Neuer Angriff ‘Klonen’ und Missbrauch Ihrer eindeutigen Online-ID über Browser-Fingerprinting

Forscher haben eine Methode entwickelt, die Eigenschaften eines Opfers-Webbrowsers mithilfe von Browser-Fingerprinting-Techniken zu kopieren und danach den Opfer zu “imitieren”.

Die Technik hat mehrere Sicherheitsimplikationen: Der Angreifer kann schädliche oder sogar illegale Online-Aktivitäten durchführen, und die “Aufzeichnung” dieser Aktivitäten wird dem Benutzer zugeordnet; und Zwei-Faktor-Authentifizierungs-Verteidigungen können kompromittiert werden, da eine authentifizierende Website annimmt, dass der Benutzer erfolgreich erkannt wurde, basierend auf dem gestohlenen Browser-Fingerprint-Profil

Darüber hinaus kann der Angreifer’s “Schatten-Klon” Websites besuchen, die die Art der an diesen Benutzerprofil gelieferten Werbung ändern, was bedeutet, dass der Benutzer beginnt, Werbeinhalte zu erhalten, die nicht mit seinen tatsächlichen Browser-Aktivitäten zusammenhängen. Darüber hinaus kann der Angreifer viel über das Opfer erfahren, basierend auf der Art und Weise, wie andere (unwissende) Websites auf das gefälschte Browser-ID reagieren.

Das Papier trägt den Titel Gummy Browsers: Targeted Browser Spoofing gegen State-of-the-Art-Fingerprinting-Techniken und stammt von Forschern der Texas A&M University und der University of Florida in Gainesville.

Überblick über die Gummy Browsers-Methode. Quelle: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

Die namensgebenden “Gummy Browsers” sind geklonte Kopien des Opfer-Browsers, benannt nach dem “Gummy Fingers”-Angriff, der Anfang der 2000er Jahre gemeldet wurde, der die tatsächlichen Fingerabdrücke des Opfers mit Gelatine-Kopien nachahmte, um Fingerabdruck-IDs zu umgehen.

Die Autoren erklären:

‘Das Hauptziel von Gummy Browsers ist es, den Webserver dazu zu bringen, zu glauben, dass ein legitimer Benutzer auf seine Dienste zugreift, damit er sensible Informationen über den Benutzer (z. B. Interessen des Benutzers basierend auf personalisierten Werbeanzeigen) erlernen oder verschiedene Sicherheitsmechanismen (z. B. Authentifizierung und Betrugsbekämpfung) umgehen kann, die auf Browser-Fingerprinting basieren.’

Sie fahren fort:

‘Leider identifizieren wir ein signifikantes Bedrohungsvektor gegen solche Verknüpfungsalgorithmen. Insbesondere finden wir heraus, dass ein Angreifer die Browser-Eigenschaften eines Opfer-Browsers erfassen und nachahmen kann und daher sein eigenes Browser als das des Opfers darstellen kann, wenn er eine Website besucht.’

Die Autoren behaupten, dass die Browser-Fingerprint-Klon-Techniken, die sie entwickelt haben, ‘eine verheerende und langfristige Auswirkung auf die Online-Privatsphäre und -Sicherheit der Benutzer’ haben.

Bei Tests des Systems gegen zwei Fingerprinting-Systeme, FPStalker und die Electronic Frontier Foundation’s Panopticlick, fanden die Autoren heraus, dass ihr System in der Lage war, die erfassten Benutzerinformationen erfolgreich zu simulieren, trotzdem das System nicht für mehrere Attribute, einschließlich TCP/IP-Stack-Fingerprinting, Hardware-Sensoren und DNS-Resolver, berechnet wurde.

Die Autoren behaupten auch, dass das Opfer völlig ahnungslos über den Angriff sein wird, was es schwierig macht, ihn zu umgehen.

Methodik

Browser-Fingerprinting-Profile werden durch mehrere Faktoren der Konfiguration des Benutzer-Webbrowsers generiert. Ironischerweise können viele der Verteidigungen, die entwickelt wurden, um die Privatsphäre zu schützen, einschließlich der Installation von Werbeblocker-Erweiterungen, tatsächlich ein Browser-Fingerprint unterscheidbarer und leichter zu zielen machen.

Browser-Fingerprinting hängt nicht von Cookies oder Sitzungsdaten ab, sondern bietet eine weitgehend unvermeidbare Momentaufnahme der Benutzereinstellungen für jede Domain, die der Benutzer besucht, wenn diese Domain so konfiguriert ist, dass sie solche Informationen ausnutzt.

Abgesehen von offensichtlich schädlichen Praktiken wird Fingerprinting typischerweise verwendet, um Werbung auf Benutzer zuzuschneiden, für Betrugsbekämpfung und für Benutzer-Authentifizierung (ein Grund, warum das Hinzufügen von Erweiterungen oder das Ändern anderer Kernänderungen am Browser dazu führen kann, dass Websites eine erneute Authentifizierung verlangen, basierend auf der Tatsache, dass das Browser-Profil seit dem letzten Besuch geändert wurde).

Die von den Forschern vorgeschlagene Methode erfordert nur, dass das Opfer eine Website besucht, die so konfiguriert ist, dass sie den Browser-Fingerprint des Opfers aufzeichnet – eine Praxis, die eine kürzliche Studie geschätzt hat, dass sie auf mehr als 10% der Top-100.000-Websites vorkommt, und die Teil von Googles Federated Learning of Cohorts (FLOC) ist, dem Suchriesen-Alternative zu cookie-basiertem Tracking. Es ist auch eine zentrale Technologie in Adtech-Plattformen im Allgemeinen, daher erreicht es weit mehr als die 10% der Websites, die in der oben genannten Studie identifiziert wurden.

Typische Facetten, die aus einem Benutzer-Browser ohne die Notwendigkeit von Cookies extrahiert werden können.

Identifikatoren, die aus einem Benutzerbesuch (über JavaScript-APIs und HTTP-Header) in ein klonbares Browser-Profil extrahiert werden können, umfassen Spracheinstellungen, Betriebssystem, Browser-Versionen und -Erweiterungen, installierte Plug-ins, Bildschirmauflösung, Hardware, Farbtiefe, Zeitzone, Zeitstempel, installierte Schriftarten, Canvas-Eigenschaften, Benutzer-Agent-Zeichenfolge, HTTP-Anforderungsheader, IP-Adresse und Gerätespracheinstellungen, unter anderem. Ohne Zugriff auf viele dieser Eigenschaften wäre eine große Menge der allgemein erwarteten Webfunktionalität nicht möglich.

Extraktion von Informationen über Ad-Netzwerk-Antworten

Die Autoren bemerken, dass Werbedaten über das Opfer leicht zu offenbaren sind, indem sie das erfasste Browser-Profil des Opfers nachahmen, und nützlich ausgenutzt werden können:

‘[Wenn] das Browser-Fingerprinting für personalisierte und zugeschnittene Werbung eingesetzt wird, würde der Webserver, der eine harmlose Website hostet, dem Angreifer dieselben oder ähnliche Werbung wie diejenigen, die dem Opfer-Browser angezeigt würden, anzeigen, da der Webserver den Angreifer-Browser als den des Opfers ansieht. Basierend auf den personalisierten Werbeanzeigen (z. B. im Zusammenhang mit Schwangerschaftsprodukten, Medikamenten und Marken) kann der Angreifer verschiedene sensible Informationen über das Opfer (z. B. Geschlecht, Altersgruppe, Gesundheitszustand, Interessen, Gehaltsniveau usw.) ableiten, sogar ein persönliches Verhaltensprofil des Opfers erstellen.

‘Die Offenlegung solcher persönlicher und privater Informationen kann eine beunruhigende Datenschutzbedrohung für den Benutzer darstellen.’

Da Browser-Fingerabdrücke im Laufe der Zeit ändern, hält das Opfer, das zur Angriffs-Website zurückkehrt, das geklonte Profil auf dem neuesten Stand, aber die Autoren behaupten, dass eine einmalige Klonung immer noch überraschend lange wirksame Angriffszeiträume ermöglichen kann.

Benutzer-Authentifizierungs-Nachahmung

Die Umgehung der Zwei-Faktor-Authentifizierung ist ein Segen für Cyber-Kriminelle. Wie die Autoren des neuen Papiers feststellen, verwenden viele aktuelle Authentifizierungs-(2FA)-Rahmenwerke ein “erkanntes” abgeleitetes Browser-Profil, um das Konto mit dem Benutzer zu verknüpfen. Wenn die Authentifizierungs-Systeme der Website zufrieden sind, dass der Benutzer versucht, sich auf einem Gerät anzumelden, das bei der letzten erfolgreichen Anmeldung verwendet wurde, kann es, für die Benutzerfreundlichkeit, keine Zwei-Faktor-Authentifizierung verlangen.

Die Autoren bemerken, dass Oracle, InAuth und SecureAuth IdP alle eine Form dieser “Überprüfungs-Umgehung” praktizieren, basierend auf einem Benutzer-Browser-Profil.

Betrugsbekämpfung

Verschiedene Sicherheitsdienste verwenden Browser-Fingerprinting als Werkzeug, um die Wahrscheinlichkeit zu bestimmen, dass ein Benutzer an betrügerischen Aktivitäten beteiligt ist. Die Forscher bemerken, dass Seon und IPQualityScore zwei solche Unternehmen sind.

Daher ist es durch die vorgeschlagene Methode möglich, den Benutzer entweder ungerechtfertigt als Betrüger zu kennzeichnen, indem man das “Schatten-Profil” verwendet, um die Schwellenwerte solcher Systeme auszulösen, oder das gestohlene Profil als “Bart” für echte Betrugsversuche zu verwenden, um die forensische Analyse des Profils vom Angreifer auf das Opfer umzuleiten.

Drei Angriffsflächen

Das Papier schlägt drei Möglichkeiten vor, wie das Gummy-Browser-System gegen ein Opfer eingesetzt werden könnte: Acquire-Once-Spoof-Once beinhaltet die Aneignung der Browser-ID des Opfers zur Unterstützung eines einmaligen Angriffs, wie z. B. eines Versuchs, Zugang zu einem geschützten Bereich im Namen des Benutzers zu erhalten. In diesem Fall ist das “Alter” der ID irrelevant, da die Informationen schnell und ohne Nachfolge gehandhabt werden.

Bei einem zweiten Ansatz, Acquire-Once-Spoof-Frequently, versucht der Angreifer, ein Profil des Opfers zu erstellen, indem er beobachtet, wie Webserver auf sein Profil reagieren (d. h. Werbe-Server, die bestimmte Arten von Inhalten an einen “vertrauten” Benutzer liefern, der bereits ein Browser-Profil mit ihnen verknüpft hat).

Schließlich ist Acquire-Frequently-Spoof-Frequently ein längerfristiger Plan, der darauf abzielt, das Browser-Profil des Opfers regelmäßig zu aktualisieren, indem das Opfer wiederholt die unschuldige Exfiltrations-Website (die möglicherweise als Nachrichten-Website oder Blog entwickelt wurde) besucht. Auf diese Weise kann der Angreifer Betrugsbekämpfung-Nachahmung über einen längeren Zeitraum hinweg durchführen.

Extraktion und Ergebnisse

Die Nachahmungsmethoden, die von Gummy Browsers verwendet werden, umfassen Skript-Injektion, die Verwendung der Browser-Einstellungen und -Debugging-Tools sowie Skript-Modifikation.

Die Eigenschaften können mit oder ohne JavaScript extrahiert werden. Zum Beispiel können Benutzer-Agent-Header (die die Marke des Browsers, wie z. B. Chrome, Firefox usw., identifizieren), aus HTTP-Headern abgeleitet werden, die zu den grundlegendsten und nicht blockierbaren Informationen gehören, die für funktionales Web-Browsing erforderlich sind.

Bei Tests des Gummy-Browser-Systems gegen FPStalker und Panopticlick erzielten die Forscher eine durchschnittliche “Eigentümerschaft” (eines angeeigneten Browser-Profils) von mehr als 0,95 über drei Fingerprinting-Algorithmen, was eine funktionierende Kopie des erfassten IDs ermöglichte.

Das Papier betont die Notwendigkeit, dass Systemarchitekten nicht auf Browser-Profil-Eigenschaften als Sicherheitstoken vertrauen sollten, und kritisiert implizit einige der größeren Authentifizierungs-Rahmenwerke, die diese Praxis übernommen haben, insbesondere wenn sie als Methode zur Aufrechterhaltung der “Benutzerfreundlichkeit” durch Umgehung oder Aufschiebung der Zwei-Faktor-Authentifizierung verwendet wird.

Die Autoren kommen zu dem Schluss:

‘Die Auswirkungen von Gummy Browsers können verheerend und langfristig auf die Online-Sicherheit und -Privatsphäre der Benutzer sein, insbesondere angesichts der Tatsache, dass Browser-Fingerprinting in der realen Welt zunehmend eingesetzt wird. Im Lichte dieses Angriffs wirft unsere Arbeit die Frage auf, ob Browser-Fingerprinting sicher auf großen Skala eingesetzt werden kann.’