Νέα Επίθεση ‘Κλώνει’ και Καταχράζεται το Μοναδικό Online ID σας μέσω Browser Fingerprinting

Ερευνητές έχουν αναπτύξει μια μέθοδο για να αντιγράψουν τα χαρακτηριστικά του web browser ενός θύματος χρησιμοποιώντας τεχνικές browser fingerprinting, και στη συνέχεια να «απομιμήσουν» το θύμα.

Η τεχνική έχει πολλαπλά ασφαλή επιπτώσεις: ο επιτιθέμενος μπορεί να εκτελέσει βλαβερές ή ακόμη και παράνομες δραστηριότητες στο διαδίκτυο, με το «ρεκόρ» αυτών των δραστηριοτήτων να αποδίδεται στο χρήστη· και οι άμυνες της διπλής αυθεντικοποίησης μπορούν να υποκλαπεί, επειδή ένας ιστότοπος αυθεντικοποίησης πιστεύει ότι ο χρήστης έχει αναγνωριστεί επιτυχώς, με βάση το κλεμμένο προφίλ browser fingerprint.

Επιπλέον, ο «σκοτεινός κλώνος» του επιτιθέμενου μπορεί να επισκεφθεί ιστότοπους που αλλάζουν τον τύπο των διαφημίσεων που παραδίδονται στο προφίλ του χρήστη, με αποτέλεσμα ο χρήστης να αρχίσει να λαμβάνει διαφημιστικό περιεχόμενο που δεν σχετίζεται με τις πραγματικές δραστηριότητες περιήγησής του. Επιπλέον, ο επιτιθέμενος μπορεί να συναγάγει πολλά για το θύμα με βάση τον τρόπο με τον οποίο άλλοι (αγνοούντες) ιστότοποι ανταποκρίνονται στο απομιμημένο προφίλ browser.

Το έγγραφο έχει τον τίτλο Gummy Browsers: Targeted Browser Spoofing against State-of-the-Art Fingerprinting Techniques και προέρχεται από ερευνητές του Πανεπιστημίου του Τέξας A&M και του Πανεπιστημίου της Φλόριντα στο Γκέινσβιλ.

Επισκόπηση της μεθοδολογίας Gummy Browsers. Πηγή: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

Οι ομώνυμοι «γουμιένιους browser» είναι κλώνοι του browser του θύματος, ονομάζονται così από την επίθεση «Gummy Fingers» που αναφέρθηκε στις αρχές της δεκαετίας του 2000, η οποία αντέγραψε τα δακτυλικά αποτυπώματα του θύματος με γέλη σε μια προσπάθεια να παραβιάσει τα συστήματα ταυτοποίησης δακτυλικών αποτυπωμάτων.

Οι συγγραφείς αναφέρουν:

‘Ο κύριος στόχος των Gummy Browsers είναι να εξαπατήσουν τον ιστότοπο ώστε να πιστεύει ότι ένας законικός χρήστης έχει πρόσβαση στις υπηρεσίες του, έτσι ώστε να μπορεί να μάθει ευαίσθητες πληροφορίες για τον χρήστη (π.χ. ενδιαφέροντα του χρήστη με βάση τις προσωποποιημένες διαφημίσεις), ή να παραβιάσει διάφορους μηχανισμούς ασφαλείας (π.χ. αυθεντικοποίηση και ανίχνευση απάτης) που βασίζονται στη διαδικασία browser fingerprinting.’

Συνεχίζουν:

‘Δυστυχώς, αναγνωρίζουμε ένα σημαντικό φορέα απειλής ενάντια σε τέτοιους αλγορίθμους σύνδεσης. Συγκεκριμένα, βρήκαμε ότι ένας επιτιθέμενος μπορεί να συλλάβει και να απομιμήσει τα χαρακτηριστικά του browser του θύματος, και έτσι μπορεί να «παρουσιάσει» το δικό του browser ως το browser του θύματος όταν συνδέεται σε einen ιστότοπο.’

Οι συγγραφείς υποστηρίζουν ότι οι τεχνικές κλώνου browser που έχουν αναπτύξει απειλούν ‘μια καταστροφική και μακροχρόνια επιπτώσεις στην online ιδιωτικότητα και ασφάλεια των χρηστών’.

Κατά τη δοκιμή του συστήματος ενάντια σε δύο συστήματα fingerprinting, FPStalker και το Panopticlick της Electronic Frontier Foundation, οι συγγραφείς βρήκαν ότι το σύστημά τους ήταν σε θέση να προσομοιώσει με επιτυχία τις πληροφορίες του χρήστη σχεδόν κάθε φορά, παρά το γεγονός ότι το σύστημα δεν έλαβε υπόψη του διάφορα χαρακτηριστικά, συμπεριλαμβανομένων των TCP/IP stack fingerprinting, αισθητήρες υλικού και DNS αναλυτές.

Οι συγγραφείς επίσης υποστηρίζουν ότι το θύμα θα είναι πλήρως αγνοούντας την επίθεση, καθιστώντας δύσκολο να την αποφύγει.

Methodology

Browser fingerprinting προφίλ δημιουργούνται από πολλαπλά χαρακτηριστικά του τρόπου με τον οποίο ο browser του χρήστη έχει ρυθμιστεί. Ιронικά, πολλές από τις άμυνες που έχουν σχεδιαστεί για την προστασία της ιδιωτικότητας, συμπεριλαμβανομένης της εγκατάστασης επεκτάσεων αποκλεισμού διαφημίσεων, μπορούν στην πραγματικότητα να κάνουν ένα προφίλ browser fingerprint περισσότερο διακεκριμένο και εύκολο στοχεύσιμο.

Browser fingerprinting δεν εξαρτάται από cookies ή δεδομένα συνόδου, αλλά προσφέρει ένα πρακτικά απαραίτητο σναπσότ του συνόλου του χρήστη σε οποιοδήποτε domaine που ο χρήστης περιηγείται, εάν το domaine είναι ρυθμισμένο να εκμεταλλευτεί τέτοιες πληροφορίες.

Μακριά από τις κακόβουλες πρακτικές, το fingerprinting χρησιμοποιείται συνήθως για να στοχεύει διαφημίσεις στους χρήστες, για ανίχνευση απάτης, και για αυθεντικοποίηση χρηστών (ένας λόγος για τον οποίο η προσθήκη επεκτάσεων ή άλλων βασικών αλλαγών στο browser μπορεί να προκαλέσει τους ιστότοπους να απαιτούν ξανά-αυθεντικοποίηση, με βάση το γεγονός ότι το προφίλ του browser έχει αλλάξει από την τελευταία επίσκεψη).

Η μέθοδος που προτείνεται από τους ερευνητές απαιτεί μόνο από το θύμα να επισκεφθεί einen ιστότοπο που έχει ρυθμιστεί για να καταγράψει το προφίλ browser του – μια πρακτική που μια πρόσφατη μελέτη εκτίμησε ότι είναι διαδεδομένη σε περισσότερο από 10% των top 100.000 ιστότοπων, και η οποία μορφώνει μέρος του Federated Learning of Cohorts (FLOC) της Google, της προτεινόμενης εναλλακτικής λύσης για την παρακολούθηση με βάση τα cookies. Είναι επίσης μια κεντρική τεχνολογία σε πλατφόρμες adtech γενικά, και έτσι φτάνει πολύ περισσότερο από το 10% των ιστότοπων που αναφέρθηκαν στην παραπάνω μελέτη.

Τυπικά χαρακτηριστικά που μπορούν να εξαχθούν από einen browser του χρήστη χωρίς την ανάγκη cookies.

Χαρακτηριστικά που μπορούν να εξαχθούν από μια επίσκεψη χρήστη (συλλεγμένα μέσω JavaScript APIs και HTTP headers) σε ένα προφίλ browser που μπορεί να κλωνοποιηθεί περιλαμβάνουν ρυθμίσεις γλώσσας, λειτουργικό σύστημα, εκδόσεις browser και επεκτάσεις, εγκατεστημένα plug-ins, ανάλυση οθόνης, υλικό, βάθος χρώματος, ζώνη ώρας, timestamps, εγκατεστημένα γράμματα, χαρακτηριστικά καμβά, συμβολοσειρά user-agent, HTTP headers αιτήσεων, IP διεύθυνση και ρυθμίσεις γλώσσας συσκευής, μεταξύ άλλων. Χωρίς πρόσβαση σε πολλά από αυτά τα χαρακτηριστικά, πολλές από τις συνήθεις λειτουργίες του web δεν θα ήταν δυνατές.

Extracting Information Via Ad Network Responses

Οι συγγραφείς σημειώνουν ότι τα δεδομένα διαφημίσεων για το θύμα είναι khá εύκολο να εκτεθούν με την απομίμηση του προφίλ browser του, και μπορούν να χρησιμοποιηθούν:

‘[Εάν] το browser fingerprinting χρησιμοποιείται για προσωποποιημένες και στοχευμένες διαφημίσεις, ο ιστότοπος, που φιλοξενεί einen αθώο ιστότοπο, θα προωθήσει τις ίδιες ή παρόμοιες διαφημίσεις στο browser του επιτιθέμενου όπως και αυτές που θα είχαν προωθηθεί στο browser του θύματος, επειδή ο ιστότοπος θεωρεί το browser του επιτιθέμενου ως το browser του θύματος. Με βάση τις προσωποποιημένες διαφημίσεις (π.χ. σχετικές με προϊόντα εγκυμοσύνης, φαρμακευτικά προϊόντα και μάρκες), ο επιτιθέμενος μπορεί να συναγάγει διάφορες ευαίσθητες πληροφορίες για το θύμα (π.χ. φύλο, ηλικιακή ομάδα, κατάσταση υγείας, ενδιαφέροντα, επίπεδο μισθού, κ.λπ.), ακόμη και να δημιουργήσει ένα προφίλ συμπεριφοράς του θύματος.

‘Η διαρροή τέτοιων προσωπικών και ιδιωτικών πληροφοριών μπορεί να προκαλέσει μια φρικτή απειλή για την ιδιωτικότητα του χρήστη.’

Επειδή τα προφίλ browser fingerprint αλλάζουν με τον καιρό, η διατήρηση του χρήστη που επιστρέφει στην ιστοσελίδα της επίθεσης θα διατηρήσει το κλωνοποιημένο προφίλ ενημερωμένο, αλλά οι συγγραφείς υποστηρίζουν ότι μια μια φορά κλώνευση μπορεί ακόμη να επιτρέψει μια आशχαρακτικά μακροχρόνια αποτελεσματική επίθεση.

User Authentication Spoofing

Η απόκτηση ενός συστήματος αυθεντικοποίησης για να αποφύγει την διπλή αυθεντικοποίηση είναι ένα πλεονέκτημα για τους κυβερνοεγκληματίες. Όπως σημειώνουν οι συγγραφείς του νέου εγγράφου, πολλά τρέχοντα πλαίσια αυθεντικοποίησης (2FA) χρησιμοποιούν ένα «αναγνωρισμένο» προφίλ browser για να συνδέσουν το λογαριασμό με τον χρήστη. Εάν τα συστήματα αυθεντικοποίησης του ιστότοπου είναι ικανοποιημένα ότι ο χρήστης προσπαθεί να συνδεθεί σε μια συσκευή που χρησιμοποιήθηκε στην τελευταία επιτυχημένη σύνδεση, μπορεί, για την άνεση του χρήστη, να μην απαιτήσει 2FA.

Οι συγγραφείς παρατηρούν ότι Oracle, InAuth και SecureAuth IdP όλες ασκούν κάποια μορφή αυτής της «αποφυγής ελέγχου», με βάση το προφίλ browser του χρήστη.

Fraud Detection

Διάφορες υπηρεσίες ασφαλείας χρησιμοποιούν το browser fingerprinting ως εργαλείο για να καθορίσουν την πιθανότητα ότι ένας χρήστης εμπλέκεται σε απάτη. Οι ερευνητές σημειώνουν ότι Seon και IPQualityScore είναι δύο τέτοιες εταιρείες.

Έτσι, είναι δυνατό, μέσω της προτεινόμενης μεθοδολογίας, είτε να χαρακτηριστεί άδικα ο χρήστης ως απάτης χρησιμοποιώντας το «σκοτεινό προφίλ» για να προκαλέσει τις κατωφλίσεις τέτοιων συστημάτων, είτε να χρησιμοποιηθεί το κλεμμένο προφίλ ως «γένι» για πραγματικές προσπάθειες απάτης, απομακρύνοντας την ανάλυση του προφίλ μακριά από τον επιτιθέμενο και προς το θύμα.

Three Attack Surfaces

Το έγγραφο προτείνει τρεις τρόπους με τους οποίους το σύστημα Gummy Browser μπορεί να χρησιμοποιηθεί ενάντια σε ένα θύμα: Acquire-Once-Spoof-Once περιλαμβάνει την απόκτηση του ID browser του θύματος για την υποστήριξη μιας μια φορά επίθεση, όπως μια προσπάθεια να αποκτήσει πρόσβαση σε einen προστατευμένο domaine με την ταυτότητα του χρήστη. Σε αυτή την περίπτωση, η «ηλικία» του ID είναι αδιάφορο,既然 η πληροφορία ενεργείται γρήγορα και χωρίς follow-up.

Σε μια δεύτερη προσέγγιση, Acquire-Once-Spoof-Frequently, ο επιτιθέμενος προσπαθεί να αναπτύξει ένα προφίλ του θύματος παρατηρώντας πώς οι ιστότοποι ανταποκρίνονται στο προφίλ του (π.χ. διαφημιστικοί ιστότοποι που προωθούν συγκεκριμένα είδη περιεχομένου με την υπόθεση ενός «οικείου» χρήστη που ήδη έχει ένα προφίλ browser συνδεδεμένο με αυτόν).

Τέλος, Acquire-Frequently-Spoof-Frequently είναι μια μακροχρόνια τακτική σχεδιασμένη για να ενημερώσει το προφίλ browser του θύματος τακτικά, έχοντας το θύμα να επαναλάβει την επίσκεψη στην αθώα ιστοσελίδα εξαγωγής (η οποία μπορεί να έχει αναπτυχθεί ως ιστοσελίδα ειδήσεων ή blog, για παράδειγμα). Με αυτόν τον τρόπο, ο επιτιθέμενος μπορεί να εκτελέσει ανίχνευση απάτης με απομίμηση για μια μακρύτερη περίοδο.

Extraction and Results

Οι μεθόδους απομίμησης που χρησιμοποιούνται από τους Gummy Browsers περιλαμβάνουν ένεση script, χρήση των ρυθμίσεων και εργαλείων αποσφαλμάτωσης του browser, και τροποποίηση script.

Τα χαρακτηριστικά μπορούν να εξαχθούν με ή χωρίς JavaScript. Για παράδειγμα, user-agent headers (οι οποίοι αναγνωρίζουν την μάρκα του browser, όπως Chrome, Firefox, κ.λπ.), μπορούν να εξαχθούν από HTTP headers, κάποια από τις πιο βασικές και μη αποκλείσιμες πληροφορίες που είναι απαραίτητες για λειτουργική περιήγηση στο web.

Κατά τη δοκιμή του συστήματος Gummy Browser ενάντια στο FPStalker και το Panopticlick, οι ερευνητές πέτυχαν ένα μέσο «ιδιοκτησία» (ενός κλεμμένου προφίλ browser) περισσότερο από 0,95 σε τρεις αλγορίθμους fingerprinting, επιφέροντας ένα λειτουργικό κλώνο του κατεκτημένου ID.

Το έγγραφο τονίζει την ανάγκη για τους αρχιτέκτονες συστημάτων να μην βασίζονται στα χαρακτηριστικά του προφίλ browser ως token ασφαλείας, και να κριτικάρει κάποιους από τους μεγαλύτερους πλαισίων αυθεντικοποίησης που έχουν υιοθετήσει αυτή τη πρακτική, ιδιαίτερα όπου χρησιμοποιείται ως μέθοδος διατήρησης «χρήστη-φιλικότητας» με την αποφυγή ή την αναβολή της χρήσης διπλής αυθεντικοποίησης.

Οι συγγραφείς καταλήγουν:

‘Η επίδραση των Gummy Browsers μπορεί να είναι καταστροφική και μακροχρόνια στην online ασφάλεια και ιδιωτικότητα των χρηστών, ιδιαίτερα δεδομένου ότι το browser-fingerprinting αρχίζει να γίνεται ευρέως αποδεκτό στον πραγματικό κόσμο. Σε σχέση με αυτή την επίθεση, η δουλειά μας θέτει το ερώτημα εάν το browser fingerprinting είναι ασφαλές να αναπτυχθεί σε μεγάλη κλίμακα.’