नया हमला ‘क्लोन’ और ब्राउज़र फिंगरप्रिंटिंग के माध्यम से आपके अद्वितीय ऑनलाइन आईडी का दुरुपयोग करता है

शोधकर्ताओं ने ब्राउज़र फिंगरप्रिंटिंग तकनीकों का उपयोग करके एक पीड़ित के वेब ब्राउज़र की विशेषताओं की एक प्रति बनाने का एक तरीका विकसित किया है, और फिर ‘पीड़ित’ को प्रतिरूपित करने के लिए।

इस तकनीक के कई सुरक्षा निहितार्थ हैं: हमलावर ऑनलाइन गतिविधियों को नुकसान पहुंचा सकता है या यहां तक कि अवैध गतिविधियों को अंजाम दे सकता है, जिसके परिणामस्वरूप उन गतिविधियों का ‘रिकॉर्ड’ उपयोगकर्ता को दिया जा सकता है; और दो-कारक प्रमाणीकरण रक्षा को खतरा हो सकता है, क्योंकि प्रमाणीकरण साइट यह मान सकती है कि उपयोगकर्ता को सफलतापूर्वक पहचान लिया गया है, चोरी किए गए ब्राउज़र फिंगरप्रिंट प्रोफाइल के आधार पर।

इसके अलावा, हमलावर का ‘शैडो क्लोन’ उन साइटों पर जा सकता है जो उस उपयोगकर्ता प्रोफाइल के लिए विज्ञापनों के प्रकार को बदलते हैं, जिसका अर्थ है कि उपयोगकर्ता अपनी वास्तविक ब्राउज़िंग गतिविधियों से संबंधित विज्ञापन सामग्री प्राप्त करना शुरू कर देगा। इसके अलावा, हमलावर अन्य (अनजान) वेबसाइटों के प्रतिक्रियाओं के आधार पर पीड़ित के बारे में बहुत कुछ अनुमान लगा सकता है।

इस पेपर का शीर्षक गमी ब्राउज़र: स्टेट-ऑफ-द-आर्ट फिंगरप्रिंटिंग तकनीकों के खिलाफ लक्षित ब्राउज़र स्पूफिंग है, और यह टेक्सास एएंडएम यूनिवर्सिटी और फ्लोरिडा विश्वविद्यालय के शोधकर्ताओं से है।

गमी ब्राउज़र्स पद्धति का अवलोकन। स्रोत: https://arxiv.org/pdf/2110.10129.pdf

गमी ब्राउज़र्स

इन ‘गमी ब्राउज़र्स’ को पीड़ित ब्राउज़र की क्लोन कॉपी कहा जाता है, जो 2000 के दशक की शुरुआत में रिपोर्ट किए गए ‘गमी फिंगर्स’ हमले के नाम पर रखा गया है, जिसने पीड़ित के वास्तविक फिंगरप्रिंट की प्रति बनाई जेलेटिन की प्रति बनाकर फिंगरप्रिंट आईडी प्रणाली को बायपास करने के लिए।

लेखकों का कहना है:

‘गमी ब्राउज़र्स का मुख्य उद्देश्य वेब सर्वर को यह विश्वास दिलाना है कि एक वैध उपयोगकर्ता इसकी सेवाओं तक पहुंच रहा है, ताकि यह उपयोगकर्ता के बारे में संवेदनशील जानकारी सीख सके (जैसे कि उपयोगकर्ता के हितों के आधार पर व्यक्तिगत विज्ञापन), या विभिन्न सुरक्षा योजनाओं (जैसे कि प्रमाणीकरण और धोखाधड़ी का पता लगाने) को बायपास कर सके जो ब्राउज़र फिंगरप्रिंटिंग पर निर्भर करते हैं। ‘

वे आगे कहते हैं:

‘दुर्भाग्य से, हम एक महत्वपूर्ण खतरा वेक्टर की पहचान करते हैं जो ऐसे लिंकिंग एल्गोरिदम के खिलाफ है। विशेष रूप से, हम पाते हैं कि एक हमलावर पीड़ित के ब्राउज़र की विशेषताओं को पकड़ सकता है और नकल सकता है, और इसलिए जब वह एक वेबसाइट से जुड़ता है तो वह अपने ब्राउज़र को पीड़ित के ब्राउज़र के रूप में ‘प्रस्तुत’ कर सकता है। ‘

लेखकों का तर्क है कि उन्होंने जो ब्राउज़र फिंगरप्रिंट क्लोनिंग तकनीक विकसित की है, वह ‘उपयोगकर्ताओं की ऑनलाइन गोपनीयता और सुरक्षा पर विनाशकारी और स्थायी प्रभाव डाल सकती है’।

दो फिंगरप्रिंटिंग सिस्टम, FPStalker और इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के Panopticlick के खिलाफ सिस्टम का परीक्षण करने में, लेखकों ने पाया कि उनका सिस्टम लगभग हर समय सफलतापूर्वक उपयोगकर्ता जानकारी को सिम्युलेट करने में सक्षम था,尽管 सिस्टम ने कई विशेषताओं, जैसे कि टीसीपी/आईपी स्टैक फिंगरप्रिंटिंग, हार्डवेयर सेंसर और डीएनएस रिज़ॉल्वर के लिए खाता नहीं था।

लेखकों का यह भी तर्क है कि पीड़ित हमले से完全 अनजान होगा, जिससे इसका बचाव करना मुश्किल हो जाएगा।

विधि

ब्राउज़र फिंगरप्रिंटिंग प्रोफाइल उपयोगकर्ता के वेब ब्राउज़र को कैसे कॉन्फ़िगर किया गया है, इसके कई कारकों द्वारा उत्पन्न की जाती है। विडंबना यह है कि गोपनीयता की रक्षा के लिए डिज़ाइन की गई कई रक्षाएं, जिनमें एड-ब्लॉकिंग एक्सटेंशन स्थापित करना शामिल है, वास्तव में एक ब्राउज़र फिंगरप्रिंट को और अधिक विशिष्ट और लक्ष्य बनाने में मदद कर सकते हैं।

ब्राउज़र फिंगरप्रिंटिंग कुकीज़ या सत्र डेटा पर निर्भर नहीं करती है, लेकिन उपयोगकर्ता की सेटअप का एक बड़े पैमाने पर अनिवार्य स्नैपशॉट प्रदान करती है किसी भी डोमेन को जो उपयोगकर्ता ब्राउज़ कर रहा है, यदि उस डोमेन को ऐसी जानकारी का शोषण करने के लिए कॉन्फ़िगर किया गया है।

स्पष्ट रूप से दुर्भाग्यपूर्ण प्रथाओं से दूर, फिंगरप्रिंटिंग आमतौर पर उपयोगकर्ताओं को विज्ञापनों के लिए लक्षित करने के लिए उपयोग की जाती है, धोखाधड़ी का पता लगाने के लिए, और उपयोगकर्ता प्रमाणीकरण के लिए (एक कारण यह है कि ब्राउज़र में एक्सटेंशन जोड़ना या अन्य मूल बदलाव करने से साइटें पुनः प्रमाणीकरण की मांग कर सकती हैं, क्योंकि ब्राउज़र प्रोफ़ाइल उनकी पिछली यात्रा के बाद से बदल गई है)।

शोधकर्ताओं द्वारा प्रस्तावित तरीके से केवल इतना ही आवश्यक है कि पीड़ित एक वेबसाइट पर जाए जो उनके ब्राउज़र फिंगरप्रिंट को रिकॉर्ड करने के लिए कॉन्फ़िगर की गई है – एक अभ्यास जिसका एक हालिया अध्ययन अनुमान लगाता है कि यह 10,000 शीर्ष वेबसाइटों में से 10% से अधिक पर प्रचलित है, और जो गूगल के फेडरेटेड लर्निंग ऑफ कोहॉर्ट्स (फ्लॉक) का हिस्सा है, जो कुकी-आधारित ट्रैकिंग के लिए खोज दिग्गज के प्रस्तावित विकल्प हैं। यह एडटेक प्लेटफ़ॉर्म में एक केंद्रीय प्रौद्योगिकी है, इसलिए यह अध्ययन में पहचाने गए 10% से अधिक साइटों को पार करता है।

एक उपयोगकर्ता के ब्राउज़र से निकाले जा सकने वाले विशिष्ट पहलू।

उपयोगकर्ता की यात्रा (जावास्क्रिप्ट एपीआई और एचटीटीपी हेडर के माध्यम से एकत्र की गई) से एक क्लोनेबल ब्राउज़र प्रोफ़ाइल में निकाले जा सकने वाले पहचानकर्ताओं में भाषा सेटिंग, ऑपरेटिंग सिस्टम, ब्राउज़र संस्करण और एक्सटेंशन, स्थापित प्लगイン, स्क्रीन रिज़ॉल्यूशन, हार्डवेयर, रंग गहराई, समय क्षेत्र, टाइमस्टैम्प, स्थापित फ़ॉन्ट, कैनवास विशेषताएं, उपयोगकर्ता-एजेंट स्ट्रिंग, एचटीटीपी अनुरोध हेडर, आईपी पता और डिवाइस भाषा सेटिंग्स शामिल हैं। इनमें से कई विशेषताओं तक पहुंच के बिना, बहुत सारी सामान्य रूप से अपेक्षित वेब कार्यक्षमता संभव नहीं होगी।

विज्ञापन नेटवर्क प्रतिक्रियाओं के माध्यम से जानकारी निकालना

लेखकों का उल्लेख है कि पीड़ित के बारे में विज्ञापन डेटा को उनके कब्जे वाले ब्राउज़र प्रोफ़ाइल को प्रतिरूपित करके उजागर करना बहुत आसान है, और उपयोगी रूप से शोषित किया जा सकता है:

‘[यदि] ब्राउज़र फिंगरप्रिंटिंग व्यक्तिगत और लक्षित विज्ञापनों के लिए नियोजित की जाती है, तो वेब सर्वर, एक हानिरहित वेबसाइट होस्टिंग, हमलावर के ब्राउज़र को पीड़ित के ब्राउज़र की तरह समान या समान विज्ञापन पुश करेगा, क्योंकि वेब सर्वर हमलावर के ब्राउज़र को पीड़ित के ब्राउज़र के रूप में मानता है। व्यक्तिगत विज्ञापनों (जैसे कि गर्भावस्था उत्पादों, दवाओं और ब्रांडों से संबंधित) के आधार पर, हमलावर पीड़ित के बारे में विभिन्न संवेदनशील जानकारी (जैसे कि लिंग, आयु वर्ग, स्वास्थ्य स्थिति, हित, वेतन स्तर, आदि) का अनुमान लगा सकता है, यहां तक कि पीड़ित का एक व्यक्तिगत व्यवहार प्रोफ़ाइल भी बना सकता है।

‘इस तरह की व्यक्तिगत और निजी जानकारी का रिसाव उपयोगकर्ता के लिए एक भयावह गोपनीयता खतरा पैदा कर सकता है। ‘

चूंकि ब्राउज़र फिंगरप्रिंट समय के साथ बदलते हैं, इसलिए हमले साइट पर उपयोगकर्ता को वापस लाने से क्लोन प्रोफ़ाइल को अप-टू-डेट रखा जा सकता है, लेकिन लेखकों का तर्क है कि एक बार की क्लोनिंग अभी भी आश्चर्यजनक रूप से लंबे समय तक प्रभावी हमले की अनुमति दे सकती है।

उपयोगकर्ता प्रमाणीकरण स्पूफिंग

दो-कारक प्रमाणीकरण से बचने के लिए प्रमाणीकरण प्रणाली को प्राप्त करना साइबर अपराधियों के लिए एक वरदान है। जैसा कि नए पेपर के लेखकों ने उल्लेख किया है, कई वर्तमान प्रमाणीकरण (2एफए) फ्रेमवर्क एक ‘मान्यता प्राप्त’ अनुमानित ब्राउज़र प्रोफ़ाइल का उपयोग उपयोगकर्ता के खाते से जुड़ने के लिए करते हैं। यदि साइट की प्रमाणीकरण प्रणाली संतुष्ट है कि उपयोगकर्ता उस डिवाइस पर प्रयास कर रहा है जिसका उपयोग पिछले सफल लॉगिन में किया गया था, तो यह उपयोगकर्ता की सुविधा के लिए 2एफए की मांग नहीं कर सकता है।

लेखकों का निरीक्षण है कि ओरेकल, इनऑथ और सिक्योरऑथ आईडीपी सभी इस ‘चेक स्किपिंग’ के कुछ रूप का अभ्यास करते हैं, जो उपयोगकर्ता के रिकॉर्ड किए गए ब्राउज़र प्रोफ़ाइल पर आधारित है।

धोखाधड़ी का पता लगाना

विभिन्न सुरक्षा सेवाएं धोखाधड़ी की संभावना का निर्धारण करने के लिए ब्राउज़र फिंगरप्रिंटिंग का उपयोग करती हैं। शोधकर्ताओं का उल्लेख है कि सियन और आईपीक्यूलिटीस्कोर ऐसी कंपनियां हैं।

तीन हमले के क्षेत्र

पेपर में तीन तरीके प्रस्तावित किए गए हैं जिनसे गमी ब्राउज़र प्रणाली का उपयोग पीड़ित के खिलाफ किया जा सकता है: एक्वायर-वन-स्पूफ-वन में पीड़ित के ब्राउज़र आईडी को एक बार के हमले के समर्थन में हासिल करना शामिल है, जैसे कि उपयोगकर्ता के रूप में सुरक्षित डोमेन तक पहुंचने का प्रयास। इस मामले में, आईडी की ‘उम्र’ महत्वहीन है, क्योंकि जानकारी जल्दी से कार्रवाई की जाती है और इसका पालन नहीं किया जाता है।

निष्कर्ष और परिणाम

गमी ब्राउज़र्स द्वारा उपयोग की जाने वाली स्पूफिंग विधियों में स्क्रिप्ट इंजेक्शन, ब्राउज़र की सेटिंग और डीबगिंग टूल्स का उपयोग, और स्क्रिप्ट संशोधन शामिल हैं।

विशेषताओं को जावास्क्रिप्ट के साथ या उसके बिना निकाला जा सकता है। उदाहरण के लिए, उपयोगकर्ता-एजेंट हेडर (जो ब्राउज़र के ब्रांड की पहचान करते हैं, जैसे कि क्रोम, फ़ायरफ़ॉक्स, आदि), एचटीटीपी हेडर से प्राप्त किए जा सकते हैं, जो कि कार्यात्मक वेब ब्राउज़िंग के लिए आवश्यक सबसे बुनियादी और नॉन-ब्लॉकेबल जानकारी है।

FPStalker और Panopticlick के खिलाफ Gummy Browser प्रणाली का परीक्षण करने में, शोधकर्ताओं ने तीन फिंगरप्रिंटिंग एल्गोरिदम में से प्रत्येक में 0.95 से अधिक का एक ‘मालिकाना’ हासिल किया, जिससे कब्जे वाले ब्राउज़र प्रोफ़ाइल का एक कार्यशील क्लोन बनाया गया।

लेखकों का निष्कर्ष है:

‘गमी ब्राउज़र्स का प्रभाव उपयोगकर्ताओं की ऑनलाइन सुरक्षा और गोपनीयता पर विनाशकारी और स्थायी हो सकता है, खासकर जब ब्राउज़र फिंगरप्रिंटिंग वास्तविक दुनिया में व्यापक रूप से अपनाई जा रही है। इस हमले के प्रकाश में, हमारा काम यह प्रश्न उठाता है कि क्या ब्राउज़र फिंगरप्रिंटिंग को बड़े पैमाने पर तैनात करना सुरक्षित है। ‘