Atac Nou ‘Clona’ și Abuzează Identitatea Dvs. Unică Online prin Amprentarea Browserului

Cercetătorii au dezvoltat o metodă pentru a copia caracteristicile unui browser web al unei victime utilizând tehnici de amprentare a browserului și, ulterior, pentru a “impersona” victima.

Te hnica are multiple implicații de securitate: atacatorul poate efectua activități online dăunătoare sau chiar ilegale, cu “înregistrarea” acestor activități atribuită utilizatorului; și sistemele de autentificare cu doi factori pot fi compromise, deoarece un site de autentificare consideră că utilizatorul a fost recunoscut cu succes, pe baza profilului de amprentare a browserului furat

În plus, “clona de umbră” a atacatorului poate vizita site-uri care schimbă tipul de reclame livrate către profilul utilizatorului, ceea ce înseamnă că utilizatorul va începe să primească conținut publicitar nelated de activitățile sale reale de navigare. Mai mult, atacatorul poate deduce multe despre victimă pe baza modului în care alte site-uri (neștiutoare) răspund la ID-ul de browser falsificat.

Articolul științific se intitulează Browsere cu guma: atacuri țintite de spoofing împotriva tehnicilor de amprentare a browserului de ultimă generație și provine de la cercetători de la Universitatea Texas A&M și Universitatea Florida din Gainesville.

Arhitectura metodei Gummy Browsers. Sursa: https://arxiv.org/pdf/2110.10129.pdf

Browsere cu guma

Browserele “cu guma” sunt copii ale browserului victimei, numite după atacul “Gummy Fingers” raportat la începutul anilor 2000, care a replicat amprentele victimei cu copii de gelatină pentru a ocoli sistemele de identificare prin amprentă.

Autorii afirmă:

‘Principalul scop al Browserelor cu guma este să păcălească serverul web să creadă că un utilizator legitim accesează serviciile sale, astfel încât să poată afla informații sensibile despre utilizator (de exemplu, interesele utilizatorului pe baza reclamelor personalizate) sau să ocolească diverse scheme de securitate (de exemplu, autentificare și detectare a fraudei) care se bazează pe amprentarea browserului.’

Ei continuă:

‘Din nefericire, identificăm un vector de atac semnificativ împotriva acestor algoritmi de legătură. În special, constatăm că un atacator poate captura și falsifica caracteristicile browserului unei victime și, prin urmare, poate “prezenta” propriul browser ca fiind al victimei atunci când se conectează la un site web.’

Autorii susțin că tehnica de clonare a amprentării browserului pe care au dezvoltat-o amenință ‘un impact devastator și de durată asupra securității și intimității online a utilizatorilor’.

În testarea sistemului împotriva a două sisteme de amprentare, FPStalker și Panopticlick, autorii au constatat că sistemul lor a putut simula informațiile utilizatorului capturate cu succes aproape întotdeauna, în ciuda faptului că sistemul nu a luat în considerare mai multe atribute, inclusiv amprentarea stivei TCP/IP, amprentarea stivei TCP/IP, senzorii hardware și rezolutorii DNS.

Autorii afirmă, de asemenea, că victima va fi complet inconștientă de atac, ceea ce face dificilă ocolirea.

Metodologia

Profilurile de amprentare a browserului sunt generate de multiple factori ai modului în care browserul web al utilizatorului este configurat. În mod ironic, multe dintre apărările proiectate pentru a proteja intimitatea, inclusiv instalarea de extensii de blocare a reclamelor, pot face ca amprentarea browserului să fie mai distinctă și mai ușor de țintit.

Amprentarea browserului nu depinde de cookie-uri sau date de sesiune, ci oferă o imagine în mare măsură inevitabilă a configurării utilizatorului oricărui domeniu pe care utilizatorul îl navighează, dacă acel domeniu este configurat pentru a exploata astfel de informații.

În afara practicilor evident dăunătoare, amprentarea este utilizată în mod normal pentru a ținti reclame la utilizatori, pentru detectarea fraudei și pentru autentificarea utilizatorului (un motiv pentru care adăugarea de extensii sau modificarea altor configurații de bază ale browserului poate determina site-urile să ceară reautentificare, pe baza faptului că profilul browserului s-a schimbat de la ultima vizită).

Metoda propusă de cercetători necesită doar ca victima să viziteze un site web care este configurat pentru a înregistra amprentarea browserului – o practică pe care o studiu recent a estimat că este răspândită pe mai mult de 10% din primele 100.000 de site-uri web și care face parte din Federated Learning of Cohorts (FLOC), alternativa propusă de Google la urmărirea bazată pe cookie-uri. De asemenea, este o tehnologie centrală în platformele de publicitate în general, deci ajungând mult mai mult decât cele 10% din site-urile identificate în studiul menționat mai sus.

Aspecte tipice care pot fi extrase dintr-un browser al utilizatorului fără a necesita cookie-uri.

Identificatorii care pot fi extrase dintr-o vizită a utilizatorului (colectate prin API-uri JavaScript și antete HTTP) într-un profil de browser clonabil includ setări de limbă, sistem de operare, versiuni de browser și extensii, plugin-uri instalate, rezoluție de ecran, hardware, adâncime de culoare, fus orar, ștampile de timp, fonturi instalate, caracteristici de canvas, șir de agent utilizator, antete de cerere HTTP, adresă IP și setări de limbă a dispozitivului, printre altele. Fără acces la multe dintre aceste caracteristici, o mare parte din funcționalitatea web obișnuită nu ar fi posibilă.

Extragerea de informații prin răspunsuri de rețea de publicitate

Autorii observă că datele de publicitate despre victimă sunt destul de ușor de expus prin impersonarea profilului de browser capturat și pot fi utilizate în mod util:

‘[Dacă] amprentarea browserului este utilizată pentru reclame personalizate și țintite, serverul web care găzduiește un site web inofensiv va trimite aceleași reclame sau reclame similare către browserul atacatorului, așa cum ar fi trimise către browserul victimei, deoarece serverul web consideră browserul atacatorului ca fiind browserul victimei. Pe baza reclamelor personalizate (de exemplu, legate de produse pentru sarcină, medicamente și mărci), atacatorul poate deduce diverse informații sensibile despre victimă (de exemplu, sex, grup de vârstă, stare de sănătate, interese, nivel de salariu etc.), ba chiar poate crea un profil comportamental personal al victimei.

‘Scurgerea unor astfel de informații personale și private poate ridica o amenințare îngrozitoare la adresa intimității utilizatorului.’

Deoarece amprentele browserului se schimbă în timp, menținerea utilizatorului care revine pe site-ul de atac va păstra profilul clonat actualizat, dar autorii susțin că o clonare unică poate permite perioade de atac surprinzător de lungi.

Spoofing de autentificare a utilizatorului

A obține un sistem de autentificare care să renunțe la autentificarea cu doi factori este un avantaj pentru criminalii cibernetici. Așa cum observă autorii noului articol, multe cadre de autentificare actuale (2FA) utilizează un profil de browser “recunoscut” pentru a asocia contul cu utilizatorul. Dacă sistemele de autentificare ale site-ului sunt mulțumite că utilizatorul încearcă să se autentifice pe un dispozitiv care a fost utilizat la ultima autentificare reușită, este posibil să nu ceară autentificare cu doi factori.

Autorii observă că Oracle, InAuth și SecureAuth IdP toate practică o formă de “saltare a verificării”, pe baza unui profil de browser înregistrat al utilizatorului.

Detectarea fraudei

Diverse servicii de securitate utilizează amprentarea browserului ca instrument pentru a determina probabilitatea ca un utilizator să fie implicat în activități frauduloase. Cercetătorii observă că Seon și IPQualityScore sunt două astfel de companii.

Prin urmare, este posibil, prin metodologia propusă, să caracterizați în mod injust utilizatorul ca fiind un fraudator prin utilizarea “profilului de umbră” pentru a declanșa pragurile unor astfel de sisteme sau să utilizați profilul furat ca “barbă” pentru încercări reale de fraudă, deviind analiza forensică a profilului de la atacator către victimă.

Trei suprafețe de atac

Articolul propune trei moduri în care sistemul Browser cu guma ar putea fi utilizat împotriva unei victime: Obține-Odată-Spoof-Odată implică însușirea ID-ului de browser al victimei în sprijinul unui atac unic, cum ar fi o încercare de a obține acces la un domeniu protejat sub masca utilizatorului. În acest caz, “vârsta” ID-ului este irelevantă, deoarece informația este acționată rapid și fără urmărire.

Într-o a doua abordare, Obține-Odată-Spoof-Des, atacatorul încearcă să dezvolte un profil al victimei prin observarea modului în care serverele web răspund la profilul său (de exemplu, servere de reclame care livrează conținut specific, presupunând un utilizator “familiar” care are deja un profil de browser asociat cu el).

În final, Obține-Des-Spoof-Des este o strategie pe termen lung, proiectată pentru a actualiza în mod regulat profilul de browser al victimei, făcând ca victima să revină pe site-ul de exfiltrare inofensiv (care ar putea fi dezvoltat ca un site de știri sau blog, de exemplu). În acest fel, atacatorul poate executa spoofing de detectare a fraudei pe o perioadă mai lungă de timp.

Extracția și rezultatele

Metodele de spoofing utilizate de Browserele cu guma cuprind injecția de script, utilizarea setărilor și instrumentelor de depanare ale browserului și modificarea scriptului.

Caracteristicile pot fi extrase cu sau fără JavaScript. De exemplu, antetele de agent utilizator (care identifică marca browserului, cum ar fi Chrome, Firefox etc.), pot fi derivate din antetele HTTP, unele dintre cele mai de bază și informații non-blocabile necesare pentru navigarea web funcțională.

În testarea sistemului Gummy Browser împotriva FPStalker și Panopticlick, cercetătorii au obținut o “proprietate” medie a unui profil de browser capturat de peste 0,95 pe trei algoritmi de amprentare, efectuând o clonă funcțională a ID-ului capturat.

Articolul subliniază nevoia ca arhitecții de sisteme să nu se bazeze pe caracteristicile profilului de browser ca token de securitate și critică implicit unele dintre cele mai mari cadre de autentificare care au adoptat această practică, în special atunci când este utilizată ca metodă de menținere a “prieteniei” cu utilizatorul, prin anularea sau amânarea utilizării autentificării cu doi factori.

Autorii concluzionează:

‘Impactul Browerelor cu guma poate fi devastator și de durată asupra securității și intimității online a utilizatorilor, mai ales având în vedere că amprentarea browserului începe să fie adoptată pe scară largă în lumea reală. În lumina acestui atac, lucrarea noastră ridică întrebarea dacă amprentarea browserului este sigură pentru a fi implementată pe scară largă.’