Uusi hyökkäys ‘klonaa’ ja väärinkäyttää yksilöllistä verkkotunnistetta selain­sormen­jäljen avulla

Tutkijat ovat kehittäneet menetelmän, jolla voidaan kopioida uhri­n verkkosela­imen ominais­uuksia selain­sormen­jälki­tekniikoiden avulla, ja sen jälkeen “esittää” uhria.

Tekniikalla on useita turvallisuus­vaikutuksia: hyökkääjä voi suorittaa vahingollisia tai jopa laittomia verkkotoimia, ja “tietue” näistä toimista voidaan liittää käyttäjään; ja kaksivaiheisen tunnistautumisen puolustukset voidaan heikentää, koska tunnistus­sivusto uskoo, että käyttäjä on tunnistettu onnistuneesti perustuen varastettuun selain­sormen­jälki­profiiliin

Lisäksi hyökkääjän “varjo­klooni” voi vierailla sivustoilla, jotka muuttavat mainosten tyyppejä, jotka toimitetaan kyseiselle käyttäjä­profiilille, mikä tarkoittaa, että käyttäjä alkaa vastaanottaa mainos­sisisältöä, joka ei liity heidän todellisiin verkkoselaamis­toimiin. Lisäksi hyökkääjä voi päätellä paljon uhrista siitä, miten muut (tietämättömät) verkkosivustot vastaavat väärennettyyn selain­tunnisteeseen.

Artikkeli on nimeltään Gummy Browsers: Targeted Browser Spoofing against State-of-the-Art Fingerprinting Techniques, ja se on Texas A&M Universityn ja Floridan yliopiston tutkijoiden työtä.

Gummy Browsers -menetelmän yleiskatsaus.  Lähde: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

Nimettömät ‘gummy browsers’ ovat uhri­n selaimen kloonatut kopiot, jotka on nimetty 2000-luvun alussa raportoidun ‘Gummy Fingers’ -hyökkäyksen mukaan, joka tosi uhri­n sormen­jäljen geeli­kappaleilla voidakseen ohittaa sormen­jälki­tunnistus­järjestelmän.

Kirjoittajat toteavat:

‘Gummy Browsersin pää­määrä on hämätä verkkopalvelin uskomaan, että legitiimi käyttäjä käyttää sen palveluja, jotta se voi oppia herkkää tietoa käyttäjästä (esim. käyttäjän kiinnostuksia henkilö­kohtaisiin mainoksiin perustuen), tai kiertää erilaisia turva­järjestelmiä (esim. tunnistautumista ja petos­havainto­järjestelmiä), jotka perustuvat selain­sormen­jälkiin.’

He jatkavat:

‘Valitettavasti me tunnistamme merkittävän uhka­vektorin näiden linkitys­algoritmien vastaisena. Nimenomaan, me havaitsemme, että hyökkääjä voi kaapata ja väärentää selain­ominaisuuksia uhri­n selaimesta, ja näin ollen “esittää” oman selaimensa uhri­n selaimena yhdistäessään verkkosivustolle.’

Kirjoittajat väittävät, että heidän kehittämänsä selain­sormen­jäljen kloonaus­tekniikat uhkaavat ‘tuhovoittavaa ja kestävää vaikutusta verkkoyksityisyyteen ja turvallisuuteen’.

Kokeilemassa järjestelmää kahden sormen­jälki­järjestelmän, FPStalker ja Electronic Frontier Foundationin Panopticlick, kirjoittajat totesivat, että heidän järjestelmänsä pystyi simuloimaan kaapatun käyttäjä­informaation onnistuneesti lähes aina, vaikka järjestelmä ei ottaa huomioon useita ominaisuuksia, kuten TCP/IP-pino­sormen­jälki, laitteistosensorit ja DNS-palvelimet.

Kirjoittajat toteavat myös, että uhri on täysin tietämätön hyökkäyksestä, mikä tekee sen vaikeaksi kiertää.

Menetelmä

Selain­sormen­jälki -profiilit luodaan useista tekijöistä, joilla käyttäjän verkkoselain on konfiguroitu. Ironisesti, monet yksityisyyden suojaamiseen suunnitelluista puolustuksista, kuten mainos­estojen asentaminen, voivat itse asiassa tehdä selain­sormen­jäljestä erottuvamman ja helpommin kohdistettavissa olevan.

Selain­sormen­jälki ei riipu evästeistä tai istunnon tiedoista, vaan tarjoaa pää­osin välttämättömän otoksen käyttäjän asetusten, mikä on saatavilla mille tahansa verkkosivustolle, jota käyttäjä selailee, jos kyseinen sivusto on konfiguroitu hyödyntämään tällaista tietoa.

Poiketen ilmeisistä pahantahtoisista käytännöistä, sormen­jälkiä käytetään yleensä kohdennettuihin mainoksiin, petos­havainnointiin ja käyttäjän tunnistautumiseen (yksi syy, miksi laajennusten lisääminen tai muut selaimen perusmuutokset voivat aiheuttaa sivustojen vaatimaan uudelleen­tunnistautumista, koska selain­profiili on muuttunut edellisestä käynnistä).

Menetelmä, jonka tutkijat ovat ehdottaneet, vaatii vain, että uhri vierailee verkkosivustolla, joka on konfiguroitu tallentamaan heidän selain­sormen­jälkensä – käytäntö, jonka viimeaikainen tutkimus arvioi olevan yleinen yli 10 prosentilla 100 000 suosituimman sivuston joukossa, ja joka muodostaa osan Google’n Federated Learning of Cohorts (FLOC) -ohjelmaa, jonka tarkoituksena on korvata evästeiden perusteella tapahtuva seuranta. Se on myös keskeinen teknologia mainosteknologian alustoissa yleensä, ja siten se ulottuu paljon laajemmin kuin 10 prosenttiin sivustoista, jotka mainittiin edellä.

Tyypillisiä piirteitä, jotka voidaan poimia käyttäjän selaimesta ilman evästeiden tarvetta.

Tunnisteet, jotka voidaan poimia käyttäjän vierailusta (kerätty JavaScript-rajapinnoista ja HTTP-otsikoista) kloonattavaan selain­profiiliin, sisältävät kieliasetukset, käyttöjärjestelmän, selain­versiot ja laajennukset, asennetut liitännäiset, näytön resoluutio, laitteisto, värisyvyys, aikavyöhyke, aikaleimat, asennetut fontit, canvas-ominaisuudet, käyttäjä-agentti-merkkijono, HTTP-pyyntöotsikot, IP-osoite ja laitteiston kieliasetukset, muun muassa. Ilman pääsyä näihin ominaisuuksiin suuri osa yleisesti odotettua verkkofunktioita ei olisi mahdollista.

Tiedon poimiminen mainosverkkojen vastauksista

Kirjoittajat toteavat, että mainos­tiedot uhrista voidaan paljastaa esittämällä heidän kaapatun selain­profiiliaan, ja voidaan hyödyntää:

‘[Jos] selain­sormen­jälkiä käytetään henkilö­kohtaisiin ja kohdennettuihin mainoksiin, verkkopalvelin, joka isännöi viattoman verkkosivuston, lähettäisi samat tai saman­kaltaiset mainokset hyökkääjän selaimelle kuin ne, jotka olisivat lähetetty uhri­n selaimelle, koska verkkopalvelin pitää hyökkääjän selainta uhri­n selaimena. Henkilö­kohtaisiin mainoksiin (esim. raskauden tuotteisiin, lääkkeisiin ja tuotemerkkeihin) perustuen hyökkääjä voi päätellä erilaisia herkkä­luontoisia tietoja uhrista (esim. sukupuoli, ikä­ryhmä, terveydentila, kiinnostukset, palkka­taso jne.), jopa luoda uhri­n henkilö­kohtainen käyttäytyminen­profiili.

‘Tällaisen henkilö­kohtaisen ja yksityisen tiedon vuoto voi aiheuttaa pelottavan yksityisyyden uhan käyttäjälle.’

Koska selain­sormen­jäljet muuttuvat ajan myötä, uhri­n paluu hyökkäys­sivustolle pitää kloonatun profiilin ajan tasalla, mutta kirjoittajat toteavat, että kertaluontoinen kloonaus voi silti mahdollistaa yllättävän pitkä­aikaisen hyökkäyksen.

Käyttäjän tunnistautumisen väärentäminen

Tunnistautumis­järjestelmän saaminen välttämään kaksivaiheisen tunnistautumisen on hyökkääjille etu. Kirjoittajat toteavat, että monet nykyiset tunnistautumis­kehykset (2FA) käyttävät “tunnistettua” selain­profiilia yhdistääksesi tilin käyttäjään. Jos sivuston tunnistautumis­järjestelmät ovat tyytyväisiä siihen, että käyttäjä yrittää kirjautua laitteella, jota käytettiin edellisessä onnistuneessa kirjautumisessa, se voi, käyttäjän mukavuuden vuoksi, ei vaadi 2FA.

Kirjoittajat toteavat, että Oracle, InAuth ja SecureAuth IdP kaikki harjoittavat tällaista “tarkistuksen ohittamista”, joka perustuu käyttäjän tallennettuun selain­profiiliin.

Petos­havainnointi

Eri turva­palvelut käyttävät selain­sormen­jälkeä välineenä määrittääkseen todennäköisyyden siitä, onko käyttäjä osallistunut petollisiin toimiin. Tutkijat toteavat, että Seon ja IPQualityScore ovat kaksi tällaista yritystä.

Näin ollen on mahdollista, että käyttäjää voidaan väärin kuvailla petolliseksi käyttämällä “varjo­profiilia” laukaisemaan näiden järjestelmien kynnykset, tai käyttää varastettua profiilia “partana” oikeiden petos­yritysten peittämiseksi, jolloin tutkinta kohdistuu pois hyökkääjästä ja uhriin.

Kolme hyökkäys­pintaa

Artikkeli ehdottaa kolmea tapaa, joilla Gummy Browser -järjestelmää voidaan käyttää uhri­n vastaan: Acquire-Once-Spoof-Once -menetelmässä uhri­n selain­tunniste kaapataan yhden kerran hyökkäyksen tueksi, kuten yritettäessä päästä suojattuun alueeseen uhri­n nimissä. Tässä tapauksessa tunnisteen “ikä” on merkityksetön, koska tietoa käytetään nopeasti ja ilman jatkotoimia.

Toisessa lähestymistavassa, Acquire-Once-Spoof-Frequently, hyökkääjä pyrkii kehittämään profiilin uhrista seuraamalla, miten verkkopalvelimet vastaavat heidän profiiliinsa (esim. mainos­palvelimet, jotka toimittavat tietyn­tyyppisiä sisältöjä oletetun “tuttavan” käyttäjän olettaen, että heillä on jo aiemmin luotu selain­profiili).

Lopulta Acquire-Frequently-Spoof-Frequently on pidempi­aikainen juoni, jonka tarkoituksena on päivittää uhri­n selain­profiilia säännöllisesti saamalla uhri palautumaan hyökkäys­sivustolle (joka on kehitetty uutis­sivustoksi tai blogiksi esim.). Tällä tavoin hyökkääjä voi suorittaa petos­havainnoinnin väärentämisen pidemmän ajanjakson ajan.

Poimiminen ja tulokset

Gummy Browsersin väärentämis­menetelmät koostuvat skripti­injektiosta, selaimen asetusten ja virheen­korjaus­työkalujen käytöstä sekä skripti­muutoksista.

Ominaisuudet voidaan poimia JavaScriptin avulla tai ilman. Esimerkiksi käyttäjä-agentti­otsikot (joissa on mainittu selaimen valmistaja, kuten Chrome, Firefox jne.), voidaan johdeta HTTP-otsikoista, jotka ovat perustavimpia ja estämättömiä tietoja, jotka ovat välttämättömiä toimivalle verkkoselaamiselle.

Kokeilemassa Gummy Browser -järjestelmää FPStalkeria ja Panopticlickiä vastaan, tutkijat saavuttivat keskimäärin yli 0,95 omistajuuden kolmessa sormen­jälki­algoritmassa, mikä mahdollisti toimivan kloonin kaapatusta tunnisteesta.

Artikkeli korostaa järjestelmä­arkkitehtien tarpeen olla riippumattomia selain­profiilin ominaisuuksista turva­tokenina, ja implisiittisesti arvostelee joitakin suurempia tunnistautumis­kehyksiä, jotka ovat omaksuneet tämän käytännön, erityisesti silloin, kun sitä käytetään “käyttäjä­ystävällisyyden” ylläpitämiseen kaksivaiheisen tunnistautumisen ohittamiseksi tai lykkaamiseksi.

Kirjoittajat toteavat:

‘Gummy Browsersin vaikutus voi olla tuhoisa ja kestävä verkkoturva­luksen ja yksityisyyden kannalta, erityisesti koska selain­sormen­jälki on alkanut yleistyä todellisessa maailmassa. Tämän hyökkäyksen valossa työmme herättää kysymyksen siitä, onko selain­sormen­jälki turvallista käyttää laajassa mittakaavassa.’