Zjistili chybu zabezpečení, která umožňuje sledování uživatelů, i když používáte Tor

Před pár dny FingerprintJS zveřejnil příspěvek blog, ve kterém nám říká o zranitelnosti, která byla objevena pro ně a co je umožňuje webovým serverům spolehlivě identifikovat uživatele v různých prohlížečích, z nichž jsou ovlivněny pouze prohlížeče pro stolní počítače.

Uvádí se, že zranitelnost používá informace o nainstalovaných aplikacích v počítači přiřadit trvalý jedinečný identifikátor, který, i když uživatel změní prohlížeč, používá anonymní režim nebo VPN, bude vždy přítomen.

Jelikož tato chyba zabezpečení umožňuje sledování třetích stran v různých prohlížečích, představuje porušení ochrany osobních údajů a přestože je Tor prohlížeč, který nabízí maximální ochranu soukromí, je také ovlivněna.

Podle FingerprintJS, Tato chyba zabezpečení existuje již více než 5 let a její skutečný dopad není znám. Zranitelnost schématu zaplavení umožňuje hackerovi určit aplikace nainstalované v počítači cíle. Proces identifikace trvá v průměru několik sekund a funguje na operačních systémech Windows, Mac a Linux.

V našem výzkumu technik proti podvodům jsme objevili chybu zabezpečení, která umožňuje webům spolehlivě identifikovat uživatele v různých prohlížečích pro stolní počítače a propojit jejich identity. Ovlivněny jsou verze prohlížeče Tor, Safari, Chrome a Firefox pro stolní počítače.

Tuto chybu zabezpečení budeme označovat jako Schema Flood, protože používá vlastní schémata URL jako vektor útoku. Tato chyba zabezpečení používá informace o aplikacích nainstalovaných v počítači k přiřazení trvalého jedinečného identifikátoru, i když změníte prohlížeč, použijete anonymní režim nebo použijete VPN.

Ke kontrole, zda je nainstalována aplikace, mohou prohlížeče používat správce schémat integrované vlastní adresy URL.

Základní příklad je možné ověřit, protože stačí provést následující akci zadáním skype: // do adresního řádku prohlížeče. Díky tomu si můžeme uvědomit skutečný dopad, který tento problém může mít. Tato funkce je známá také jako přímé propojení a je široce používána v mobilních zařízeních, ale je k dispozici také v prohlížečích pro stolní počítače.

V závislosti na aplikacích nainstalovaných v zařízení je možné, aby web identifikoval lidi pro další škodlivé účely. Například web může detekovat důstojníka nebo vojáka na internetu na základě nainstalovaných aplikací a přidružení historie procházení považovaných za anonymní. Pojďme se podívat na rozdíly mezi prohlížeči.

Ze čtyř ovlivněných hlavních prohlížečů Zdá se, že si to uvědomují pouze vývojáři chromu zranitelnosti schématu povodně. Problém byl popsán v nástroji pro sledování chyb Chromium a měl by být brzy vyřešen.

Navíc, pouze prohlížeč Chrome má nějaký druh ochrany před povodněmi, protože brání spuštění jakékoli aplikace, pokud to nevyžaduje akce uživatele, například kliknutí myší. Existuje globální příznak, který umožňuje (nebo zakazuje) webovým stránkám otevírat aplikace, který je po manipulaci s vlastním schématem adresy URL nastaven na hodnotu false.

Na druhou stranu ve Firefoxu při pokusu o navigaci na neznámé schéma adresy URL, Firefox zobrazí interní stránku s chybou. Tato interní stránka má jiný původ než jakýkoli jiný web, takže k ní není možné přistupovat z důvodu omezení identických zásad původu.

Pokud jde o Tor, zranitelnost v tomto prohlížeči, je ta, jejíž úspěšné provedení trvá nejdéle protože ověření každé aplikace může podle pravidel prohlížeče Tor trvat až 10 sekund. Exploit však může běžet na pozadí a sledovat jeho cíl během delší relace procházení.

Přesné kroky k zneužití zranitelnosti schématu se mohou u jednotlivých prohlížečů lišit, ale konečný výsledek je stejný.

Konečně pokud máte zájem o tom vědět více, můžete zkontrolovat podrobnosti Na následujícím odkazu.