هجوم جديد ‘يُكرِّر’ ويستغل هويتك الفريدة عبر الإنترنت عبر بصمة المتصفح

قام الباحثون بتطوير طريقة لنسخ خصائص متصفح الويب للضحية باستخدام تقنيات بصمة المتصفح، ومن ثم ‘التحقق’ من هوية الضحية.

تملك هذه التقنية عواقب أمنية متعددة: يمكن للمهاجم تنفيذ أنشطة ضارة أو حتى غير قانونية عبر الإنترنت، مع归ة سجل تلك الأنشطة إلى المستخدم؛ كما يمكن اختراق دفاعات التحقق من هويتين، لأن نظام التحقق يعتقد أن المستخدم قد تم تحديده بنجاح بناءً على ملف بصمة المتصفح المسروق.

علاوة على ذلك، يمكن لمهاجم ‘النسخة المظلمة’ زيارة المواقع التي تتغير أنواع الإعلانات التي يتم تسليمها إلى ملف تعريف المستخدم، مما يعني أن المستخدم سوف يبدأ في استلام محتوى إعلاني غير مرتبط بنشاطه الحقيقي على الإنترنت. بالإضافة إلى ذلك، يمكن للمهاجم استنتاج الكثير عن الضحية بناءً على طريقة استجابة المواقع الأخرى (الغافلة) لملف تعريف المتصفح المزور.

المقال المذكور في الورقة يحمل عنوان متصفحات الجيلي: تقليد متصفح المستهدف ضد تقنيات بصمة المتصفح المتقدمة، ويأتي من باحثين في جامعة تكساس أيه أند إم وجامعة فلوريدا في غينزفيل.

نظرة عامة على منهجية متصفحات الجيلي. مصدر: https://arxiv.org/pdf/2110.10129.pdf

متصفحات الجيلي

تُسمى ‘متصفحات الجيلي’ نسخ مكررة من متصفح الضحية، وسميت على اسم هجوم ‘أصابع الجيلي’ الذي تم الإبلاغ عنه في أوائل عام 2000، والذي كرر بصمات الضحية الفعلية باستخدام نسخ من الجيلي لتحايل نظام تحديد الهوية بالبصمة.

يصرح المؤلفون:

‘الهدف الرئيسي لمتصفحات الجيلي هو خداع خادم الويب للاعتقاد بأن مستخدمًا شرعيًا يصل إلى خدماته حتى يتمكن من تعلم معلومات حساسة عن المستخدم (على سبيل المثال، اهتمامات المستخدم بناءً على الإعلانات المخصصة)، أو تحايل على مخططات أمنية مختلفة (على سبيل المثال، التحقق من الهوية والكشف عن الاحتيال) التي تعتمد على بصمة المتصفح.’

يستمر المؤلفون:

‘لسوء الحظ، نحن نحدد مصدر تهديد كبير ضد خوارزميات الارتباط. تحديدًا، نجد أن المهاجم يمكن أن يلتقط ويتقلد خصائص متصفح الضحية، وبالتالي يمكنه ‘تقديم’ متصفحه الخاص على أنه متصفح الضحية عند الاتصال بموقع الويب.’

يزعم المؤلفون أن تقنيات تقليد بصمة المتصفح التي طوروها تهدد ‘بأثر مدمر ودائم على الخصوصية والأمن عبر الإنترنت للمستخدمين’.

عند اختبار النظام ضد نظامي بصمة المتصفح FPStalker وPanopticlick التابع لمؤسسة الحدود الإلكترونية، وجد المؤلفون أن نظامهم كان قادرًا على محاكاة معلومات المستخدم الملتقطة بنجاح في معظم الأوقات، على الرغم من أن النظام لم يأخذ في الاعتبار عدة سمات، بما في ذلك بصمة حزمة بروتوكول الإنترنت / التكافؤ، وحساسات الأجهزة، ومحلل DNS.

منهجية

تُنشأ ملفات بصمة المتصفح من خلال عدة عوامل لطريقة تكوين متصفح المستخدم. وبصورة مثيرة للدهشة، فإن العديد من الدفاعات المصممة لحماية الخصوصية، بما في ذلك تثبيت ملحقات حجب الإعلانات، يمكن أن تجعل بصمة المتصفح أكثر تميزًا وسهولة في الاستهداف.

لا تعتمد بصمة المتصفح على الكوكيز أو بيانات الجلسة، بل تقدم صورة غير قابلة للتجنب لمجموعة المستخدم إلى أي نطاق يزور المستخدم، إذا كان هذا النطاق مصممًا لاستغلال هذه المعلومات.

تُستخدم بصمة المتصفح عادةً لاستهداف الإعلانات للمستخدمين، وللكشف عن الاحتيال، ولتحقق المستخدم (واحدة من الأسباب التي تجعل المواقع تطالب بإعادة التحقق عند إضافة ملحقات أو إجراء تغييرات أخرى على متصفحك، بناءً على حقيقة أن ملف تعريف متصفحك قد تغير منذ آخر زيارة).

الطريقة المقترحة من قبل الباحثين لا تتطلب من الضحية سوى زيارة موقع ويب مصمم لتسجيل بصمته، وهو ممارسة قدرت دراسة حديثة أنها شائعة في أكثر من 10٪ من أفضل 100000 موقع ويب، والتي تتشكل جزءًا من خوارزمية الفيدرالية لتعلم الأُسر من جوجل، بديل جوجل المقترح لتعقب الكوكيز. كما أنها تكنولوجيا مركزية في منصات الإعلانات التكنولوجية بشكل عام، وبالتالي تصل إلى المزيد من المواقع أكثر من 10٪ المذكورة في الدراسة السابقة.

الجوانب النموذجية التي يمكن استخراجها من متصفح المستخدم دون الحاجة إلى كوكيز.

تتضمن المعرفات التي يمكن استخراجها من زيارة المستخدم (المجمعة عبر واجهات برمجة تطبيقات جافا سكريبت ورؤوس بروتوكول نقل النص التشعبي) إلى ملف تعريف متصفح قابل للتقليد اللغة، نظام التشغيل، إصدارات المتصفح وإضافاته، البرامج المثبتة، دقة الشاشة، الأجهزة، عمق الألوان، منطقة الزمن، التوقيت، الخطوط المثبتة، سمات Canvas، سلسلة وكيل المستخدم، رؤوس طلب بروتوكول نقل النص التشعبي، عنوان بروتوكول الإنترنت، وإعدادات اللغة للأجهزة، من بين أخرى. بدون الوصول إلى العديد من هذه الخصائص، لن يكون الكثير من الوظائف المتوقعة للمتصفح ممكنًا.

استخراج المعلومات عبر استجابات شبكة الإعلانات

يلاحظ المؤلفون أن البيانات الإعلانية حول الضحية سهلة الت暴 بتمثيل ملف تعريف المتصفح الخاص بهم، ويمكن استغلالها بشكل مفيد:

‘إذا تم استخدام بصمة المتصفح للإعلانات المخصصة والهادفة، فإن خادم الويب الذي يستضيف موقعًا ويب صافيًا سوف يقدم نفس الإعلانات أو إعلانات مشابهة لمتصفح المهاجم مثل تلك التي سوف يتم تسليمها لمتصفح الضحية لأن خادم الويب يعتبر متصفح المهاجم كمتصفح الضحية. بناءً على الإعلانات المخصصة (على سبيل المثال، المتعلقة بمنتجات الحمل والأدوية والعلامات التجارية)، يمكن للمهاجم استنتاج معلومات حساسة عن الضحية (على سبيل المثال الجنس، الفئة العمرية، الحالة الصحية، الاهتمامات، مستوى الراتب، إلخ)، أو حتى بناء ملف تعريف سلوكي شخصي للضحية. ‘

‘يمكن لتسريب مثل هذه المعلومات الشخصية والحساسة أن يثير تهديدًا مخيفًا للخصوصية للمستخدم.’

نظرًا لأن بصمات المتصفح تتغير مع مرور الوقت، فإن الحفاظ على عودة المستخدم إلى موقع الهجوم سوف يحافظ على ملف التعريف المكرر محدثًا، لكن المؤلفين يؤكدون أن التكرار مرة واحدة يمكن أن يسمح بفترات هجوم فعالة لمدة طويلة.

تقليد التحقق من المستخدم

الحصول على نظام تحقق يتنازل عن التحقق من هويتين هو منحة للمجرمين الإلكترونيين. كما يلاحظ مؤلفو الورقة الجديدة، فإن العديد من إطارات التحقق من هويتين الحالية (2FA) تستخدم ‘ملف تعريف متصفح معترف به’ لربط الحساب بالمستخدم. إذا كانت أنظمة التحقق من موقع الويب راضية عن أن المستخدم يحاول تسجيل الدخول من جهاز تم استخدامه في آخر تسجيل دخول ناجح، فقد لا تطالب بالتحقق من هويتين، لسهولة المستخدم.

يلاحظ المؤلفون أن أوراكل وInAuth وSecureAuth IdP جميعهم يُمارسون بعض أشكال ‘التحقق المسبق’ بناءً على ملف تعريف متصفح المستخدم المسجل.

كشف الاحتيال

تستخدم خدمات أمنية مختلفة بصمة المتصفح كأداة لتحديد احتمال أن يكون المستخدم متورطًا في أنشطة احتيالية. يلاحظ الباحثون أن Seon وIPQualityScore هما شركتان من هذا القبيل.

لذلك، من الممكن، من خلال المنهجية المقترحة، إما أن يُوصف المستخدم ظلمًا على أنه مُخادع باستخدام ‘الملف الشخصي الظل’ لتحفيز عتبات مثل هذه الأنظمة، أو استخدام الملف الشخصي المسروق كـ ‘ذيل’ لحاولات حقيقية للاحتيال، وتحويل تحليل المستخدم بعيدًا عن المهاجم ونحو الضحية.

ثلاثة سطوح هجوم

يقترح البحث ثلاث طرق قد يتم استخدام نظام متصفحات الجيلي ضدها:
الاستحواذ مرة واحدة والتقليد مرة واحدة يتضمن الاستحواذ على معرف متصفح الضحية لدعم هجوم من مرة واحدة، مثل محاولة الحصول على وصول إلى نطاق محمي باسم المستخدم. في هذه الحالة، فإن ‘عمر’ المعرف غير مهم، لأن المعلومات يتم التصرف عليها بسرعة ودون متابعة.

في نهج آخر، الاستحواذ مرة واحدة والتقليد المتكرر، يسعى المهاجم إلى تطوير ملف تعريف للضحية من خلال مراقبة كيف يستجيب خادم الويب لملفه (أي خوادم الإعلانات التي تقدم محتوى معين بناءً على افتراض مستخدم ‘مألوف’ يمتلك بالفعل ملف تعريف متصفح مرتبط به).

أخيرًا، الاستحواذ المتكرر والتقليد المتكرر هو خدعة طويلة الأمد مصممة لتحديث ملف تعريف متصفح الضحية بانتظام من خلال جعل الضحية يكرر زيارته لموقع الاستنزاف البريء (الذي قد تم تطويره كمدونة أو مدونة، على سبيل المثال). بهذه الطريقة، يمكن للمهاجم تنفيذ تقليد كشف الاحتيال لمدة أطول.

الاستخراج والنتائج

تتضمن طرق التقليد المستخدمة من قبل متصفحات الجيلي حقن البرامج النصية، استخدام إعدادات المتصفح وأدوات التصحيح، وتعديل البرامج النصية.

يمكن استخراج الخصائص مع أو بدون جافا سكريبت. على سبيل المثال، يمكن اشتقاق رؤوس وكيل المستخدم (التي تحدد علامة متصفح، مثل كروم، فايرفوكس، إلخ) من رؤوس بروتوكول نقل النص التشعبي، وهي بعض المعلومات الأساسية وغير القابلة للحجب اللازمة للمتصفح الويب الوظيفي.

عند اختبار نظام متصفحات الجيلي ضد FPStalker وPanopticlick، حقق الباحثون متوسط ‘الملكية’ (لملف تعريف متصفح مسروق) يزيد عن 0.95 عبر ثلاثة خوارزميات لبصمة المتصفح، مما أدى إلى إنشاء نسخة قابلة للعمل من معرف الـ ID الملتقطة.

يشدد البحث على ضرورة عدم الاعتماد على سمات ملف تعريف المتصفح كرمز أمني، وينتقد بشكل ضمني بعض أكبر إطارات التحقق التي اعتمدت هذه الممارسة، خاصة عندما يتم استخدامها كوسيلة لتحقيق سهولة المستخدم من خلال إلغاء أو تأخير استخدام التحقق من هويتين.

يختم المؤلفون:

‘يمكن أن يكون تأثير متصفحات الجيلي مدمرًا ودائمًا على أمن وخصوصية المستخدمين عبر الإنترنت، خاصة مع انتشار بصمة المتصفح بشكل واسع في العالم الحقيقي. في ضوء هذا الهجوم، يثير عملنا سؤالًا حول ما إذا كانت بصمة المتصفح آمنة للتطبيق على نطاق واسع.’