Nytt angrep ‘kloner’ og misbruker din unike nett-ID via nettleserfingeravtrykk

Forskere har utviklet en metode for å kopiere egenskapene til et offers nettleser ved hjelp av nettleserfingeravtrykksteknikker, og deretter “imitere” offeret.

Teknikken har flere sikkerhetsimplikasjoner: Angriperen kan utføre skadelig eller til og med ulovlig aktivitet på nettet, og “rekorden” for disse aktivitetene vil bli tilskrevet brukeren; og tofaktorautentisering kan bli kompromittert, fordi en autentiseringsnettsted tror at brukeren har blitt suksessfullt gjenkjent basert på det stjålne nettleserfingeravtrykket.

I tillegg kan angriperens “skyggekopi” besøke nettsteder som endrer type annonser som leveres til den brukerprofilen, noe som betyr at brukeren vil begynne å motta annonsering som ikke er relatert til deres faktiske nettaktivitet. Videre kan angriperen slutte mye om offeret basert på hvordan andre (uvidende) nettsteder responderer på det forfalskede nettleser-IDet.

Artikkelen heter Gummy Browsers: Targeted Browser Spoofing against State-of-the-Art Fingerprinting Techniques, og kommer fra forskere ved Texas A&M University og University of Florida i Gainesville.

Oversikt over Gummy Browsers-metodologien. Kilde: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

De navngitte “gummy browsers” er klonede kopier av offers nettleser, oppkalt etter “Gummy Fingers”-angrepet som ble rapportert tidlig på 2000-tallet, som repliserte offers faktiske fingeravtrykk med gelatinkopier for å omgå fingeravtrykk-ID-systemer.

Forfatterne skriver:

‘Hovedmålet med Gummy Browsers er å lure nettserveren til å tro at en legitim bruker tilgjenger dens tjenester, så den kan lære sensitive opplysninger om brukeren (f.eks. interessene til brukeren basert på personlige annonser), eller omgå ulike sikkerhetssystemer (f.eks. autentisering og svindelbekjempelse) som avhenger av nettleserfingeravtrykk.’

De fortsetter:

‘Uheldigvis har vi identifisert en betydelig trussel mot slike koblingsalgoritmer. Spesifikt har vi funnet at en angriper kan fange og forfalske nettleseregenskapene til et offers nettleser, og dermed kan “presentere” sin egen nettleser som offers nettleser når den kobler til et nettsted.’

Forfatterne hevder at nettleserfingeravtrykk-kloningsteknikkene de har utviklet truer ‘en ødeleggende og varig innvirkning på nettprivaten og -sikkerheten til brukerne’.

I testing av systemet mot to fingeravtrykk-systemer, FPStalker og Electronic Frontier Foundations Panopticlick, fant forfatterne at deres system kunne simulere den fanget brukerinformasjonen med stor suksess nesten alltid, til tross for at systemet ikke tok hensyn til flere attributter, inkludert TCP/IP-stakk fingeravtrykk, hardwaresensorer og DNS-oppklarere.

Forfatterne hevder også at offeret vil være fullstendig uvitende om angrepet, noe som gjør det vanskelig å omgå.

Metodologi

Nettleserfingeravtrykk-profiler genereres av flere faktorer om hvordan brukerens nettleser er konfigurert. Ironisk nok kan mange av forsvarsmekanismene som er designet for å beskytte personvern, inkludert installering av annonseblokkeringsutvidelser, faktisk gjøre en nettleserfingeravtrykk mer distinkt og enklere å målrette.

Nettleserfingeravtrykk avhenger ikke av informasjonskapsler eller sesjonsdata, men tilbyr en i stor grad uunngåelig øyeblikksbilde av brukerens oppsett til enhver domene som brukeren surfer på, hvis domenen er konfigurert for å utnytte slik informasjon.

Bortsett fra åpenbart skadelig praksis, brukes fingeravtrykk vanligvis for å målrette annonser mot brukere, for svindelbekjempelse, og for brukerautentisering (en grunn til at å legge til utvidelser eller gjøre andre grunnleggende endringer i nettleseren kan føre til at nettsteder krever påny autentisering, basert på at nettleserprofilen har endret seg siden sist besøk).

Metoden foreslått av forskerne krever bare at offeret besøker et nettsted som er konfigurert for å registrere deres nettleserfingeravtrykk – en praksis som en nylig studie estimerte er vanlig på over 10% av de 100 000 beste nettstedene, og som utgjør en del av Google’s Federated Learning of Cohorts (FLOC), søkemotorens foreslåtte alternativ til informasjonskapselbasert sporning. Det er også en sentral teknologi i adtech-plattformer generelt, og nårmer derfor langt flere enn de 10% av nettstedene identifisert i ovennevnte studie.

Typiske aspekter som kan trekkes ut fra en brukers nettleser uten behov for informasjonskapsler.

Identifikatorer som kan trekkes ut fra et brukerbesøk (samlet via JavaScript-APIer og HTTP-headers) til en klonbar nettleserprofil inkluderer språkinnstillinger, operativsystem, nettleserversjon og utvidelser, installerte plug-ins, skjermoppløsning, maskinvare, fargedybde, tidsone, tidsstempel, installerte fonter, canvas-egenskaper, brukeragent-streng, HTTP-forespørselshoder, IP-adresse og enhets språkinnstillinger, blant andre. Uten tilgang til mange av disse egenskapene ville mye av det som forventes av vanlig nettfunksjonalitet ikke være mulig.

Ekstrahering av informasjon via annonsenettverksresponser

Forfatterne påpeker at annonsedata om offeret er ganske enkelt å avsløre ved å imitere deres fanget nettleserprofil, og kan nyttig utnyttes:

‘[Hvis] nettleserfingeravtrykk brukes for personlige og målrettede annonser, vil nettserveren som har en harmløs nettsted, trykke på samme eller lignende annonser på angriperens nettleser som de som ville blitt trykt på offerets nettleser, fordi nettserveren regner angriperens nettleser som offerets nettleser. Basert på personlige annonser (f.eks. relatert til graviditetsprodukter, medisiner og merker), kan angriperen slutte seg til ulike sensitive opplysninger om offeret (f.eks. kjønn, aldersgruppe, helseforhold, interesser, lønnsnivå osv.), og til og med bygge en personlig atferdsprofil av offeret.

‘Lekasjen av slik personlig og privat informasjon kan reise en fryktelig personverntrussel for brukeren.’

Ettersom nettleserfingeravtrykk endrer seg over tid, vil å holde brukeren komme tilbake til angrepsnettsiden holde den klonede profilen oppdatert, men forfatterne hevder at en enkelt kloning kan likevel aktivere overraskende lange angrepsperioder.

Brukerautentiseringsspoofing

Å få et autentiseringssystem til å avvise tofaktorautentisering er en gevinst for cyberkriminelle. Som forfatterne av den nye artikkelen påpeker, bruker mange nåværende autentiseringsrammer (2FA) en “gjenkjent” antatt nettleserprofil for å assosiere kontoen med brukeren. Hvis nettstedets autentiseringsystemer er tilfreds med at brukeren prøver å logge inn på en enhet som ble brukt ved siste suksessfulle innlogging, kan det, for brukerens behagelighet, ikke kreve 2FA.

Forfatterne observerer at Oracle, InAuth og SecureAuth IdP alle praktiserer en form for denne “kontrollhoppingen”, basert på en brukers registrerte nettleserprofil.

Svindelbekjempelse

Forskjellige sikkerhetstjenester bruker nettleserfingeravtrykk som et verktøy for å bestemme sannsynligheten for at en bruker er engasjert i svindelaktiviteter. Forskerne påpeker at Seon og IPQualityScore er to slike selskaper.

Derfor er det mulig, gjennom den foreslåtte metodologien, å enten urettferdig karakterisere brukeren som en svindler ved å bruke “skyggeprofilen” til å utløse terskler for slike systemer, eller å bruke den stjålne profilen som en “skjegg” for ekte forsøk på svindel, og avlede forensisk analyse av profilen bort fra angriperen og mot offeret.

Tre angrepsflater

Artikkelen foreslår tre måter som Gummy Browser-systemet kan brukes mot et offer: Acquire-Once-Spoof-Once innebærer å tilegne seg offerets nettleser-ID i støtte for en enkeltangrep, som et forsøk på å få tilgang til et beskyttet domene i forkledning som brukeren. I dette tilfelle er “alderen” på ID-en irrelevant, siden informasjonen håndteres raskt og uten oppfølging.

I en annen tilnærming, Acquire-Once-Spoof-Frequently, søker angriperen å utvikle en profil av offeret ved å observere hvordan nettservere responderer på deres profil (dvs. annonseservere som leverer bestemt innhold basert på en “kjent” bruker som allerede har en nettleserprofil assosiert med dem).

Til slutt er Acquire-Frequently-Spoof-Frequently en lengrevarig plan designet for å jevnt over tid oppdatere offerets nettleserprofil ved å få offeret til å gjenta besøket på det harmløse eksfiltreringsnettsiden (som kan ha blitt utviklet som en nyhetsnettsted eller blogg, for eksempel). På denne måten kan angriperen utføre svindelbekjempelsesspoofing over en lengre periode.

Ekstrahering og resultater

Spoofing-metodene som brukes av Gummy Browsers består av skriptinjeksjon, bruk av nettleserens innstillinger og feilsøkingsverktøy, og skriptmodifikasjon.

Egenskapene kan eksfiltreres med eller uten JavaScript. For eksempel kan brukeragent-hoder (som identifiserer nettlesermerket, som Chrome, Firefox osv.), bli avledet fra HTTP-hoder, noe av de mest grunnleggende og ikke-blokkerbare informasjonen som er nødvendig for funksjonell nettlesing.

I testing av Gummy Browser-systemet mot FPStalker og Panopticlick, oppnådde forskerne en gjennomsnittlig “eierskap” (av en appropriert nettleserprofil) på over 0,95 over tre fingeravtrykk-algoritmer, og effektuerte en fungerende kopi av den fangede ID-en.

Artikkelen understreker behovet for systemarkitekter å ikke stole på nettleserprofil-egenskaper som en sikkerhetstoken, og kriticiserer implisitt noen av de større autentiseringsrammene som har adoptert denne praksisen, spesielt der det brukes som en metode for å opprettholde “brukervennlighet” ved å omgå eller utsette bruk av tofaktorautentisering.

Forfatterne konkluderer:

‘Virkningen av Gummy Browsers kan være ødeleggende og varig på nettets sikkerhet og personvern for brukerne, spesielt når nettleserfingeravtrykk begynner å bli bredt adoptert i den virkelige verden. I lys av dette angrepet, stiller vårt arbeid spørsmålet om hvorvidt nettleserfingeravtrykk er trygt å deployere på stor skala.’