5 wariantów hosta i do 6 wariantów ścieżki, łącznie do 30 kombinacji. Dla każdego wyrażenia liczy skrót SHA-256, a prefiks skrótu to jego pierwsze 4–32 bajty ^[2]. Brak prefiksu w lokalnej bazie oznacza, że adres jest bezpieczny. Kolizja prefiksu wymaga wysłania go do serwerów Google, które zwracają wszystkie pełne skróty o tym prefiksie. Adres jest niebezpieczny tylko wtedy, gdy jeden z nich zgadza się z pełnym skrótem adresu ^[3]. Google poznaje prefiksy skrótów, ale nie same adresy ^[3].

RYS. 1.1Update API: prefiks lokalnie, pełny skrót z serwera

Wersja 5 zmienia ten model. Google zauważa, że wraz ze wzrostem liczby i tempa zagrożeń lokalne listy tracą skuteczność ^[4]. Dlatego klient pobiera Global Cache, czyli listę stron prawdopodobnie bezpiecznych, a adres spoza niej sprawdza w API. W zapytaniu hashes.search wysyła tylko 4-bajtowy prefiks skrótu ^[4].

Standardy i specyfikacje

• Safe Browsing API v4 udostępnia Lookup API i Update API. Wersja 4 jest oznaczona jako wycofywana (deprecated). API służy wyłącznie do użytku niekomercyjnego. Do celów komercyjnych, rozumianych jako sprzedaż lub generowanie przychodu, Google wskazuje Web Risk API ^[1].
• Kanonizacja i skróty adresów są opisane w osobnym dokumencie: usuwanie fragmentu po #, wielokrotne dekodowanie procentowe, normalizacja hosta i ścieżki, wyrażenia przyrostków hosta i przedrostków ścieżki ^[2].
• Typy zagrożeń (ThreatType): MALWARE, SOCIAL_ENGINEERING, UNWANTED_SOFTWARE i POTENTIALLY_HARMFUL_APPLICATION ^[5].
• Web Risk Google opisuje jako produkt bezpieczeństwa dla przedsiębiorstw, który sprawdza adresy na stale aktualizowanych listach niebezpiecznych zasobów Google. Ma własne Lookup API i Update API. Informacji zwróconych przez Web Risk nie wolno redystrybuować ^[6].
• Site Status Tool w raporcie przejrzystości Google przyjmuje adres, witrynę albo domenę i zwraca najnowszy wynik analizy Safe Browsing, bez odwiedzania strony ^[8].
• Raport „Problemy dotyczące bezpieczeństwa” w Search Console jest miejscem złożenia wniosku o przegląd po oczyszczeniu witryny. Przed wnioskiem właściciel potwierdza własność witryny, usuwa skutki włamania, łata lukę i przywraca stronę do sieci ^[9].

Zagrożenia i skutki

Ostrzeżenie w przeglądarce. Chrome przy stronach z phishingiem, malware, oprogramowaniem niechcianym lub socjotechniką może wyświetlić czerwone ostrzeżenie „Dangerous site” i zaleca, by strony nie odwiedzać ^[10]. Firefox korzysta z protokołu v4 od wersji 56 (koniec 2017 roku). Wyświetla strony ostrzeżeń dla kategorii malware, phishing, unwanted i harmful, z przyciskami „Ignore this warning” i „Get me out of here” ^[11]. Safari z włączoną funkcją Fraudulent Website Warning ostrzega przed podejrzewanym phishingiem lub malware. Wysyła do Google Safe Browsing i Apple informacje wyliczone z adresu, a w Chinach kontynentalnych i Hongkongu może użyć także Tencent Safe Browsing. Pełny adres nie trafia do dostawcy ^[12].

Opóźnienie w obie strony. Między wykryciem a widocznością na zewnątrz mija średnio pół godziny ^[7]. Klient Update API trzyma werdykt przez czas podany w cacheDuration, a brak zagrożenia przez negativeCacheDuration ^[3]. Po naprawie przegląd phishingu trwa około doby, malware kilka dni, a spamu po włamaniu do kilku tygodni ^[9]. Po pozytywnym przeglądzie ostrzeżenia w przeglądarkach i wynikach wyszukiwania znikają w ciągu 72 godzin ^[9]. W odpowiedziach na najczęstsze pytania Google podaje, że oczyszczona strona po ponownym skanie schodzi z listy zwykle w ciągu 24 godzin ^[7]. Wniosek złożony, zanim problem naprawdę zniknie, wydłuża okres oznaczenia ^[9].

RYS. 1.2Od oznaczenia do zdjęcia ostrzeżenia

Fałszywe pozytywy. Google deklaruje bardzo niewiele fałszywych pozytywów ^[7]. Właściciel strony błędnie oznaczonej jako phishing może zgłosić to formularzem report_error, który uruchamia też przegląd oczyszczonych stron ^[9]. Firefox po pominięciu ostrzeżenia oferuje przyciski „This isn't an attack site” i „This isn't a web forgery” ^[11].

Granice odczytu. Brak trafienia nie dowodzi, że strona jest czysta. Google przyznaje, że malware może się ukrywać w wielu miejscach ^[7]. Zapytanie o sam adres główny tworzy wyłącznie wyrażenia hosta z pustą ścieżką, więc wpis dotyczący jednej podstrony nie zostanie do niego dopasowany ^[2]. Wersja 4 jest wycofywana i niekomercyjna ^[1], a dane Web Risk nie mogą być dalej rozpowszechniane ^[6].

Przykłady

Sytuacja w Update API	Wynik
prefiks adresu nie występuje w lokalnej bazie	adres bezpieczny, bez zapytania do serwera [3]
kolizja prefiksu, żaden pełny skrót z serwera nie pasuje	adres bezpieczny [3]
kolizja prefiksu i zgodny pełny skrót	adres niebezpieczny, klient pokazuje ostrzeżenie [3] [11]

Typ zagrożenia	Czym jest	Przegląd po naprawie
SOCIAL_ENGINEERING	phishing i strony wprowadzające w błąd [1]	około doby [9]
MALWARE	strony z malware [1] [5]	kilka dni [9]
UNWANTED_SOFTWARE	strony z oprogramowaniem niechcianym [1] [5]	wniosek w tej samej kategorii co malware [9]
POTENTIALLY_HARMFUL_APPLICATION	potencjalnie szkodliwa aplikacja [5]	brak danych

Dla adresu http://a.b.c/1/2.html?param=1 specyfikacja wymienia m.in. wyrażenia a.b.c/1/2.html?param=1, a.b.c/1/, a.b.c/ i b.c/ ^[2]. Zapytanie o https://a.b.c/ daje tylko a.b.c/ i b.c/, więc nie obejmuje wpisu dla a.b.c/1/2.html ^[2].