В това интервю за Help Net Security, Руи Рибейро, главен изпълнителен директор на Jscrambler, обяснява защо браузърът се е превърнал в проблем за сигурността, който организациите не контролират. Компаниите не притежават устройството, разширенията или мрежовия път, но въпреки това именно там се срещат логиката на приложението, кодът на трети страни, клиентските данни и изкуственият интелект (ИИ) по време на всяко взаимодействие с клиента.
Той обсъжда ограниченията на политиките за сигурност на съдържанието (CSP) и проверката на целостта на ресурсите (SRI), рисковете от скриптове за ИИ чат на трети страни, които се изпълняват със същите привилегии като приложението, и какво очакват регулаторите, когато питат какво се е изпълнило в рамките на потребителската сесия. Той също така твърди, че ИИ намалява разходите, времето и опита, необходими на атакуващите.
Традиционната сигурност предполага, че организациите могат да защитят средите, които притежават. Браузърът предизвиква това предположение. Той е мястото, където собствената логика на приложението, софтуерът на трети страни, клиентските данни и все по-често изкуственият интелект се събират заедно при всяко взаимодействие с клиента. Организациите вече не могат да разчитат единствено на доверие към това, което се зарежда в браузъра. Те трябва също така да управляват какъв софтуер се изпълнява, до какви данни има достъп, какви действия може да извършва и дали тези действия съответстват на бизнес политиката. Сигурността на браузъра вече не е свързана само със защита на уеб приложенията от заплахи от страна на клиента. Става дума за гарантиране, че софтуерът, данните и ИИ се държат по предназначение по време на всяко взаимодействие с клиента.
CSP и SRI остават важни контроли за сигурност, но те решават различен проблем. Те помагат да се установи доверие преди изпълнението на софтуера, като валидират откъде идва кодът и дали е бил променен. Днешният риск все повече възниква след започване на изпълнението. След като доверените скриптове започнат да се изпълняват, организациите все още се нуждаят от видимост за това до какви данни имат достъп, какви действия извършват, как ИИ променя поведението им и дали продължават да работят в границите на минималните привилегии. Традиционните контроли установяват доверие. Модерната сигурност на браузъра управлява изпълнението.
Агентният ИИ променя много повече от процесите на плащане. Той фундаментално променя икономиката на атаката. Възможности, които някога изискваха тясно специализиран опит в обратното инженерство, все по-често могат да бъдат постигнати от способни модели, реагиращи на добре формулирани подкани. Вече сме свидетели как атакуващите използват ИИ за бързо разбиране на логиката на приложенията, репликиране на дигитални преживявания и ускоряване на измамите. Предизвикателството е да се признае, че ИИ намалява разходите, времето и експертния опит, необходими за компрометиране на приложения, базирани на браузъра.
Най-големият риск е моделът на изпълнение. Скриптовете за ИИ на трети страни често работят със същите привилегии в браузъра като останалата част от приложението, което им дава видимост за много повече от самия разговор. Без правилно управление по време на работа те могат да получат достъп до платежна информация, данни за акаунта, патентовани работни процеси, логика на ценообразуването или чувствителни клиентски данни на други места на страницата; и то преди всяко изпращане на данни.
След като тази информация напусне браузъра и влезе във външни ИИ услуги, организациите губят практически контрол над това как се обработва, съхранява или използва повторно, което създава едновременни рискове за поверителността, съответствието, интелектуалната собственост и конкуренцията.
Смислената одитна пътека надхвърля поддържането на списък със скриптове. Тя трябва да докаже какъв софтуер е бил изпълнен, до кои данни е имало достъп, какви политики са били приложени, кои поведения са били блокирани и дали кодът на трети страни е работил в рамките на дефинираните привилегии по време на сесията. Организациите все по-често ще се нуждаят не просто от видимост в дейността на браузъра, а от доказателства, че управлението е било активно прилагано по време на взаимодействията с клиентите.
Най-силният контрааргумент е, че сигурността на браузъра не е нещо ново. Организациите отдавна разчитат на сигурни практики за разработка, CSP, SRI, тестване на сигурността на приложенията и защити на крайните устройства, за да намалят риска от страна на клиента. Ако обаче тези подходи напълно решаваха днешните предизвикателства, нямаше да продължаваме да виждаме компрометиране на трети страни, измами от страна на клиента, нарушения на поверителността, изтичане на данни чрез ИИ и неуспехи в съответствието, произтичащи от сесии в реално време в браузъра.
Браузърът не е станал изведнъж важен; той се промени фундаментално. Сега там се сглобява софтуерът, там се създават чувствителни данни и там ИИ все повече взаимодейства с потребителите. Сигурността на браузъра е съществуваща дисциплина, чието значение се е разширило.
Най-голямото предположение, което ще се окаже погрешно, е, че сигурността на браузъра е единствено инициатива за сигурност на приложенията. Все по-често сигурността на веригата за доставки на софтуер, поверителността на данните, управлението на ИИ, предотвратяването на измами, съответствието и дигиталното доверие се сближават в браузъра, защото именно там се изпълнява софтуерът, създават се данните и работи ИИ.
Организациите, които продължават да третират сигурността на браузъра като тесен проблем на сигурността на приложенията, ще се борят да се справят с рисковете, които сега обхващат множество ръководни заинтересовани страни. Сигурността на браузъра все повече ще се превръща в споделена бизнес инициатива, не защото браузърът се е променил, а защото всичко останало се е променило.