Nouvelle attaque « Clones » et abuse de votre identifiant en ligne unique via l’empreinte digitale du navigateur

Les chercheurs ont développé une méthode pour copier les caractéristiques d’un navigateur web d’une victime en utilisant des techniques d’empreinte digitale du navigateur, puis « usurper » l’identité de la victime.

Cette technique a des implications de sécurité multiples: l’attaquant peut effectuer des activités en ligne nuisibles ou même illégales, avec un « dossier » de ces activités attribué à l’utilisateur; et les défenses d’authentification à deux facteurs peuvent être compromises, car un site d’authentification pense que l’utilisateur a été reconnu avec succès en fonction de l’empreinte digitale du navigateur volée

En outre, le « clone fantôme » de l’attaquant peut visiter des sites qui modifient le type de publicités livrées à ce profil d’utilisateur, ce qui signifie que l’utilisateur commencera à recevoir du contenu publicitaire sans rapport avec ses activités de navigation réelles. De plus, l’attaquant peut déduire beaucoup de choses sur la victime en fonction de la façon dont d’autres sites (ignorants) réagissent à l’empreinte digitale du navigateur usurpée.

Le document est intitulé Gummy Browsers: usurpation ciblée de navigateur contre les techniques d’empreinte digitale de pointe, et provient de chercheurs de l’Université Texas A&M et de l’Université de Floride à Gainesville.

Vue d’ensemble de la méthodologie des Gummy Browsers. Source: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

Les « navigateurs gummy » sont des copies clonées du navigateur de la victime, nommés d’après l’attaque « Gummy Fingers » signalée au début des années 2000, qui répliquait les empreintes digitales réelles de la victime avec des copies en gélatine pour contourner les systèmes d’identification par empreinte digitale.

Les auteurs déclarent:

‘L’objectif principal des Gummy Browsers est de tromper le serveur web pour qu’il croie qu’un utilisateur légitime accède à ses services afin qu’il puisse apprendre des informations sensibles sur l’utilisateur (par exemple, les intérêts de l’utilisateur en fonction des publicités personnalisées), ou contourner divers schémas de sécurité (par exemple, l’authentification et la détection de la fraude) qui reposent sur l’empreinte digitale du navigateur.’

Ils poursuivent:

‘Malheureusement, nous identifions un vecteur de menace important contre ces algorithmes de liaison. Plus précisément, nous constatons qu’un attaquant peut capturer et usurper les caractéristiques du navigateur d’une victime, et donc peut « présenter » son propre navigateur comme celui de la victime lorsqu’il se connecte à un site web.’

Les auteurs soutiennent que les techniques de clonage d’empreinte digitale du navigateur qu’ils ont développées menacent ‘un impact dévastateur et durable sur la vie privée et la sécurité en ligne des utilisateurs’.

Lors du test du système contre deux systèmes d’empreinte digitale, FPStalker et Panopticlick de la Electronic Frontier Foundation, les auteurs ont constaté que leur système pouvait simuler avec succès les informations de l’utilisateur capturées presque tout le temps, malgré le fait que le système ne prenait pas en compte plusieurs attributs, notamment l’empreinte digitale de la pile TCP/IP, les capteurs matériels et les résolveurs DNS.

Les auteurs soutiennent également que la victime sera complètement inconsciente de l’attaque, ce qui rend difficile de la contourner.

Méthodologie

Les profils d’empreinte digitale du navigateur sont générés par de multiples facteurs de la configuration du navigateur web de l’utilisateur. Ironiquement, de nombreuses défenses conçues pour protéger la vie privée, y compris l’installation d’extensions de blocage des publicités, peuvent en fait rendre l’empreinte digitale du navigateur plus distincte et plus facile à cibler.

L’empreinte digitale du navigateur ne dépend pas des cookies ou des données de session, mais offre plutôt un instantané largement inévitable de la configuration de l’utilisateur à tout domaine que l’utilisateur parcourt, si ce domaine est configuré pour exploiter ces informations.

Hors des pratiques ouvertement malveillantes, l’empreinte digitale est généralement utilisée pour cibler les publicités auprès des utilisateurs, pour la détection de la fraude, et pour l’authentification de l’utilisateur (une raison pour laquelle l’ajout d’extensions ou d’autres modifications apportées au navigateur peut amener les sites à exiger une réauthentification, sur la base du fait que le profil du navigateur a changé depuis la dernière visite).

La méthode proposée par les chercheurs ne nécessite que que la victime visite un site web configuré pour enregistrer son empreinte digitale du navigateur – une pratique que une étude récente a estimé est répandue sur plus de 10 % des 100 000 premiers sites web, et qui fait partie de l’apprentissage fédéré de cohortes (FLOC) de Google, l’alternative proposée par le géant du search aux suivis basés sur les cookies. C’est également une technologie centrale dans les plateformes d’adtech en général, ce qui signifie qu’elle touche beaucoup plus de 10 % de sites identifiés dans l’étude mentionnée ci-dessus.

Facettes typiques qui peuvent être extraites du navigateur d’un utilisateur sans avoir besoin de cookies.

Les identificateurs qui peuvent être extraits d’une visite d’utilisateur (collectés via les API JavaScript et les en-têtes HTTP) dans un profil de navigateur clonable incluent les paramètres de langue, le système d’exploitation, les versions et les extensions du navigateur, les plugins installés, la résolution de l’écran, le matériel, la profondeur de couleur, le fuseau horaire, les horodatages, les polices installées, les caractéristiques du canevas, la chaîne de l’agent utilisateur, les en-têtes de requête HTTP, l’adresse IP et les paramètres de langue du périphérique, entre autres. Sans accès à la plupart de ces caractéristiques, une grande partie de la fonctionnalité web attendue ne serait pas possible.

Extraction d’informations via les réponses des réseaux publicitaires

Les auteurs notent que les données publicitaires sur la victime sont assez faciles à exposer en usurpant son profil de navigateur capturé, et peuvent être utilement exploitées:

‘[Si] l’empreinte digitale du navigateur est employée pour des publicités personnalisées et ciblées, le serveur web, qui héberge un site web innocent, pousserait les mêmes ou des publicités similaires vers le navigateur de l’attaquant comme celles qui seraient poussées vers le navigateur de la victime, car le serveur web considère le navigateur de l’attaquant comme celui de la victime. Sur la base des publicités personnalisées (par exemple, liées à des produits de grossesse, des médicaments et des marques), l’attaquant peut déduire diverses informations sensibles sur la victime (par exemple, le sexe, le groupe d’âge, l’état de santé, les intérêts, le niveau de salaire, etc.), voire même construire un profil de comportement personnel de la victime.

‘La fuite de telles informations personnelles et privées peut soulever une menace de confidentialité effrayante pour l’utilisateur.’

Puisque les empreintes digitales du navigateur changent avec le temps, garder l’utilisateur qui revient sur le site d’attaque permet de maintenir le profil cloné à jour, mais les auteurs soutiennent qu’une clonage unique peut toujours permettre des périodes d’attaque efficaces à long terme.

Usurpation d’authentification utilisateur

Obtenir qu’un système d’authentification renonce à l’authentification à deux facteurs est un avantage pour les cybercriminels. Comme le notent les auteurs de la nouvelle étude, de nombreux cadres d’authentification actuels (2FA) utilisent un profil de navigateur « reconnu » pour associer le compte à l’utilisateur. Si les systèmes d’authentification du site sont satisfaits que l’utilisateur tente de se connecter sur un appareil qui a été utilisé lors de la dernière connexion réussie, il peut, pour des raisons de commodité utilisateur, ne pas exiger une authentification à deux facteurs.

Les auteurs observent que Oracle, InAuth et SecureAuth IdP pratiquent tous une forme de « vérification de saut » basée sur le profil de navigateur enregistré de l’utilisateur.

Détection de la fraude

Divers services de sécurité utilisent l’empreinte digitale du navigateur comme outil pour déterminer la probabilité qu’un utilisateur soit engagé dans des activités frauduleuses. Les chercheurs notent que Seon et IPQualityScore sont deux entreprises de ce type.

Ainsi, il est possible, grâce à la méthodologie proposée, de caractériser injustement l’utilisateur comme un fraudeur en utilisant le « profil fantôme » pour déclencher les seuils de tels systèmes, ou d’utiliser le profil volé comme « barbe » pour de véritables tentatives de fraude, en déviant l’analyse forensique du profil loin de l’attaquant et vers la victime.

Trois surfaces d’attaque

Le document propose trois façons dont le système Gummy Browser pourrait être utilisé contre une victime: Acquérir-une-fois-Usurper-une-fois implique l’appropriation de l’ID de navigateur de la victime pour soutenir une attaque unique, telle qu’une tentative d’accéder à un domaine protégé sous le guise de l’utilisateur. Dans ce cas, « l’âge » de l’ID est sans importance, puisque les informations sont utilisées rapidement et sans suivi.

Dans une deuxième approche, Acquérir-une-fois-Usurper-fréquemment, l’attaquant cherche à développer un profil de la victime en observant comment les serveurs web réagissent à son profil (c’est-à-dire les serveurs de publicités qui livrent des contenus spécifiques sur la base d’un « utilisateur familier » qui a déjà un profil de navigateur associé à lui).

Enfin, Acquérir-fréquemment-Usurper-fréquemment est une manœuvre à long terme conçue pour mettre régulièrement à jour le profil de navigateur de la victime en faisant revenir la victime sur le site d’exfiltration innocent (qui peut avoir été développé comme un site de nouvelles ou un blog, par exemple). De cette façon, l’attaquant peut exécuter une usurpation de détection de la fraude sur une période plus longue.

Extraction et résultats

Les méthodes d’usurpation utilisées par les Gummy Browsers comprennent l’injection de scripts, l’utilisation des paramètres et des outils de débogage du navigateur, et la modification de scripts.

Les caractéristiques peuvent être exfiltrées avec ou sans JavaScript. Par exemple, les en-têtes de l’agent utilisateur (qui identifient la marque du navigateur, telle que Chrome, Firefox, etc.), peuvent être dérivés des en-têtes HTTP, qui sont parmi les informations les plus basiques et non bloquables nécessaires à la navigation web fonctionnelle.

Lors du test du système Gummy Browser contre FPStalker et Panopticlick, les chercheurs ont obtenu une « propriété » (d’un profil de navigateur approprié) moyenne supérieure à 0,95 sur trois algorithmes d’empreinte digitale, réalisant ainsi un clone fonctionnel de l’ID capturé.

Le document souligne la nécessité pour les architectes de systèmes de ne pas s’appuyer sur les caractéristiques du profil de navigateur comme jeton de sécurité, et critique implicitement certains des plus grands cadres d’authentification qui ont adopté cette pratique, en particulier lorsqu’elle est utilisée comme méthode de maintien de la « convivialité de l’utilisateur » en obviant ou en reportant l’utilisation de l’authentification à deux facteurs.

Les auteurs concluent:

‘L’impact des Gummy Browsers peut être dévastateur et durable sur la sécurité et la vie privée en ligne des utilisateurs, en particulier étant donné que l’empreinte digitale du navigateur commence à être largement adoptée dans le monde réel. À la lumière de cette attaque, notre travail soulève la question de savoir si l’empreinte digitale du navigateur est sûre à déployer à grande échelle.’