Novo Ataque ‘Clona’ e Abusa do Seu ID Online Único via Impressão Digital do Navegador

Pesquisadores desenvolveram um método para copiar as características de um navegador web de uma vítima usando técnicas de impressão digital do navegador, e posteriormente “impersonar” a vítima.

A técnica tem múltiplas implicações de segurança: o atacante pode realizar atividades online prejudiciais ou até ilegais, com o “registro” dessas atividades atribuído ao usuário; e as defesas de autenticação de dois fatores podem ser comprometidas, pois um site de autenticação acredita que o usuário foi reconhecido com sucesso com base no perfil de impressão digital do navegador roubado

Além disso, o “clone sombra” do atacante pode visitar sites que alteram o tipo de anúncios entregues ao perfil do usuário, significando que o usuário começará a receber conteúdo de anúncios não relacionado às suas atividades de navegação reais. Além disso, o atacante pode inferir muito sobre a vítima com base na forma como outros sites (desconhecidos) respondem ao perfil de navegador falsificado.

O artigo é intitulado Navegadores Gummy: Spoofing de Navegador Direcionado contra Técnicas de Impressão Digital de Estado da Arte, e vem de pesquisadores da Universidade Texas A&M e da Universidade da Flórida em Gainesville.

Visão geral da metodologia de Navegadores Gummy. Fonte: https://arxiv.org/pdf/2110.10129.pdf

Navegadores Gummy

Os “navegadores gummy” são cópias clonadas do navegador da vítima, nomeados após o ataque “Gummy Fingers” relatado no início dos anos 2000, que replicou as impressões digitais reais da vítima com cópias de gelatina para contornar os sistemas de identificação por impressão digital.

Os autores afirmam:

‘O objetivo principal dos Navegadores Gummy é enganar o servidor web, fazendo com que ele acredite que um usuário legítimo está acessando seus serviços, para que possa aprender informações sensíveis sobre o usuário (por exemplo, interesses do usuário com base em anúncios personalizados), ou contornar vários esquemas de segurança (por exemplo, autenticação e detecção de fraude) que dependem da impressão digital do navegador.’

Eles continuam:

‘Infelizmente, identificamos um vetor de ameaça significativo contra esses algoritmos de vinculação. Especificamente, descobrimos que um atacante pode capturar e falsificar as características do navegador de uma vítima, e assim pode “apresentar” seu próprio navegador como o navegador da vítima ao se conectar a um site.’

Os autores defendem que as técnicas de clonagem de impressão digital do navegador que desenvolveram ameaçam ‘um impacto devastador e duradouro na privacidade e segurança online dos usuários’.

Ao testar o sistema contra dois sistemas de impressão digital, FPStalker e o Panopticlick da Electronic Frontier Foundation, os autores descobriram que seu sistema foi capaz de simular com sucesso as informações do usuário capturadas quase todas as vezes, apesar de o sistema não levar em conta vários atributos, incluindo impressão digital da pilha TCP/IP, fingerprinting, sensores de hardware e resolvers DNS.

Os autores também defendem que a vítima será completamente inconsciente do ataque, tornando difícil contorná-lo.

Metodologia

As impressões digitais do navegador são geradas por múltiplos fatores da forma como o navegador web do usuário é configurado. Ironia, muitas das defesas projetadas para proteger a privacidade, incluindo a instalação de extensões de bloqueio de anúncios, podem na verdade tornar a impressão digital do navegador mais distinta e fácil de atingir.

A impressão digital do navegador não depende de cookies ou dados de sessão, mas oferece uma visão geral quase inevitável da configuração do usuário para qualquer domínio que o usuário está navegando, se esse domínio estiver configurado para explorar essas informações.

Além de práticas maliciosas óbvias, a impressão digital é normalmente usada para direcionar anúncios aos usuários, para detecção de fraude, e para autenticação do usuário (um dos motivos pelos quais adicionar extensões ou fazer outras alterações principais no navegador pode fazer com que os sites exijam reautenticação, com base no fato de que o perfil do navegador mudou desde a última visita).

O método proposto pelos pesquisadores só requer que a vítima visite um site configurado para registrar a impressão digital do navegador – uma prática que um estudo recente estimou é prevalente em mais de 10% dos 100.000 principais sites, e que forma parte do Federated Learning of Cohorts (FLOC), a alternativa proposta pelo gigante de busca para o rastreamento baseado em cookies. É também uma tecnologia central em plataformas de adtech em geral, portanto alcançando muito mais do que os 10% de sites identificados no estudo mencionado acima.

Facetas típicas que podem ser extraídas de um navegador de um usuário sem a necessidade de cookies.

Identificadores que podem ser extraídos de uma visita do usuário (coletados via APIs JavaScript e cabeçalhos HTTP) em um perfil de navegador clonável incluem configurações de idioma, sistema operacional, versões e extensões do navegador, plugins instalados, resolução da tela, hardware, profundidade de cor, fuso horário, carimbos de data e hora, fontes instaladas, características do canvas, string do agente do usuário, cabeçalhos de solicitação HTTP, endereço IP e configurações de idioma do dispositivo, entre outros. Sem acesso a muitas dessas características, uma grande parte da funcionalidade web comum não seria possível.

Extração de Informações por meio de Respostas de Redes de Anúncios

Os autores observam que os dados de anúncios sobre a vítima são bastante fáceis de expor ao falsificar o perfil de navegador capturado, e podem ser usados de forma útil:

‘[Se] a impressão digital do navegador for empregada para anúncios personalizados e direcionados, o servidor web, que hospeda um site benigno, enviaria os mesmos ou anúncios semelhantes para o navegador do atacante como os que seriam enviados para o navegador da vítima, porque o servidor web considera o navegador do atacante como o navegador da vítima. Com base nos anúncios personalizados (por exemplo, relacionados a produtos de gravidez, medicamentos e marcas), o atacante pode inferir várias informações sensíveis sobre a vítima (por exemplo, gênero, faixa etária, condição de saúde, interesses, nível de salário, etc.), até mesmo construir um perfil comportamental da vítima.

‘A vazamento de tais informações pessoais e privadas pode representar uma ameaça de privacidade aterrorizante para o usuário.’

Como as impressões digitais do navegador mudam ao longo do tempo, manter o usuário retornando ao site de ataque manterá o perfil clonado atualizado, mas os autores defendem que uma clonagem única pode ainda permitir períodos de ataque surpreendentemente longos.

Spoofing de Autenticação de Usuário

Obter um sistema de autenticação para dispensar a autenticação de dois fatores é um benefício para os cibercriminosos. Como os autores do novo artigo observam, muitos quadros de autenticação atuais (2FA) usam um perfil de navegador “reconhecido” para associar a conta ao usuário. Se os sistemas de autenticação do site estiverem satisfeitos de que o usuário está tentando fazer login em um dispositivo que foi usado no último login bem-sucedido, pode, para conveniência do usuário, não exigir 2FA.

Os autores observam que Oracle, InAuth e SecureAuth IdP todos praticam alguma forma de “verificação de saltos”, com base em um perfil de navegador registrado do usuário.

Detecção de Fraude

Vários serviços de segurança usam a impressão digital do navegador como uma ferramenta para determinar a probabilidade de que um usuário esteja envolvido em atividades fraudulentas. Os pesquisadores observam que Seon e IPQualityScore são duas dessas empresas.

Portanto, é possível, por meio da metodologia proposta, caracterizar injustamente o usuário como um fraude usando o “perfil sombra” para acionar os limites desses sistemas, ou usar o perfil roubado como uma “barba” para tentativas reais de fraude, desviando a análise forense do perfil longe do atacante e em direção à vítima.

Três Superfícies de Ataque

O artigo propõe três maneiras pelas quais o sistema de Navegadores Gummy pode ser usado contra uma vítima: Adquirir-Uma-Vez-Falsificar-Uma-Vez envolve apropriação do ID do navegador da vítima em apoio a um ataque único, como uma tentativa de obter acesso a um domínio protegido disfarçado de usuário. Nesse caso, a “idade” do ID é irrelevante, desde que as informações sejam agidas rapidamente e sem follow-up.

Em uma segunda abordagem, Adquirir-Uma-Vez-Falsificar-Frequentemente, o atacante busca desenvolver um perfil da vítima observando como os servidores web respondem ao seu perfil (ou seja, servidores de anúncios que entregam conteúdo específico com base na suposição de um usuário “familiar” que já tem um perfil de navegador associado a ele).

Finalmente, Adquirir-Frequentemente-Falsificar-Frequentemente é uma manobra de longo prazo projetada para atualizar regularmente o perfil do navegador da vítima, fazendo com que a vítima repita sua visita ao site de exfiltração inócuo (que pode ter sido desenvolvido como um site de notícias ou blog, por exemplo). Dessa forma, o atacante pode executar spoofing de detecção de fraude por um período de tempo mais longo.

Extração e Resultados

Os métodos de spoofing usados pelos Navegadores Gummy incluem injeção de script, uso das configurações e ferramentas de depuração do navegador, e modificação de script.

As características podem ser exfiltradas com ou sem JavaScript. Por exemplo, cabeçalhos do agente do usuário (que identificam a marca do navegador, como Chrome, Firefox, etc.), podem ser derivados de cabeçalhos HTTP, algumas das informações mais básicas e não bloqueáveis necessárias para navegação web funcional.

Ao testar o sistema de Navegadores Gummy contra FPStalker e Panopticlick, os pesquisadores alcançaram uma “propriedade” (de um perfil de navegador apropriado) de mais de 0,95 em três algoritmos de impressão digital, efetando uma cópia funcional do ID capturado.

O artigo enfatiza a necessidade de os arquitetos de sistemas não confiarem nas características do perfil do navegador como um token de segurança, e implicitamente critica alguns dos principais quadros de autenticação que adotaram essa prática, especialmente onde é usada como um método de manter “amizade do usuário” ao evitar ou adiar o uso de autenticação de dois fatores.

Os autores concluem:

‘O impacto dos Navegadores Gummy pode ser devastador e duradouro na segurança e privacidade online dos usuários, especialmente considerando que a impressão digital do navegador está começando a ser amplamente adotada no mundo real. À luz desse ataque, nosso trabalho levanta a questão de se a impressão digital do navegador é segura para ser implantada em larga escala.’