Ny attack “klonar” och utnyttjar din unika online-ID via browser-fingerprinting

Forskare har utvecklat en metod för att kopiera egenskaperna hos en offers webbläsare med hjälp av browser-fingerprinting-tekniker, och därefter “utge sig för” att vara offret.

Tekniken har flera säkerhetsimplikationer: angriparen kan utföra skadliga eller till och med olagliga online-aktiviteter, och “spåren” av dessa aktiviteter kommer att tillskrivas användaren; och tvåfaktorsautentiseringsskydd kan komprometteras, eftersom en autentiseringswebbplats tror att användaren har identifierats framgångsrikt baserat på den stulna browser-fingerprint-profilen

Dessutom kan angriparens “skuggkopia” besöka webbplatser som ändrar typen av annonser som levereras till den användarprofilen, vilket innebär att användaren kommer att börja ta emot annonsinnehåll som inte är relaterat till deras faktiska surfandeaktiviteter. Dessutom kan angriparen utläsa mycket om offret baserat på hur andra (omedvetna) webbplatser svarar på den spoofade browser-ID:n.

Den artikeln heter Gummy Browsers: Targeted Browser Spoofing against State-of-the-Art Fingerprinting Techniques och kommer från forskare vid Texas A&M University och University of Florida i Gainesville.

Översikt över Gummy Browsers-metodiken. Källa: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

De så kallade “gummy browsers” är klonade kopior av offrets webbläsare, uppkallade efter “Gummy Fingers”-attacken som rapporterades i början av 2000-talet, som replikerade offrets faktiska fingeravtryck med gelékopior för att kringgå fingeravtrycks-ID-system.

Författarna skriver:

‘Gummy Browsers huvudsakliga mål är att lura webbservern att tro att en legitim användare använder dess tjänster, så att den kan lära sig känslig information om användaren (t.ex. användarens intressen baserat på personliga annonser), eller kringgå olika säkerhetssystem (t.ex. autentisering och bedrägeridetektering) som förlitar sig på browser-fingerprinting.’

De fortsätter:

‘Tyvärr identifierar vi en betydande hotvektor mot sådana länkalgoritmer. Specifikt finner vi att en angripare kan fånga och spoofa browser-egenskaperna hos ett offers webbläsare, och därför kan “presentera” sin egen webbläsare som offrets webbläsare när den ansluter till en webbplats.’

Författarna hävdar att de browser-fingerprint-kloningstekniker de har utvecklat hotar ‘en förödande och varaktig inverkan på användarnas online-säkerhet och integritet’.

När de testade systemet mot två fingerprinting-system, FPStalker och Electronic Frontier Foundations Panopticlick, fann författarna att deras system kunde simulera den infångade användarinformationen framgångsrikt nästan alltid, trots att systemet inte tog hänsyn till flera attribut, inklusive TCP/IP-stack fingerprinting, hårdvarusensorer och DNS-resolvrar.

Författarna hävdar också att offret kommer att vara helt omedvetet om attacken, vilket gör det svårt att kringgå.

Metodik

Browser-fingerprinting-profiler genereras av flera faktorer i hur användarens webbläsare är konfigurerad. Ironiskt nog kan många av de försvar som är avsedda att skydda integritet, inklusive installation av annonsblockerings-tillägg, faktiskt göra en browser-fingerprint mer distinkt och lättare att måla.

Browser-fingerprinting är inte beroende av cookies eller sessionsdata, utan erbjuder en i stort sett oundviklig ögonblicksbild av användarens konfiguration till vilken domän som helst som användaren surfar på, om den domänen är konfigurerad för att utnyttja sådan information.

Bortsett från uppenbart skadliga metoder används fingerprinting vanligtvis för att rikta annonser till användare, för bedrägeridetektering och för användarautentisering (en anledning till varför tillägg eller andra grundläggande ändringar i webbläsaren kan orsaka att webbplatser kräver om-autentisering, baserat på det faktum att webbläsarprofilen har ändrats sedan senaste besöket).

Metoden som föreslås av forskarna kräver endast att offret besöker en webbplats som är konfigurerad för att spela in deras browser-fingerprint – en praxis som en nylig studie uppskattade är vanlig på mer än 10% av de 100 000 mest populära webbplatserna, och som utgör en del av Googles Federated Learning of Cohorts (FLOC), sökjättens föreslagna alternativ till cookie-baserad spårning. Det är också en central teknik i adtech-plattformar i allmänhet, och därmed når det långt mer än de 10% av webbplatser som identifierades i den ovannämnda studien.

Typiska aspekter som kan extraheras från en användares webbläsare utan behov av cookies.

Identitetsinformation som kan extraheras från ett användarbesök (insamlat via JavaScript-API:er och HTTP-huvuden) till en klonbar webbläsarprofil inkluderar språkinställningar, operativsystem, webbläsarversioner och tillägg, installerade plugin-program, skärmupplösning, hårdvara, färgdjup, tidszon, tidsstämplar, installerade teckensnitt, canvas-egenskaper, user-agent-sträng, HTTP-begäranhuvuden, IP-adress och enhets-språkinställningar, bland annat. Utan tillgång till många av dessa egenskaper skulle en stor del av den förväntade webbfunktionaliteten inte vara möjlig.

Extrahering av information via annonsnätverksresponser

Författarna påpekar att annonsdata om offret är ganska lätt att exponera genom att utge sig för att vara deras infångade webbläsarprofil, och kan användas på ett användbart sätt:

‘[Om] browser-fingerprinting används för personliga och riktade annonser, kommer webbservern som värd för en oskyldig webbplats att skicka samma eller liknande annonser till angriparens webbläsare som de som skulle ha skickats till offrets webbläsare, eftersom webbservern anser att angriparens webbläsare är offrets webbläsare. Baserat på personliga annonser (t.ex. relaterade till graviditetsprodukter, läkemedel och varumärken) kan angriparen utläsa olika känslig information om offret (t.ex. kön, åldersgrupp, hälsotillstånd, intressen, lönenivå etc.), och till och med skapa en personlig beteendeprofil för offret.

‘Läckage av sådan personlig och privat information kan utgöra en skrämmande integritetsrisk för användaren.’

Eftersom webbläsarfingeravtryck ändras över tid, kommer att hålla användaren att återvända till attackwebbplatsen att hålla den klonade profilen uppdaterad, men författarna hävdar att en engångskloning fortfarande kan möjliggöra förvånansvärt långa effektiva attackperioder.

Användarautentiseringsspoofing

Att få ett autentiseringssystem att avstå från tvåfaktorsautentisering är en vinst för cyberkriminella. Som författarna till den nya artikeln påpekar, använder många nuvarande autentiseringsramverk (2FA) en “erkänd” antagen webbläsarprofil för att associera kontot med användaren. Om webbplatsens autentiseringssystem är nöjda med att användaren försöker logga in på en enhet som användes vid den senaste lyckade inloggningen, kan det, för användarvänlighet, inte kräva 2FA.

Författarna observerar att Oracle, InAuth och SecureAuth IdP alla praktiserar någon form av denna “kontrollhoppning”, baserat på en användares registrerade webbläsarprofil.

Bedrägeridetektering

Olika säkerhetstjänster använder webbläsarfingerprinting som ett verktyg för att bestämma sannolikheten för att en användare är engagerad i bedrägeri. Forskarna påpekar att Seon och IPQualityScore är två sådana företag.

Därför är det möjligt, genom den föreslagna metoden, att antingen orättvist karakterisera användaren som en bedragare genom att använda “skuggprofilen” för att utlösa trösklarna för sådana system, eller använda den stulna profilen som en “skägg” för äkta försök till bedrägeri, och avleda forensisk analys av profilen från angriparen och mot offret.

Tre attackytor

Artikeln föreslår tre sätt som Gummy Browser-systemet kan användas mot ett offer: Acquire-Once-Spoof-Once innebär att man tar över offrets webbläsar-ID för att stödja en engångsattack, till exempel ett försök att få tillgång till ett skyddat domän iklädd användarens skepnad. I detta fall är “åldern” på ID:t ovidkommande, eftersom informationen ageras snabbt och utan uppföljning.

I en andra strategi, Acquire-Once-Spoof-Frequently, söker angriparen efter att utveckla en profil av offret genom att observera hur webbservern svarar på deras profil (dvs. annonservrar som levererar specifik innehåll baserat på antagandet om en “välbekant” användare som redan har en associerad webbläsarprofil).

Till sist är Acquire-Frequently-Spoof-Frequently en långsiktig plan som är avsedd att regelbundet uppdatera offrets webbläsarprofil genom att få offret att upprepa sitt besök på den oskyldiga exfiltreringswebbplatsen (som kan ha utvecklats som en nyhetswebbplats eller blogg, till exempel). På detta sätt kan angriparen utföra bedrägeridetekteringsspoofing under en längre period.

Extrahering och resultat

De spoofing-metoder som används av Gummy Browsers består av skriptinjektion, användning av webbläsarens inställningar och felsökningsverktyg, och skriptmodifikation.

Egenskaperna kan extraheras med eller utan JavaScript. Till exempel kan user-agent-huvuden (som identifierar webbläsarmärket, som Chrome, Firefox etc.), härledas från HTTP-huvuden, som är några av de mest grundläggande och icke-blockerbara uppgifterna som krävs för fungerande webbsurfning.

När de testade Gummy Browser-systemet mot FPStalker och Panopticlick, uppnådde forskarna en genomsnittlig “ägarskap” (av en approprierad webbläsarprofil) på över 0,95 över tre fingerprinting-algoritmer, vilket resulterade i en fungerande klon av den infångade ID:n.

Artikeln betonar behovet av att systemarkitekter inte ska förlita sig på webbläsarprofil-egenskaper som en säkerhetstoken, och implicit kritiserar vissa större autentiseringsramverk som har antagit denna praxis, särskilt där den används som ett sätt att upprätthålla “användarvänlighet” genom att undvika eller skjuta upp användningen av tvåfaktorsautentisering.

Författarna slutsats:

‘Gummy Browsers påverkan kan vara förödande och varaktig på användarnas online-säkerhet och integritet, särskilt med tanke på att webbläsarfingerprinting börjar bli allmänt accepterad i den verkliga världen. I ljuset av denna attack, väcker vårt arbete frågan om webbläsarfingerprinting är säker att distribuera i stor skala.’