Nuovo Attacco ‘Clona’ e Abusa del Tuo ID Unico Online tramite Browser Fingerprinting

I ricercatori hanno sviluppato un metodo per copiare le caratteristiche di un browser web di una vittima utilizzando tecniche di browser fingerprinting, e successivamente ‘impersonare’ la vittima.

La tecnica ha molteplici implicazioni di sicurezza: l’attaccante può eseguire attività online dannose o addirittura illegali, con il ‘registro’ di tali attività attribuito all’utente; e le difese di autenticazione a due fattori possono essere compromesse, poiché un sito di autenticazione ritiene che l’utente sia stato riconosciuto con successo in base al profilo di fingerprinting del browser rubato

Inoltre, il ‘clone ombra’ dell’attaccante può visitare siti che cambiano il tipo di annunci consegnati a quel profilo utente, significando che l’utente inizierà a ricevere contenuti pubblicitari non correlati alle sue attività di navigazione effettive. Inoltre, l’attaccante può dedurre molto sulla vittima in base al modo in cui altri siti (all’oscuro) rispondono al profilo di browser contraffatto.

La relazione è intitolata Gummy Browsers: Targeted Browser Spoofing contro State-of-the-Art Fingerprinting Techniques, e proviene da ricercatori dell’Università del Texas A&M e dell’Università della Florida a Gainesville.

Panoramica della metodologia dei Gummy Browsers. Fonte: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

I ‘gummy browsers’ eponimi sono copie clonate del browser della vittima, chiamati così in seguito all’attacco ‘Gummy Fingers’ segnalato all’inizio degli anni 2000, che replicava le impronte digitali vere della vittima con copie di gelatina per eludere i sistemi di riconoscimento delle impronte digitali.

Gli autori affermano:

‘L’obiettivo principale dei Gummy Browsers è ingannare il server web facendogli credere che un utente legittimo stia accedendo ai suoi servizi in modo che possa apprendere informazioni sensibili sull’utente (ad esempio, gli interessi dell’utente in base agli annunci personalizzati), o eludere vari schemi di sicurezza (ad esempio, autenticazione e rilevamento frodi) che si basano sulla fingerprinting del browser.’

Continuano:

‘Purtroppo, identifichiamo un vettore di minaccia significativo contro tali algoritmi di collegamento. In particolare, scopriamo che un attaccante può catturare e contraffare le caratteristiche del browser di una vittima, e quindi può “presentare” il proprio browser come quello della vittima quando si connette a un sito web.’

Gli autori sostengono che le tecniche di clonazione della fingerprint del browser da loro sviluppate minacciano ‘un impatto devastante e duraturo sulla privacy e sulla sicurezza online degli utenti’.

Nel testare il sistema contro due sistemi di fingerprinting, FPStalker e Panopticlick della Electronic Frontier Foundation, gli autori hanno scoperto che il loro sistema è stato in grado di simulare con successo le informazioni dell’utente catturate quasi tutte le volte, nonostante il sistema non abbia tenuto conto di diversi attributi, tra cui il fingerprinting dello stack TCP/IP, fingerprinting dello stack TCP/IP, sensori hardware e risolutori DNS.

Gli autori sostengono inoltre che la vittima sarà completamente all’oscuro dell’attacco, rendendolo difficile da eludere.

Metodologia

I profili di fingerprinting del browser sono generati da più fattori della configurazione del browser web dell’utente. Ironia della sorte, molte delle difese progettate per proteggere la privacy, tra cui l’installazione di estensioni di blocco degli annunci, possono effettivamente rendere una fingerprint del browser più distintiva e più facile da prendere di mira.

La fingerprinting del browser non dipende dai cookie o dai dati di sessione, ma offre uno snapshot sostanzialmente inevitabile dell’impostazione dell’utente a qualsiasi dominio che l’utente sta navigando, se quel dominio è configurato per sfruttare tali informazioni.

A parte le pratiche maliziose, la fingerprinting è tipicamente utilizzata per indirizzare gli annunci agli utenti, per rilevamento delle frodi, e per autenticazione dell’utente (un motivo per cui l’aggiunta di estensioni o l’apporto di altri cambiamenti fondamentali al browser possono far sì che i siti richiedano la ri-autenticazione, in base al fatto che il profilo del browser è cambiato dall’ultima visita).

Il metodo proposto dai ricercatori richiede solo che la vittima visiti un sito web configurato per registrare la sua fingerprint del browser – una pratica che uno studio recente stima sia presente su oltre il 10% dei primi 100.000 siti web, e che forma parte di Federated Learning of Cohorts (FLOC), l’alternativa di Google alla tracciabilità basata sui cookie. È anche una tecnologia centrale nelle piattaforme di adtech in generale, quindi raggiunge molti più siti di quelli identificati nello studio sopra menzionato.

Facets tipici che possono essere estratti dal browser di un utente senza la necessità di cookie.

Gli identificatori che possono essere estratti da una visita dell’utente (raccolti tramite API JavaScript e header HTTP) in un profilo di browser clonabile includono impostazioni linguistiche, sistema operativo, versioni del browser ed estensioni, plugin installati, risoluzione dello schermo, hardware, profondità dei colori, fuso orario, timestamp, caratteri installati, caratteristiche del canvas, stringa dell’agente utente, header della richiesta HTTP, indirizzo IP e impostazioni linguistiche del dispositivo, tra gli altri. Senza l’accesso a molte di queste caratteristiche, una grande quantità di funzionalità web comunemente attese non sarebbe possibile.

Estrazione di Informazioni tramite Risposte della Rete di Annunci

Gli autori notano che i dati degli annunci relativi alla vittima sono abbastanza facili da esporre impersonando il suo profilo di browser catturato, e possono essere utilmente sfruttati:

‘[Se] la fingerprinting del browser viene impiegata per annunci personalizzati e mirati, il server web, che ospita un sito web benigno, invierebbe gli stessi o simili annunci al browser dell’attaccante come quelli che sarebbero stati inviati al browser della vittima perché il server web considera il browser dell’attaccante come il browser della vittima. In base agli annunci personalizzati (ad esempio, relativi a prodotti per la gravidanza, farmaci e marche), l’attaccante può dedurre varie informazioni sensibili sulla vittima (ad esempio, genere, gruppo di età, condizione di salute, interessi, livello di stipendio, ecc.), persino costruire un profilo comportamentale personale della vittima.

‘La perdita di tali informazioni personali e private può rappresentare una minaccia terrificante per la privacy dell’utente.’

Poiché le impronte digitali del browser cambiano nel tempo, mantenere l’utente che torna al sito di attacco manterrà il profilo clonato aggiornato, ma gli autori sostengono che una clonazione una tantum può comunque consentire periodi di attacco a lungo termine sorprendentemente efficaci.

Spoofing dell’Autenticazione dell’Utente

Ottenere che un sistema di autenticazione eviti l’autenticazione a due fattori è un vantaggio per i cyber-criminali. Come notano gli autori del nuovo documento, molti framework di autenticazione attuali (2FA) utilizzano un profilo di browser ‘riconosciuto’ per associare l’account all’utente. Se i sistemi di autenticazione del sito sono soddisfatti che l’utente stia tentando di accedere a un dispositivo utilizzato all’ultimo accesso riuscito, potrebbe, per comodità dell’utente, non richiedere l’autenticazione a due fattori.

Gli autori osservano che Oracle, InAuth e SecureAuth IdP praticano tutti una forma di questo ‘controllo saltato’, basato su un profilo di browser registrato dell’utente.

Rilevamento delle Frodi

Vari servizi di sicurezza utilizzano la fingerprinting del browser come strumento per determinare la probabilità che un utente sia coinvolto in attività fraudolente. I ricercatori notano che Seon e IPQualityScore sono due aziende del genere.

Pertanto, è possibile, tramite la metodologia proposta, caratterizzare ingiustamente l’utente come una frode utilizzando il ‘profilo ombra’ per attivare le soglie di tali sistemi, o utilizzare il profilo rubato come ‘barba’ per tentativi genuini di frode, deviando l’analisi forense del profilo dall’attaccante all’utente.

Tre Superfici di Attacco

La relazione propone tre modi in cui il sistema Gummy Browser potrebbe essere utilizzato contro una vittima: Acquire-Once-Spoof-Once coinvolge l’appropriazione dell’ID del browser della vittima a sostegno di un attacco una tantum, come un tentativo di accedere a un dominio protetto sotto le spoglie dell’utente. In questo caso, l'”età” dell’ID è irrilevante, poiché le informazioni vengono agite rapidamente e senza seguito.

In un secondo approccio, Acquire-Once-Spoof-Frequently, l’attaccante cerca di sviluppare un profilo della vittima osservando come i server web rispondono al suo profilo (ad esempio, server di annunci che consegnano tipi specifici di contenuto sull’assunzione di un utente ‘familiare’ che ha già un profilo di browser associato a loro).

Infine, Acquire-Frequently-Spoof-Frequently è un piano a lungo termine progettato per aggiornare regolarmente il profilo del browser della vittima facendo tornare la vittima a visitare il sito di esfiltrazione innocuo (che potrebbe essere stato sviluppato come un sito di notizie o un blog, ad esempio). In questo modo l’attaccante può eseguire lo spoofing del rilevamento delle frodi per un periodo di tempo più lungo.

Estrazione e Risultati

I metodi di spoofing utilizzati dai Gummy Browsers comprendono l’iniezione di script, l’uso delle impostazioni e degli strumenti di debug del browser, e la modifica degli script.

Le caratteristiche possono essere esfiltrate con o senza JavaScript. Ad esempio, gli header dell’agente utente (che identificano il marchio del browser, come Chrome, Firefox, ecc.), possono essere derivati dagli header HTTP, alcune delle informazioni di base e non bloccabili necessarie per la navigazione web funzionale.

Nel testare il sistema Gummy Browser contro FPStalker e Panopticlick, i ricercatori hanno raggiunto una ‘proprietà’ (di un profilo di browser appropriato) media di oltre 0,95 su tre algoritmi di fingerprinting, realizzando un clone funzionale dell’ID catturato.

La relazione sottolinea la necessità per gli architetti di sistemi di non fare affidamento sulle caratteristiche del profilo del browser come token di sicurezza, e critica implicitamente alcuni dei più grandi framework di autenticazione che hanno adottato questa pratica, specialmente laddove viene utilizzata come metodo per mantenere la ‘convenienza dell’utente’ obviando o rinviando l’uso dell’autenticazione a due fattori.

Gli autori concludono:

‘L’impatto dei Gummy Browsers può essere devastante e duraturo sulla sicurezza e sulla privacy online degli utenti, specialmente considerando che la fingerprinting del browser sta iniziando a essere ampiamente adottata nel mondo reale. Alla luce di questo attacco, il nostro lavoro solleva la questione se la fingerprinting del browser sia sicura da distribuire su larga scala.’