नया हमला 'क्लोन' और ब्राउज़र फ़िंगरप्रिंटिंग के माध्यम से आपकी विशिष्ट ऑनलाइन आईडी का दुरुपयोग करता है

शोधकर्ताओं ने ब्राउज़र फ़िंगरप्रिंटिंग तकनीकों का उपयोग करके पीड़ित के वेब ब्राउज़र की विशेषताओं को कॉपी करने और उसके बाद पीड़ित का 'प्रतिरूपण' करने की एक विधि विकसित की है।

इस तकनीक के कई सुरक्षा निहितार्थ हैं: हमलावर हानिकारक या यहां तक ​​कि अवैध ऑनलाइन गतिविधियों को अंजाम दे सकता है, उन गतिविधियों के 'रिकॉर्ड' के लिए उपयोगकर्ता को जिम्मेदार ठहराया जा सकता है; और दो-कारक प्रमाणीकरण सुरक्षा से समझौता किया जा सकता है, क्योंकि एक प्रमाणीकरण साइट का मानना ​​​​है कि चुराए गए ब्राउज़र फ़िंगरप्रिंट प्रोफ़ाइल के आधार पर उपयोगकर्ता को सफलतापूर्वक पहचाना गया है

इसके अतिरिक्त, हमलावर का 'शैडो क्लोन' उन साइटों पर जा सकता है जो उस उपयोगकर्ता प्रोफ़ाइल पर वितरित विज्ञापनों के प्रकार को बदल देते हैं, जिसका अर्थ है कि उपयोगकर्ता को उनकी वास्तविक ब्राउज़िंग गतिविधियों से असंबंधित विज्ञापन सामग्री प्राप्त होनी शुरू हो जाएगी। इसके अलावा, जिस तरह से अन्य (अनभिज्ञ) वेबसाइटें नकली ब्राउज़र आईडी पर प्रतिक्रिया करती हैं, उसके आधार पर हमलावर पीड़ित के बारे में बहुत कुछ अनुमान लगा सकता है।

RSI काग़ज़ शीर्षक है गमी ब्राउज़र्स: अत्याधुनिक फ़िंगरप्रिंटिंग तकनीकों के विरुद्ध लक्षित ब्राउज़र स्पूफिंग, और टेक्सास ए एंड एम विश्वविद्यालय और गेन्सविले में फ्लोरिडा विश्वविद्यालय के शोधकर्ताओं से आता है।

गमी ब्राउज़र्स पद्धति का अवलोकन.  स्रोत: https://arxiv.org/pdf/2110.10129.pdf

गमी ब्राउज़र्स

नामांकित 'गमी ब्राउज़र' पीड़ित ब्राउज़र की क्लोन प्रतियां हैं, जिनका नाम 2000 के दशक की शुरुआत में रिपोर्ट किए गए 'गमी फिंगर्स' हमले के नाम पर रखा गया था, जो पीड़ित की वास्तविक उंगलियों के निशान दोहराए गए फ़िंगरप्रिंट आईडी सिस्टम को बायपास करने के लिए जिलेटिन प्रतियों के साथ।

लेखक कहते हैं:

'गमी ब्राउजर्स का मुख्य लक्ष्य वेब सर्वर को यह विश्वास दिलाना है कि एक वैध उपयोगकर्ता उसकी सेवाओं तक पहुंच रहा है ताकि वह उपयोगकर्ता के बारे में संवेदनशील जानकारी (उदाहरण के लिए, वैयक्तिकृत विज्ञापनों के आधार पर उपयोगकर्ता की रुचियां) जान सके, या विभिन्न चीजों से बच सके। सुरक्षा योजनाएँ (उदाहरण के लिए, प्रमाणीकरण और धोखाधड़ी का पता लगाना) जो ब्राउज़र फ़िंगरप्रिंटिंग पर निर्भर करती हैं।'

वे जारी रहे:

'दुर्भाग्य से, हम ऐसे लिंकिंग एल्गोरिदम के खिलाफ एक महत्वपूर्ण खतरे के वेक्टर की पहचान करते हैं। विशेष रूप से, हमने पाया है कि एक हमलावर किसी पीड़ित के ब्राउज़र की ब्राउज़र विशेषताओं को कैप्चर और स्पूफ कर सकता है, और इसलिए किसी वेबसाइट से कनेक्ट होने पर अपने ब्राउज़र को पीड़ित के ब्राउज़र के रूप में "प्रस्तुत" कर सकता है।'

लेखकों का तर्क है कि उनके द्वारा विकसित की गई ब्राउज़र फ़िंगरप्रिंट क्लोनिंग तकनीक ख़तरे में है 'उपयोगकर्ताओं की ऑनलाइन गोपनीयता और सुरक्षा पर एक विनाशकारी और स्थायी प्रभाव'.

दो फ़िंगरप्रिंटिंग सिस्टम के विरुद्ध सिस्टम का परीक्षण करने में, एफपीएसटॉकर और इलेक्ट्रॉनिक फ्रंटियर फ़ाउंडेशन Panopticlick, लेखकों ने पाया कि उनका सिस्टम लगभग हर समय कैप्चर की गई उपयोगकर्ता जानकारी को सफलतापूर्वक अनुकरण करने में सक्षम था, बावजूद इसके कि सिस्टम टीसीपी/आईपी स्टैक सहित कई विशेषताओं को ध्यान में नहीं रखता था। फिंगरप्रिंटिंग, हार्डवेयर सेंसर और डीएनएस रिज़ॉल्वर.

लेखकों का यह भी तर्क है कि पीड़ित हमले से पूरी तरह से बेखबर होगा, जिससे बचना मुश्किल हो जाएगा।

क्रियाविधि

ब्राउज़र फ़िंगरप्रिंटिंग उपयोगकर्ता के वेब ब्राउज़र को कॉन्फ़िगर करने के तरीके के कई कारकों द्वारा प्रोफ़ाइल तैयार की जाती हैं। विडंबना यह है कि गोपनीयता की रक्षा के लिए डिज़ाइन किए गए कई बचाव, जिनमें एडब्लॉकिंग एक्सटेंशन इंस्टॉल करना भी शामिल है, वास्तव में ब्राउज़र को फिंगरप्रिंट बना सकते हैं अधिक विशिष्ट और लक्ष्य करने में आसान.

ब्राउज़र फ़िंगरप्रिंटिंग कुकीज़ या सत्र डेटा पर निर्भर नहीं करता है, बल्कि यह प्रदान करता है काफी हद तक अपरिहार्य उपयोगकर्ता द्वारा ब्राउज़ किए जा रहे किसी भी डोमेन पर उपयोगकर्ता के सेट-अप का स्नैपशॉट, यदि वह डोमेन ऐसी जानकारी का फायदा उठाने के लिए कॉन्फ़िगर किया गया है।

स्पष्ट रूप से दुर्भावनापूर्ण प्रथाओं से दूर, फिंगरप्रिंटिंग का उपयोग आम तौर पर उपयोगकर्ताओं पर विज्ञापनों को लक्षित करने के लिए किया जाता है। धोखाधड़ी का पता लगानाके लिए, और प्रयोक्ता प्रमाणीकरण (एक कारण यह है कि आपके ब्राउज़र में एक्सटेंशन जोड़ने या अन्य मुख्य परिवर्तन करने से साइटें पुनः प्रमाणीकरण की मांग कर सकती हैं, यह इस तथ्य पर आधारित है कि आपकी पिछली यात्रा के बाद से आपकी ब्राउज़र प्रोफ़ाइल बदल गई है)।

शोधकर्ताओं द्वारा प्रस्तावित विधि के लिए पीड़ित को केवल उस वेबसाइट पर जाने की आवश्यकता होती है जो उनके ब्राउज़र फ़िंगरप्रिंट को रिकॉर्ड करने के लिए कॉन्फ़िगर की गई है - एक हालिया अध्ययन में यह अभ्यास किया गया है अनुमानित शीर्ष 10 वेबसाइटों में से 100,000% से अधिक पर प्रचलित है, और कौन सी रूपों Google के फ़ेडरेटेड लर्निंग ऑफ़ कोहॉर्ट्स (FLOC) का हिस्सा, जो कि कुकी-आधारित ट्रैकिंग के लिए खोज दिग्गज का प्रस्तावित विकल्प है। यह भी एक है एडटेक प्लेटफार्मों में केंद्रीय प्रौद्योगिकी सामान्य तौर पर, इसलिए उपर्युक्त अध्ययन में पहचानी गई 10% से अधिक साइटों तक पहुँचना।

विशिष्ट पहलू जिन्हें कुकीज़ की आवश्यकता के बिना उपयोगकर्ता के ब्राउज़र से निकाला जा सकता है।

पहचानकर्ता जिन्हें उपयोगकर्ता विज़िट (जावास्क्रिप्ट एपीआई और HTTP हेडर के माध्यम से एकत्रित) से क्लोन करने योग्य ब्राउज़र प्रोफ़ाइल में निकाला जा सकता है, उनमें भाषा सेटिंग्स, ऑपरेटिंग सिस्टम, ब्राउज़र संस्करण और एक्सटेंशन, इंस्टॉल किए गए प्लगइन्स, स्क्रीन रिज़ॉल्यूशन, हार्डवेयर, रंग गहराई, समय क्षेत्र, टाइमस्टैम्प शामिल हैं , स्थापित फ़ॉन्ट, कैनवास विशेषताएँ, उपयोगकर्ता-एजेंट स्ट्रिंग, HTTP अनुरोध हेडर, आईपी पता और डिवाइस भाषा सेटिंग्स, अन्य। इनमें से कई विशेषताओं तक पहुंच के बिना, आम तौर पर अपेक्षित वेब कार्यक्षमता का एक बड़ा हिस्सा संभव नहीं होगा।

विज्ञापन नेटवर्क प्रतिक्रियाओं के माध्यम से जानकारी निकालना

लेखकों का कहना है कि पीड़ित के बारे में विज्ञापन डेटा को उनके कैप्चर किए गए ब्राउज़र प्रोफ़ाइल का प्रतिरूपण करके उजागर करना काफी आसान है, और हो भी सकता है उपयोगी ढंग से दोहन किया गया:

'[यदि] वैयक्तिकृत और लक्षित विज्ञापनों के लिए ब्राउज़र फ़िंगरप्रिंटिंग का उपयोग किया जाता है, तो एक सौम्य वेबसाइट होस्ट करने वाला वेब सर्वर, हमलावर के ब्राउज़र पर उसी या समान विज्ञापनों को धकेल देगा जैसे कि पीड़ित के ब्राउज़र पर धकेल दिया गया होगा क्योंकि वेब सर्वर हमलावर के ब्राउज़र को पीड़ित का ब्राउज़र मानता है। वैयक्तिकृत विज्ञापनों (उदाहरण के लिए, गर्भावस्था उत्पादों, दवाओं और ब्रांडों से संबंधित) के आधार पर, हमलावर पीड़ित के बारे में विभिन्न संवेदनशील जानकारी (जैसे लिंग, आयु समूह, स्वास्थ्य स्थिति, रुचियां, वेतन स्तर, आदि) का अनुमान लगा सकता है, यहां तक ​​कि एक विज्ञापन भी बना सकता है। पीड़ित का व्यक्तिगत व्यवहार प्रोफ़ाइल।

'ऐसी व्यक्तिगत और निजी जानकारी के लीक होने से उपयोगकर्ता के लिए एक भयानक गोपनीयता खतरा पैदा हो सकता है।'

चूंकि ब्राउज़र फ़िंगरप्रिंट समय के साथ बदलते हैं, उपयोगकर्ता को हमले वाली साइट पर वापस लाने से क्लोन की गई प्रोफ़ाइल अद्यतित रहेगी, लेकिन लेखकों का कहना है कि एक बार की क्लोनिंग अभी भी आश्चर्यजनक रूप से दीर्घकालिक प्रभावी हमले की अवधि को सक्षम कर सकती है।

उपयोगकर्ता प्रमाणीकरण स्पूफिंग

दो-कारक प्रमाणीकरण से बचने के लिए प्रमाणीकरण प्रणाली प्राप्त करना साइबर अपराधियों के लिए एक वरदान है। नए पेपर नोट के लेखकों के अनुसार, कई मौजूदा प्रमाणीकरण (2एफए) ढांचे उपयोगकर्ता के साथ खाते को जोड़ने के लिए 'मान्यता प्राप्त' अनुमानित ब्राउज़र प्रोफ़ाइल का उपयोग करते हैं। यदि साइट की प्रमाणीकरण प्रणाली संतुष्ट है कि उपयोगकर्ता उस डिवाइस पर लॉग इन करने का प्रयास कर रहा है जिसका उपयोग अंतिम सफल लॉगिन में किया गया था, तो उपयोगकर्ता की सुविधा के लिए, 2FA की मांग नहीं की जा सकती है।

लेखक इसका अवलोकन करते हैं ओरेकल, InAuth और सिक्योरऑथ आईडीपी उपयोगकर्ता के रिकॉर्ड किए गए ब्राउज़र प्रोफ़ाइल के आधार पर, सभी इस 'चेक स्किपिंग' के किसी न किसी रूप का अभ्यास करते हैं।

धोखाधड़ी का पता लगाना

विभिन्न सुरक्षा सेवाएँ ब्राउज़र फ़िंगरप्रिंटिंग का उपयोग एक उपकरण के रूप में यह निर्धारित करने के लिए करती हैं कि कोई उपयोगकर्ता धोखाधड़ी वाली गतिविधियों में लिप्त है। शोधकर्ताओं ने यह नोट किया है सिओन और आईपीक्वालिटीस्कोर ऐसी दो कंपनियां हैं.

इस प्रकार, प्रस्तावित पद्धति के माध्यम से, यह संभव है कि या तो ऐसे सिस्टम की सीमाओं को ट्रिगर करने के लिए 'छाया प्रोफ़ाइल' का उपयोग करके उपयोगकर्ता को धोखेबाज के रूप में अन्यायपूर्ण रूप से चित्रित किया जाए, या फिर धोखाधड़ी के वास्तविक प्रयासों के लिए चोरी की गई प्रोफ़ाइल को 'दाढ़ी' के रूप में उपयोग किया जाए। , प्रोफ़ाइल के फोरेंसिक विश्लेषण को हमलावर से दूर पीड़ित की ओर मोड़ना।

तीन आक्रमण सतहें

पेपर तीन तरीकों का प्रस्ताव करता है जिनसे गमी ब्राउज़र सिस्टम का इस्तेमाल किसी पीड़ित के खिलाफ किया जा सकता है: प्राप्त करें-एक बार-स्पूफ-एक बार इसमें एक बार के हमले के समर्थन में पीड़ित की ब्राउज़र आईडी को नियुक्त करना शामिल है, जैसे कि उपयोगकर्ता की आड़ में संरक्षित डोमेन तक पहुंच प्राप्त करने का प्रयास। इस मामले में, आईडी की 'आयु' अप्रासंगिक है, क्योंकि जानकारी पर तुरंत और बिना किसी अनुवर्ती कार्रवाई के कार्रवाई की जाती है।

दूसरे दृष्टिकोण में, प्राप्त करें-एक बार-स्पूफ-बार-बार, हमलावर यह देखकर पीड़ित की प्रोफ़ाइल विकसित करना चाहता है कि वेब सर्वर उनकी प्रोफ़ाइल पर कैसे प्रतिक्रिया करते हैं (अर्थात विज्ञापन सर्वर जो एक 'परिचित' उपयोगकर्ता की धारणा पर विशिष्ट प्रकार की सामग्री वितरित करते हैं, जिसके पास पहले से ही उनके साथ एक ब्राउज़र प्रोफ़ाइल जुड़ी हुई है) .

अंत में, प्राप्त करें-अक्सर-स्पूफ-अक्सर यह एक लंबी अवधि की चाल है जिसे पीड़ित के ब्राउज़र प्रोफ़ाइल को नियमित रूप से अपडेट करने के लिए डिज़ाइन किया गया है ताकि पीड़ित को हानिरहित घुसपैठ साइट (उदाहरण के लिए, जिसे एक समाचार साइट या ब्लॉग के रूप में विकसित किया गया हो) पर दोबारा जाने के लिए कहा जा सके। इस तरह हमलावर लंबे समय तक धोखाधड़ी का पता लगाने वाले स्पूफिंग को अंजाम दे सकता है।

निष्कर्षण और परिणाम

गमी ब्राउज़र्स द्वारा उपयोग की जाने वाली स्पूफिंग विधियों में स्क्रिप्ट इंजेक्शन, ब्राउज़र की सेटिंग और डिबगिंग टूल का उपयोग और स्क्रिप्ट संशोधन शामिल हैं।

विशेषताओं को जावास्क्रिप्ट के साथ या उसके बिना निकाला जा सकता है। उदाहरण के लिए, उपयोगकर्ता-एजेंट हेडर (जो ब्राउज़र के ब्रांड की पहचान करते हैं, जैसे Chrome, Firefox, और अन्य), HTTP हेडर से प्राप्त किया जा सकता है, कुछ सबसे बुनियादी और गैर-अवरुद्ध करने योग्य जानकारी जो कार्यात्मक वेब ब्राउज़िंग के लिए आवश्यक है।

FPStalker और Panopticlick के विरुद्ध Gummy ब्राउज़र सिस्टम का परीक्षण करने में, शोधकर्ताओं ने तीन फ़िंगरप्रिंटिंग एल्गोरिदम में 0.95 से अधिक का औसत 'स्वामित्व' (एक उपयुक्त ब्राउज़र प्रोफ़ाइल का) हासिल किया, जिससे कैप्चर की गई आईडी का एक व्यावहारिक क्लोन प्रभावित हुआ।

पेपर सिस्टम आर्किटेक्ट्स के लिए सुरक्षा टोकन के रूप में ब्राउज़र प्रोफ़ाइल विशेषताओं पर भरोसा न करने की आवश्यकता पर जोर देता है, और इस अभ्यास को अपनाने वाले कुछ बड़े प्रमाणीकरण ढांचे की स्पष्ट रूप से आलोचना करता है, खासकर जहां इसका उपयोग 'उपयोगकर्ता मित्रता' बनाए रखने की एक विधि के रूप में किया जाता है। दो-कारक प्रमाणीकरण के उपयोग को समाप्त करना या स्थगित करना।

लेखकों का निष्कर्ष है:

'गमी ब्राउजर्स का प्रभाव उपयोगकर्ताओं की ऑनलाइन सुरक्षा और गोपनीयता पर विनाशकारी और स्थायी हो सकता है, खासकर यह देखते हुए कि ब्राउज़र-फिंगरप्रिंटिंग को वास्तविक दुनिया में व्यापक रूप से अपनाया जाने लगा है। इस हमले के आलोक में, हमारा काम यह सवाल उठाता है कि क्या ब्राउज़र फ़िंगरप्रिंटिंग को बड़े पैमाने पर तैनात करना सुरक्षित है।'