การโจมตีแบบใหม่ ‘คล론’ และละเมิด ID ออนไลน์เฉพาะของคุณผ่าน Browser Fingerprinting

นักวิจัยได้พัฒนา方法ในการคัดลอกคุณลักษณะของเว็บเบราว์เซอร์ของเหยื่อโดยใช้เทคนิค Browser Fingerprinting และจากนั้น ‘ปลอมตัว’ เป็นเหยื่อ

เทคนิคนี้มีผลกระทบด้านความปลอดภัยหลายประการ: ผู้โจมตีสามารถดำเนินการออนไลน์ที่เป็นอันตรายหรือผิดกฎหมาย โดยมี ‘บันทึก’ ของกิจกรรมเหล่านั้นถูกมอบให้กับผู้ใช้; และระบบป้องกันการยืนยันตัวตนแบบสองปัจจัยสามารถถูกบุกรุกได้ เนื่องจากเว็บไซต์ยืนยันตัวตนเชื่อว่าผู้ใช้ได้รับการยืนยันตัวตนที่ประสบความสำเร็จตามโปรไฟล์ Browser Fingerprint ที่ถูกขโมย

นอกจากนี้ ‘ 影子คลอน’ ของผู้โจมตีสามารถเยี่ยมชมเว็บไซต์ที่เปลี่ยนประเภทของโฆษณาที่ส่งไปยังโปรไฟล์ผู้ใช้นั้น ซึ่งหมายความว่าผู้ใช้จะเริ่มรับโฆษณาที่ไม่เกี่ยวข้องกับการท่องเว็บจริงของพวกเขา นอกจากนี้ ผู้โจมตียังสามารถอนุมานได้มากมายเกี่ยวกับเหยื่อตามวิธีที่เว็บไซต์อื่น ๆ (ที่ไม่รู้ตัว) ตอบสนองต่อ ID เบราว์เซอร์ที่ปลอมตัว

เอกสารวิจัย paper มีชื่อเรื่องว่า Gummy Browsers: Targeted Browser Spoofing against State-of-the-Art Fingerprinting Techniques และมาจากนักวิจัยที่ Texas A&M University และ University of Florida at Gainesville

ภาพรวมของวิธีการ Gummy Browsers Source: https://arxiv.org/pdf/2110.10129.pdf

Gummy Browsers

‘เบราว์เซอร์ Gummy’ ที่มีชื่อเดียวกันคือสำเนาของเบราว์เซอร์ของเหยื่อ ซึ่งได้รับการตั้งชื่อตาม ‘Gummy Fingers’ ที่รายงานในต้นปี 2000 ซึ่ง ทำซ้ำลายนิ้วมือของเหยื่อ ด้วยสำเนาเจลาตินเพื่อหลบหลีกระบบยืนยันตัวตนด้วยลายนิ้วมือ

ผู้เขียนระบุว่า:

‘วัตถุประสงค์หลักของ Gummy Browsers คือการหลอกให้เซิร์ฟเวอร์เว็บเชื่อว่าผู้ใช้จริงกำลังเข้าถึงบริการของตน เพื่อให้สามารถเรียนรู้ข้อมูลที่ละเอียดอ่อนเกี่ยวกับผู้ใช้ (เช่น ความสนใจของผู้ใช้ตามโฆษณาที่เปิดเผย) หรือหลบหลีกกลไกความปลอดภัยต่างๆ (เช่น การยืนยันตัวตนและตรวจจับการฉ้อโกง) ที่พึ่งพาการระบุเบราว์เซอร์’

พวกเขายังคง:

‘ไม่น่าดีใจที่เราพบเวกเตอร์ภัยคุกคามที่สำคัญต่ออัลกอริทึมการเชื่อมโยงเหล่านี้ โดยเฉพาะอย่างยิ่ง เราพบว่าผู้โจมตีสามารถจับและปลอมตัวลักษณะของเบราว์เซอร์ของเหยื่อได้ และดังนั้นจึงสามารถ ‘นำเสนอ’ เบราว์เซอร์ของตนเองเป็นเบราว์เซอร์ของเหยื่อเมื่อเชื่อมต่อกับเว็บไซต์’

ผู้เขียนยังอ้างว่าเทคนิคการปลอมตัวเบราว์เซอร์ที่พวกเขาพัฒนามาเป็นภัยคุกคามที่ ‘รุนแรงและยาวนาน’ ต่อความเป็นส่วนตัวและความปลอดภัยออนไลน์ของผู้ใช้

ในการทดสอบระบบกับสองระบบการระบุเบราว์เซอร์ FPStalker และ Panopticlick ของ Electronic Frontier Foundation ผู้เขียนพบว่าระบบของพวกเขาสามารถจำลองข้อมูลผู้ใช้ที่จับได้สำเร็จเกือบทุกครั้ง แม้ว่าระบบจะไม่คำนึงถึงคุณลักษณะบางอย่าง เช่น การระบุเบราว์เซอร์ TCP/IP stack fingerprinting ซอฟต์แวร์ ฮาร์ดแวร์ และ DNS resolvers

ผู้เขียนยังอ้างว่าเหยื่อจะไม่รู้ตัวถึงการโจมตี ทำให้ยากต่อการหลีกเลี่ยง

วิธีการ

การระบุเบราว์เซอร์ สร้างโปรไฟล์โดยหลายปัจจัยของการกำหนดค่าเบราว์เซอร์ของผู้ใช้ ในทางกลับกัน การป้องกันความเป็นส่วนตัวหลายอย่าง รวมถึงการติดตั้งเบราว์เซอร์แบบบล็อกโฆษณา สามารถทำให้โปรไฟล์เบราว์เซอร์ มีเอกลักษณ์และง่ายต่อการโจมตี ได้

การระบุเบราว์เซอร์ไม่ขึ้นอยู่กับคุกกี้หรือข้อมูลเซสชัน แต่ให้ภาพรวมของการตั้งค่าของผู้ใช้ที่ไม่สามารถหลีกเลี่ยงได้สำหรับโดเมนที่ผู้ใช้กำลังท่องเว็บ หากโดเมนนั้นถูกกำหนดให้ใช้ข้อมูลดังกล่าว

การระบุเบราว์เซอร์โดยทั่วไปใช้เพื่อโฆษณาที่มุ่งเป้าไปที่ผู้ใช้ สำหรับ การตรวจจับการฉ้อโกง และสำหรับ การยืนยันตัวตนผู้ใช้ (หนึ่งในเหตุผลที่การเพิ่มส่วนขยายหรือการเปลี่ยนแปลงหลักอื่น ๆ ของเบราว์เซอร์อาจทำให้เว็บไซต์ต้องการการยืนยันตัวตนใหม่ เนื่องจากโปรไฟล์เบราว์เซอร์ได้เปลี่ยนแปลงตั้งแต่การเข้าชมครั้งสุดท้าย)

วิธีการที่ผู้วิจัยเสนอเพียงต้องการให้เหยื่อเข้าชมเว็บไซต์ที่กำหนดให้บันทึกการระบุเบราว์เซอร์ของพวกเขา – การปฏิบัติที่การศึกษาล่าสุด ประมาณการ ว่าเป็นที่นิยมมากกว่า 10% ของเว็บไซต์ที่ดีที่สุด 100,000 และซึ่ง เป็นส่วนหนึ่ง ของ Federated Learning of Cohorts (FLOC) ของ Google ซึ่งเป็นทางเลือกที่เสนอของ Google สำหรับการติดตามแบบใช้คุกกี้ นอกจากนี้ยังเป็น เทคโนโลยีหลักในแพลตฟอร์ม Adtech โดยทั่วไป ดังนั้นจึงครอบคลุมมากกว่า 10% ของเว็บไซต์ที่ระบุไว้ในการศึกษาที่กล่าวถึงข้างต้น

แง่มุมทั่วไปที่สามารถถูกดึงออกมาจากเบราว์เซอร์ของผู้ใช้โดยไม่ต้องใช้คุกกี้

ตัวระบุหลายอย่างที่สามารถดึงออกมาจากผู้ใช้ (รวบรวมผ่าน API JavaScript และ HTTP headers) ไปยังโปรไฟล์เบราว์เซอร์ที่สามารถคลอนได้ รวมถึงการตั้งค่าภาษา ระบบปฏิบัติการ เวอร์ชันเบราว์เซอร์และส่วนขยายที่ติดตั้ง ปลั๊กอิน ฮาร์ดแวร์ ความละเอียดหน้าจอ ความลึกสี โซนเวลา ไทม์สตัมป์ ฟอนต์ที่ติดตั้ง คุณลักษณะของแคนวาส สตริงผู้ใช้ HTTP headers IP address และการตั้งค่าภาษาอุปกรณ์ เป็นต้น หากไม่มีการเข้าถึงลักษณะเหล่านี้หลายอย่าง ฟังก์ชันเว็บทั่วไปหลายอย่างจะไม่สามารถทำงานได้

การดึงข้อมูลผ่านการตอบสนองของเครือข่ายโฆษณา

ผู้เขียนระบุว่าข้อมูลโฆษณาเกี่ยวกับเหยื่อนั้นสามารถเปิดเผยได้ง่ายโดยการปลอมตัวโปรไฟล์เบราว์เซอร์ที่จับได้ และสามารถ ใช้ประโยชน์ได้:

‘[หาก] การระบุเบราว์เซอร์ถูกนำมาใช้สำหรับโฆษณาที่มุ่งเป้าและเป็นส่วนตัว เว็บไซต์จะส่งโฆษณาเดียวกันหรือคล้ายกันไปยังเบราว์เซอร์ของผู้โจมตีเหมือนกับที่จะส่งไปยังเบราว์เซอร์ของเหยื่อ เนื่องจากเว็บไซต์ถือว่าเบราว์เซอร์ของผู้โจมตีเป็นของเหยื่อ จากโฆษณาที่มุ่งเป้า (เช่น สินค้าเกี่ยวกับการตั้งครรภ์ ยา และยี่ห้อ) ผู้โจมตีสามารถอนุมานข้อมูลที่ละเอียดอ่อนเกี่ยวกับเหยื่อ (เช่น เพศ อายุ กลุ่มสุขภาพ ความสนใจ ระดับรายได้ ฯลฯ) และสร้างโปรไฟล์พฤติกรรมส่วนบุคคลของเหยื่อได้’

‘การรั่วไหลของข้อมูลส่วนบุคคลและเป็นส่วนตัวดังกล่าวสามารถก่อให้เกิดภัยคุกคามด้านความเป็นส่วนตัวที่น่ากลัวต่อผู้ใช้’

เนื่องจากการระบุเบราว์เซอร์เปลี่ยนแปลงไปตามเวลา การทำให้ผู้ใช้กลับมาที่ไซต์จะทำให้โปรไฟล์คลอนยังคงอัปเดต แต่ผู้เขียนยังคงรักษาว่าการปลอมตัวครั้งเดียวสามารถทำให้เกิดการโจมตีที่มีประสิทธิภาพได้นาน

การปลอมตัวการยืนยันตัวตนผู้ใช้

การทำให้ระบบการยืนยันตัวตนทำให้หลีกเลี่ยงการยืนยันตัวตนด้วยสองปัจจัยเป็นเรื่องที่ดีสำหรับอาชญากรไซเบอร์ ตามที่ผู้เขียนของเอกสารวิจัยใหม่ระบุว่าหลายเฟรมเวิร์กการยืนยันตัวตนที่มีอยู่ (2FA) ใช้โปรไฟล์เบราว์เซอร์ที่ ‘รู้จัก’ เพื่อเชื่อมโยงบัญชีกับผู้ใช้ หากระบบการยืนยันตัวตนที่ไซต์เชื่อว่าผู้ใช้กำลังพยายามเข้าสู่ระบบจากอุปกรณ์ที่ใช้ในการเข้าสู่ระบบสำเร็จครั้งสุดท้าย อาจไม่ต้องการการยืนยันตัวตนด้วยสองปัจจัยเพื่อความสะดวกของผู้ใช้

ผู้เขียนสังเกตว่า Oracle InAuth และ SecureAuth IdP ทั้งหมดใช้รูปแบบการ ‘การข้ามการตรวจสอบ’ ตามโปรไฟล์เบราว์เซอร์ของผู้ใช้

การตรวจจับการฉ้อโกง

บริการความปลอดภัยหลายอย่างใช้การระบุเบราว์เซอร์เป็นเครื่องมือในการกำหนดความน่าจะเป็นที่ผู้ใช้จะเกี่ยวข้องกับการกระทำที่ฉ้อโกง ผู้วิจัยระบุว่า Seon และ IPQualityScore เป็นสองบริษัทดังกล่าว

ดังนั้นจึงเป็นไปได้ที่จะใช้วิธีการที่เสนอเพื่อทำให้ผู้ใช้ถูกมองว่าเป็นการฉ้อโกงโดยใช้ ‘โปรไฟล์เงา’ เพื่อกระตุ้นให้ระบบเหล่านี้ถึงขีดจำกัด หรือใช้โปรไฟล์ที่ถูกขโมยเป็น ‘หน้ากาก’ สำหรับการพยายามฉ้อโกงที่แท้จริง โดยเบี่ยงเบนการวิเคราะห์เชิงลึกของโปรไฟล์ออกจากผู้โจมตีและไปยังเหยื่อ

พื้นผิวการโจมตีสามประการ

เอกสารวิจัยเสนอสามวิธีที่ระบบ Gummy Browser อาจถูกนำมาใช้เพื่อโจมตีเหยื่อ: Acquire-Once-Spoof-Once เกี่ยวข้องกับการยึด ID เบราว์เซอร์ของเหยื่อเพื่อสนับสนุนการโจมตีครั้งเดียว เช่น การพยายามเข้าถึงโดเมนที่ได้รับการคุ้มครองในนามของผู้ใช้ ในกรณีนี้ ‘อายุ’ ของ ID ไม่สำคัญ เนื่องจากข้อมูลถูกดำเนินการอย่างรวดเร็วและไม่มีการติดตาม

ในแนวทางที่สอง Acquire-Once-Spoof-Frequently ผู้โจมตีพยายามพัฒนโปรไฟล์ของเหยื่อโดยการสังเกตว่าเซิร์ฟเวอร์เว็บตอบสนองต่อโปรไฟล์ของพวกเขา (เช่น เซิร์ฟเวอร์โฆษณาที่ส่งเนื้อหาที่เฉพาะเจาะจงไปยังผู้ใช้ที่ ‘คุ้นเคย’ ที่มีโปรไฟล์เบราว์เซอร์ที่เกี่ยวข้องกับพวกเขา)

สุดท้าย Acquire-Frequently-Spoof-Frequently เป็นกลยุทธ์ระยะยาวที่ออกแบบมาเพื่ออัปเดตโปรไฟล์เบราว์เซอร์ของเหยื่อโดยการทำให้เหยื่อซ้ำการเข้าชมไซต์ที่ไม่เป็นอันตราย (ซึ่งอาจถูกพัฒนาเป็นไซต์ข่าวหรือบล็อก) ในวิธีนี้ ผู้โจมตีสามารถดำเนินการปลอมตัวการตรวจจับการฉ้อโกงได้เป็นเวลานาน

การดึงข้อมูลและผลลัพธ์

วิธีการปลอมตัวที่ใช้โดย Gummy Browsers ประกอบด้วยการฉีดสคริปต์ การใช้การตั้งค่าเบราว์เซอร์และเครื่องมือการแก้ปัญหา และการดัดแปลงสคริปต์

คุณลักษณะสามารถถูกดึงออกมาได้ด้วยหรือไม่มี JavaScript ตัวอย่างเช่น หัวข้อ user-agent (ซึ่งระบุยี่ห้อของเบราว์เซอร์ เช่น Chrome Firefox ฯลฯ) สามารถอนุมานได้จาก HTTP headers ซึ่งเป็นข้อมูลพื้นฐานที่จำเป็นสำหรับการท่องเว็บแบบใช้งาน

ในการทดสอบระบบ Gummy Browser กับ FPStalker และ Panopticlick ผู้วิจัยบรรลุผลการ ‘เป็นเจ้าของ’ (ของโปรไฟล์เบราว์เซอร์ที่จับได้) มากกว่า 0.95 ในสามอัลกอริธึมการระบุเบราว์เซอร์ ทำให้เกิดการจำลองโปรไฟล์ที่จับได้สำเร็จ

เอกสารวิจัยเน้นย้ำถึงความจำเป็นสำหรับนักออกแบบระบบในการไม่พึ่งพาลักษณะโปรไฟล์เบราว์เซอร์เป็นโทเค็นความปลอดภัย และโดยนัยวิพากษ์วิจารณ์เฟรมเวิร์กการยืนยันตัวตนที่ใหญ่กว่าบางตัวที่ได้รับการยอมรับแนวปฏิบัตินี้ โดยเฉพาะอย่างยิ่งเมื่อใช้เป็นวิธีการในการรักษาความ ‘สบาย’ ของผู้ใช้โดยการขจัดหรือเลื่อนการยืนยันตัวตนด้วยสองปัจจัย

ผู้เขียนสรุปว่า:

‘ผลกระทบของ Gummy Browsers สามารถรุนแรงและยาวนานต่อความปลอดภัยและความเป็นส่วนตัวออนไลน์ของผู้ใช้ โดยเฉพาะอย่างยิ่งเมื่อการระบุเบราว์เซอร์เริ่มใช้กันอย่างแพร่หลายในโลกแห่งความเป็นจริง เมื่อเผชิญกับการโจมตีนี้ งานของเราขึ้นคำถามว่าการระบุเบราว์เซอร์ปลอดภัยที่จะใช้บนขนาดใหญ่หรือไม่’