Google's Chrome browser is amper een paar uur te downloaden, maar de eerste beveiligingsproblemen zijn al aangetroffen. Door het tapijtbom-lek dat eerder Safari trof, lopen nu wederom Windows-gebruikers risico. De Israëlische onderzoeker Aviv Raff ontdekte dat hij twee beveiligingslekken kan combineren, een lek in Apple Safari (Webkit) en een Java bug die recentelijk op de Defcon conferentie besproken werd. Daardoor is het mogelijk om gebruikers uitvoerbare bestanden direct via Google's browser te laten uitvoeren.

Een aanvaller zou via twee muisklikken malware op de desktop van een Windows-gebruiker kunnen plaatsen. Het probleem wordt veroorzaakt doordat Chrome Webkit 525.14 gebruikt (Safari 3.1), een kwetsbare versie. Apple heeft het probleem inmiddels in haar eigen browser opgelost (Safari 3.1.2). Sommige Chrome-gebruikers met Windows Vista klagen dat gedownloade bestanden automatisch op de desktop worden geplaatst, wat mogelijkheden biedt voor aanvallers. Als bewijs plaatste Raff deze demonstratie online.

Het tapijtbom-lek werd lange tijd door Apple genegeerd, totdat het uiteindelijk besloot te patchen. Niet veel later werd bekend dat ook Firefox met het probleem te maken heeft.

Veilig genoeg?
Critici denken niet dat de browser zal slagen. Veel Google initiatieven verliezen namelijk snel de aandacht van het grote publiek. "Daarnaast laat de oorlog tussen Internet Explorer en Firefox zien dat het jarenlang werken met een inferieur product, Microsoft nog steeds de kracht en kennis heeft om de aanvallen af te slaan voordat de versterking komt opdagen. En die versterkingen komen in de vorm van IE8 eraan," aldus Dennis Fisher.

Het meest interessante van de browser is de sandbox-technologie, waar elke applicatie in z'n eigen geheugenruimte en virtual machine draait. Browsers zijn inmiddels kleine besturingssystemen geworden. Ze verwerken netwerkverkeer, input van gebruikers, renderen data en voeren code uit. Op dit moment werken browsers nog steeds als losse applicaties en zorgen ze ervoor dat webapplicaties niet met elkaar botsen. Iets wat ook in Chrome het geval is.

Volgens Adam O'Donnell gaan steeds meer applicaties van de desktop, een omgeving waar de processen enigszins gescheiden zijn, naar een omgeving waar dat niet het geval is. Dit heeft uiteindelijk gevolgen voor de gebruiker, die met een onveiligere en minder stabiele ervaring te maken krijgt. "In veel opzichten is Google’s Chrome technologie de volgende noodzakelijke stap om applicaties van de desktop te verplaatsen naar alles wat als een service wordt aangeboden."

Firefox de dupe
De Finse virusbestrijder F-Secure verwacht dat Chrome wel een succes zal worden, en daardoor ook interessant voor phishers en virusschrijvers. De groei van de browser zal ten koste van Firefox gaan. "We verwachten dat Chrome snel een behoorlijk marktaandeel zal veroveren, voornamelijk van bestaande Firefox-gebruikers," aldus Mikko Hyppönen.

Update: reactie F-Secure toegevoegd