Мне интересно, может ли Chromebook заразиться вирусом через вредоносный веб-сайт. Я недавно слышал, что они иммунны к вирусам любого рода, но не уверен, что это правда. Кто-нибудь знает, могут ли Chromebooks заразиться вирусом?

Короткий ответ – да (но маловероятно).

Из https://en.wikipedia.org/wiki/Chrome_OS:

Chrome OS – это операционная система, разработанная Google, основанная на
ядре Linux и использующая веб-браузер Google Chrome в качестве
основного пользовательского интерфейса. В результате Chrome OS в основном поддерживает
веб-приложения.

Поищите информацию о Linux и вирусах в интернете, и вы обнаружите, что угрозы нечасты, но определенно не неизвестны.

Например, Нужен ли Linux антивирус? говорит:

Существует большое количество обсуждений, нужен ли Linux антивирус. Сторонники
Linux утверждают, что его наследие как многопользовательской, сетевой операционной
системы означает, что она была создана с нуля с защитой от
вредоносного ПО. Другие считают, что, хотя некоторые операционные
системы могут быть более устойчивыми к вредоносному ПО, просто не существует
операционной системы, устойчивой к вирусам. Вторая группа права –
Linux не неуязвим для вирусов.

и Может ли мой компьютер на UNIX или Linux заразиться вирусом? говорит:

В настоящее время известно несколько вирусов для UNIX или Linux. Однако проверка на вирусы
необходима по этим причинам:

• Компьютеры на UNIX или Linux, работающие в качестве серверов для клиентских рабочих станций других операционных систем, могут стать носителями других типов вирусов, например, макро-вирусов Windows.
• Компьютеры на UNIX и Linux часто используются в качестве почтовых серверов и могут проверять электронную почту на наличие червей и заражённых вложений до того, как они попадут на рабочий стол.
• Если ваш компьютер на UNIX или Linux использует эмулятор ПК (так называемый “мягкий ПК”), приложения, работающие под этим эмулятором, уязвимы для вирусов, особенно макро-вирусов.

Итак, вы на риске, но не на риске.

Рекомендуемое чтение: Руководство по Chromebook: Вирусы, вредоносное ПО и безопасность Chrome OS

Краткий ответ

Да, просто будьте осторожны и не устанавливайте никакие расширения, а если и устанавливаете, убедитесь, что вы понимаете, какие разрешения они запрашивают.

_{^{Примечание: Профессиональное определение “компьютерного вируса” – это специфический тип вредоносного приложения; “обычное” определение “компьютерного вируса” – это, по сути, любое вредоносное приложение. Читая пост автора вопроса, я интерпретировал его вопрос, используя термин в последнем значении.}}

Полностью согласен с другим ответом и начну с той же точки, но немного расширю его:

Chrome OS – это операционная система, разработанная Google, основанная на ядре Linux и использующая веб-браузер Google Chrome в качестве основного пользовательского интерфейса. В результате Chrome OS в основном поддерживает веб-приложения.

Источник: Wikipedia

Chrome: Пассивные атаки

Описание атаки:

1. Вы открываете веб-сайт
2. Внезапно у вас появляется вирус

Вероятность: Даже с Chrome на Windows такие случаи крайне редки, но тот факт, что Chrome на ChromeOS работает на Linux, делает его гораздо менее “выгодным” для атакующих, чтобы создавать атаки для Linux/ChromeOS.

Chrome: Атаки на неосторожных пользователей (вредоносное ПО + вредоносный сайт)

Описание атаки:

1. Вы открываете веб-сайт
2. Веб-сайт убеждает пользователя сделать что-то глупое
   • Пример: Вы открываете сайт потокового видео (тот тип, который использует контент без разрешения или законного права от владельца авторских прав) и сайт убеждает своих пользователей установить отсутствующий кодек, на самом деле устанавливая вирус.

Вероятность: Поскольку Chrome по умолчанию не позволяет запускать настоящие приложения Linux, площадь атаки значительно меньше. Кроме того, большинство таких атак нацелено снова на Windows, так что у вас, в конечном итоге, скопится куча бесполезных .exe файлов в вашей папке Загрузки.

НО другой тип межплатформенных атак, который работает и не является редкостью, это установка вредоносных расширений Chrome. Эти расширения обычно запрашивают разрешение на

• Чтение и изменение ваших данных на всех сайтах

В любом случае, это требует, чтобы пользователь сделал что-то глупое и проигнорировал буквальное предупреждение, что расширение будет иметь разрешение видеть и изменять все, что вы видите (включая, например, ваш онлайн-банкинг интерфейс).

Примечание: Это не начинается с вредоносного сайта, так что это вряд ли подпадает под вопрос автора из заголовка, но отвечает на вопрос в тексте.

Android: Пассивные атаки

Описание атаки:

1. Вы устанавливаете и открываете вредоносное приложение для Android
2. Внезапно у вас появляется вирус (где вирус снова определён как что-то, что может украсть ваши пароли или получить доступ к вашему онлайн-банкингу)

Вероятность: Песочница на Android приложениях настолько хорошо реализована, что, насколько мне известно, никто ещё не смог её обойти. Это практически означает, что вы в значительной степени защищены от этого, однако. Конечно, любое разрешение, которое вы действительно даёте приложению Android – так же как и с расширениями Chrome – может быть использовано против вас злонамеренным игроком.

Linux атакующая поверхность

Описание атаки:

1. (Прелюдия) Вы включаете приложения для Linux (это отключено по умолчанию и только для опытных пользователей)
2. Вы открываете какой-то невинно выглядящий файл
   • Пример: Какой-то документ libreoffice
3. Внезапно у вас появляется вирус

Вероятность: Даже если вы включаете приложения для Linux, и вы открываетесь практически всем опасностям запуска обычного Linux, вирусы на Linux крайне редки. См. ответ Mawq для обсуждения этого.

Chrome OS имеет некоторые функции, которые делают её крайне сложной для запуска вирусов, повышения привилегий до root либо сохранения при перезагрузке (становления постоянной).

• Песочница Chrome (pdf) ограничивает, что может делать процесс. Все операции изолированы, кроме базового использования ЦП и памяти. Это означает, что рендеринг, процесс JavaScript, PDF-рендеринг и т. д. изолированы и не будут иметь возможность выполнять произвольные системные вызовы, записывать произвольно в файлы, осуществлять сетевую IO и т. д., если эти вызовы явно не разрешены.

• Проверенная загрузка (Микропрограммная загрузка). Загрузка Chrome OS происходит в несколько этапов. Первый этап — это загрузочный ROM, который защищён от записи аппаратным переключателем на материнской плате (эту защиту можно отключить, если вы хотите прошить собственный загрузчик). Прошивка Chrome хранится в двух записываемых слотах, но подпись проверяется на первом этапе, поэтому она не может быть произвольно модифицирована и продолжать загружаться. Ядро и initramfs хранятся как GPT-тома и подписываются, поэтому их также нельзя модифицировать. Фактическая файловая система ОС использует Verity для подписания каждого блока, и подпись проверяется при загрузке блока, так что файловую систему также нельзя модифицировать.

• Постоянные обновления. Chrome OS использует A/B установку ОС, чтобы обновления безопасности могли автоматически отправляться и устанавливаться, с лёгким откатом неудачных обновлений.

Таким образом, для выполнения вируса на Chromebook потребуется постоянный взлом, который объединяет что-то наподобие:

• эксплойт для запуска нативного кода (вируса)
• побег из песочницы, для доступа к файловой системе
• эксплойт на повышение привилегий, чтобы модифицировать файлы ОС
• эксплойт на “проверенной загрузке”, нацеленный на микропрошивку или файловую систему, чтобы измененные файлы ОС загружались при перезагрузке
• способ распространения на другие Chromebooks (если мы говорим о традиционном вирусе)

Google предлагает вознаграждение в 100 тысяч долларов за обнаружение такого постоянного взлома. Случаев, когда это было заявлено, всего несколько (1,2). Во втором случае было необходимо объединить пять уязвимостей CVE. Это нелегко.

Есть ли у Chromebook уязвимости?

Да.

Краткий поиск на сайте CVE MITRE по ключевому слову “chromebook”, на момент написания этого ответа, даёт 9 отчетов о уязвимостях, все датированы 2011 или 2012 годом. В частности, упоминаются “Acer AC700, Samsung Series 5 и Cr-48”. Согласно статье в Security Week Эдуарда Ковакаса:

Исследователь, использующий онлайн-псевдоним Gzob Qq, проинформировал Google
18 сентября, что он обнаружил серию уязвимостей, которые
могут привести к постоянному выполнению кода на Chrome OS, операционной
системе, работающей на устройствах Chromebox и Chromebook.

Цепочка эксплойтов включает в себя ошибку доступа к памяти с выходом за пределы в
движке V8 JavaScript (CVE-2017-15401), повышение привилегий в
PageState (CVE-2017-15402), ошибку инъекции команд в
компоненте network_diag (CVE-2017-15403), и проблемы обработки
символических ссылок в crash_reporter (CVE-2017-15404) и cryptohomed (CVE-2017-15405).

Так что есть ещё набор эксплойтов CVE, датированных 2017 годом.

Атакующая поверхность:

Обратите внимание, что это не учитывает уязвимости в расширениях из Google Store. Каждое дополнительное расширение может увеличить атакующую поверхность. Интересный пример расширения, которое нарушает конфиденциальность пользователя и делает машину частью ботнета, можно найти в статье Trend Micro:

Этот ботнет использовался для внедрения рекламы и кода для майнинга криптовалют в
веб-сайты, которые посещал пользователь. Мы назвали этот конкретный ботнет
Droidclub, по имени одного из самых старых командных и контрольных
доменов, которые использовались.

Кроме вышеуказанных функций, Droidclub также злоупотребляет легитимными
библиотеками повторного воспроизведения сеансов, чтобы нарушать конфиденциальность пользователя. Эти
скрипты внедряются на каждый сайт, который посещает пользователь. Эти библиотеки
предназначены для повторного воспроизведения визита пользователя на сайт, чтобы его владельцы могли видеть, что пользователь видел, и что он вводил на устройство, среди прочего.

Конечно, физический доступ к устройствам играет значительную роль – само аппаратное обеспечение может быть скомпрометировано.

Обратите внимание, что атакующая поверхность может увеличиться, если Chromebook выходит из цикла поддержки, который в настоящее время составляет 5 лет, согласно статье PC World. Хотя статья утверждает, что нет ясности по ситуации, видимо, Google намеревается предоставлять обновления безопасности:

Тем не менее, есть еще один момент в этой истории: Поскольку безопасность
является “одним из ключевых принципов Chrome OS”, Google заявляет, что
“работает с нашими партнёрами, чтобы обновить наши политики, чтобы мы могли
расширить выпуск патчей и обновлений безопасности после окончания срока
службы устройства”.

Google пока не даёт никаких гарантий, но похоже, что
компания хочет расширить обновления – по крайней мере на уровне безопасности –
более чем на пять лет. Также похоже, что производители устройств, такие как Acer
и Samsung, будут частично отвечать за то, чтобы это произошло.

Вывод

В кратце, да, можно получить эксплойты на Chrome OS. Как упомянуто в ответе Mawg, Chrome OS использует ядро Linux, так что эксплойты, специфичные для Windows, не будут влиять на Chrome OS. Тем не менее, это не уменьшает атакующую поверхность, если эксплойты ядра Linux представляют интерес.