Может ли злонамеренный веб-сайт получить доступ к содержимому файлов на компьютере?

Может показаться, что это параноидально, но если я зайду на вредоносный сайт, могут ли они узнать, что находится в PDF-файле на моем рабочем столе или что есть в моих изображениях на жестком диске?

У меня есть Chromebook и компьютер с Windows.

Если вы явно не предоставите сайту — безопасному (HTTPS) или небезопасному (HTTP) — доступ к элементу на вашем устройстве, то этот сайт не сможет получить доступ к этому элементу на вашем устройстве.

Может показаться, что это параноидально, но если я зайду на сайт, который может быть не на 100% безопасным, могут ли они узнать, что находится в PDF-файле на моем рабочем столе или что есть в моих изображениях на жестком диске?

В общем, если вы не предоставите им доступ к вашему жесткому диску — или документам на вашем жестком диске — то нет, небезопасный сайт не сможет получить доступ ни к чему.

Тем не менее (и подчеркивая это, чтобы было более ясно) действительно существуют некоторые невероятно редкие — и эзотерические — “нулевые уязвимости”, которые могут быть причиной беспокойства в некоторых крайних случаях. Но в общем, вы, как конечный пользователь, должны приложить усилия, чтобы позволить сайту получить доступ к документам на вашей системе. Пока ваша ОС обновлена и браузеры актуальны, вы в безопасности. И даже в тех случаях, когда ваша система не обновлена (и опять подчеркиваю это, чтобы было ясно) риск все равно невероятно низок.

Единственное беспокойство относительно сайта, который “может быть не на 100% безопасным” (как сказано в исходном вопросе и я предполагаю, что идет речь о HTTPS против обычного HTTP) заключается в том, что когда вы передаете данные туда и обратно, HTTPS зашифрован, а HTTP — нет.

Риск в том, что если вы вводите что-то на сайте через форму и т.д., если сайт использует обычный HTTP, то данные, которые вы передаете, это просто открытый текст, который любой человек с сетевым анализатором может теоретически прочитать. Но это в лучшем случае маленький шанс.

Например, если вы находитесь в известной сети публичного Wi-Fi, то, возможно, кто-то находится в этой сети вместе с вами и потенциально перехватывает пакеты, и таким образом может обнаружить, что вы печатаете.

В общем, если вы находитесь в безопасной сети дома или где-то еще — и ваш браузер и ОС обновлены — вы “в безопасности”.

“Небезопасный” сайт действительно является проблемой только в том случае, если вы отправляете данные им или загружаете элемент с данного сайта, который будет выполнять код на вашей системе.

По своей сути браузеры не позволяют этого, но всегда существует возможность ошибки, которая может быть использована для получения более высокого уровня доступа к вашей системе.

Эти ошибки довольно редки и всегда быстро исправляются, так что это в основном проблема, если ваша ОС или браузер устарели. Оба из них теперь обновляются автоматически, так что просто не отключайте автоматические обновления, и вы можете быть уверены в довольно хорошем уровне защиты от вредоносных сайтов.

Удаленный компьютер не может получить доступ к чему-либо на вашем компьютере без помощи совместимого ПО на вашем компьютере.

В случае, если вы используете свой компьютер, чтобы зайти на ненадежный сайт, вы используете программное обеспечение браузера на своем компьютере, чтобы инициировать веб-запросы (протоколы HTTP или HTTPS), чтобы получать данные от удаленного компьютера. В этой простой модели удаленный компьютер вообще не имеет доступа к вашему компьютеру, но… браузеры имеют некоторые функции, которые усложняют эту картину.

Современные браузеры имеют функцию, которая позволяет вам загружать файлы с вашего компьютера. Сайт может включать форму, использующую эту функцию. Эта функция не дает сайту доступа к вашему компьютеру. Когда ваш браузер обрабатывает такую форму, он предлагает вам управление выбором файла; ваш браузер может видеть файлы на вашем компьютере, и когда вы делаете выбор, ваш браузер отправляет содержимое этого файла и только этого файла на удаленную систему. То, как работает эта функция, заставляет некоторых людей думать, что сайт может видеть файлы на вашем компьютере, когда на самом деле он этого не может.

Все современные браузеры имеют встроенные движки JavaScript. Сайт может содержать код JavaScript, который предназначен для выполнения вашим браузером. Когда браузер получает JavaScript на странице, он обычно выполняет его автоматически. JavaScript обычно используется для улучшения пользовательского опыта; он имеет определенные возможности и некоторые ограничения. JavaScript-движок не может “видеть” ваш компьютер — не может видеть ваши файлы или то, что происходит в других программах, но он может направить браузер загружать другие файлы с того же сайта — изображения, страницы и т. д. JavaScript может сделать так, чтобы браузер по крайней мере попытался загрузить и выполнить программу, которая может иметь больший доступ или контроль над вашей системой. Хотя сам JavaScript ограничен в своих возможностях на вашем компьютере, тем не менее, злоумышленнику может быть удастся использовать JavaScript, чтобы обмануть ничего не подозревающего пользователя в загрузке более мощной и вредоносной программы.

Кратко: ненадежный сайт не может сам по себе увидеть ваш компьютер. Но сайт может попытаться обмануть вас, чтобы вы загрузили и выполнили вредоносное программное обеспечение. Такое программное обеспечение может потенциально сделать все на вашем компьютере. Ваш браузер не должен автоматически загружать такое программное обеспечение; по крайней мере, он должен требовать вашего четкого согласия. Однако вредоносный сайт может попытаться обмануть вас, чтобы вы предоставили такое согласие.

В теории нет, на практике: Да, это вполне возможно.

Это причина, почему опытные пользователи имеют расширения для браузера, которые отключают скрипты в любое время, кроме явно включенных сайтов, которые их требуют, и которые предотвращают многие другие атаки, такие как межсайтовая подделка запроса и подобные.

Эксплотации, позволяющие удаленное выполнение кода или доступ к локальным файлам, публикуются почти каждый месяц. Два недавних примера для одного известного браузера — 1 и 2.
Примеры другого известного браузера: 3 и 4.

(Выше представлены случайные уязвимости, которые я выбрал без очевидной причины, и, насколько мне известно, они все уже исправлены в новых версиях.)

Атаки на браузеры могут не только позволять сайту получать доступ к файлам, они могут в принципе позволить сайту полностью захватить ваш компьютер в худшем случае. Проблема не ограничивается браузерами, посмотрите уязвимость видеозвонка в WhatsApp для недавнего примера. Была уязвимость в определенной широко распространенной серии маршрутизаторов DSL около года назад, которая позволила бы вредоносному сайту захватить ваш маршрутизатор даже при наличии пароля, если только вы посетите этот сайт с вашего компьютера.

Уровень глупости, необходимый для успешной атаки, сильно варьируется. Для некоторых атак конечный пользователь должен быть действительно, действительно глуп. Для некоторых атак пользователь должен быть только немного неосведомлен на мгновение. А некоторые атаки будут работать даже без того, чтобы пользователь делал что-либо глупое, при соблюдении определенных условий.

В общем, сайт не может получить доступ к файлам на вашем жестком диске или их метаинформации. Тем не менее, вы должны быть осведомлены о нескольких моментах:

• в вашем браузере могут быть проблемы с безопасностью, которые позволяют злоумышленникам захватывать ваш браузер или даже вашу систему
• в зависимости от вашего браузера, вредоносные сайты могут узнать довольно много о вас и компьютере, который вы используете. Для небольшого обзора посмотрите здесь: http://webkay.robinlinus.com/
• лучшая защита ваших файлов — это держать их подальше от интернета. Храните ваши файлы на внешнем носителе и получайте доступ к ним только через оффлайн-компьютеры. Это может быть неудобно, но безопасно