πριν ΛΙΓΕΣ μερες Το FingerprintJS έκανε μια ανάρτηση blog στο οποίο μας λέει για μια ευπάθεια που ανακαλύφθηκε για αυτούς και τι είναι επιτρέπει στους ιστότοπους να αναγνωρίζουν αξιόπιστα τους χρήστες σε διάφορα προγράμματα περιήγησης, από τα οποία επηρεάζονται μόνο προγράμματα περιήγησης επιτραπέζιου υπολογιστή.
Αναφέρεται ότι η ευπάθεια χρησιμοποιεί πληροφορίες σχετικά με τις εγκατεστημένες εφαρμογές στον υπολογιστή για να εκχωρήσει ένα μόνιμο μοναδικό αναγνωριστικό το οποίο, ακόμη και αν ο χρήστης αλλάξει προγράμματα περιήγησης, χρησιμοποιεί κατάσταση ανώνυμης περιήγησης ή VPN, θα είναι πάντα παρόν.
Δεδομένου ότι αυτή η ευπάθεια επιτρέπει την παρακολούθηση τρίτων σε διαφορετικά προγράμματα περιήγησης, συνιστά παραβίαση απορρήτου και παρόλο που το Tor είναι ένα πρόγραμμα περιήγησης που προσφέρει την απόλυτη προστασία της ιδιωτικής ζωής, επηρεάζεται επίσης.
Σύμφωνα με το FingerprintJS, Αυτή η ευπάθεια υπάρχει για περισσότερα από 5 χρόνια και η πραγματική της επίδραση είναι άγνωστη. Η ευπάθεια πλημμύρας σχήματος επιτρέπει σε έναν χάκερ να προσδιορίσει τις εφαρμογές που είναι εγκατεστημένες στον υπολογιστή του στόχου. Κατά μέσο όρο, η διαδικασία αναγνώρισης διαρκεί λίγα δευτερόλεπτα και λειτουργεί σε λειτουργικά συστήματα Windows, Mac και Linux.
Στην έρευνά μας για τις τεχνικές καταπολέμησης της απάτης, ανακαλύψαμε μια ευπάθεια που επιτρέπει στους ιστότοπους να αναγνωρίζουν αξιόπιστα τους χρήστες σε διαφορετικά προγράμματα περιήγησης επιτραπέζιου υπολογιστή και να συνδέουν τις ταυτότητές τους. Επηρεάζονται οι εκδόσεις για υπολογιστές Tor Browser, Safari, Chrome και Firefox.
Θα αναφερθούμε σε αυτήν την ευπάθεια ως Schema Flood, καθώς χρησιμοποιεί προσαρμοσμένα σχήματα URL ως φορέα επίθεσης. Η ευπάθεια χρησιμοποιεί πληροφορίες σχετικά με τις εφαρμογές που είναι εγκατεστημένες στον υπολογιστή σας για να σας εκχωρήσει ένα μόνιμο μοναδικό αναγνωριστικό, ακόμα κι αν αλλάξετε προγράμματα περιήγησης, χρησιμοποιείτε κατάσταση ανώνυμης περιήγησης ή χρησιμοποιείτε ένα VPN.
Για να ελέγξετε εάν είναι εγκατεστημένη μια εφαρμογή, τα προγράμματα περιήγησης μπορούν να χρησιμοποιούν διαχειριστές σχήματος ενσωματωμένα προσαρμοσμένα URL.
Ένα βασικό παράδειγμα αυτού, είναι δυνατό να επαληθευτεί, καθώς αρκεί να εκτελέσετε την ακόλουθη ενέργεια εισάγοντας skype: // στη γραμμή διευθύνσεων του προγράμματος περιήγησης. Με αυτό μπορούμε να συνειδητοποιήσουμε τον πραγματικό αντίκτυπο που μπορεί να έχει αυτό το πρόβλημα. Αυτή η δυνατότητα είναι επίσης γνωστή ως σύνδεση σε βάθος και χρησιμοποιείται ευρέως σε κινητές συσκευές, αλλά είναι επίσης διαθέσιμη σε προγράμματα περιήγησης επιτραπέζιων υπολογιστών.
Ανάλογα με τις εφαρμογές που είναι εγκατεστημένες σε μια συσκευή, είναι δυνατό για έναν ιστότοπο να αναγνωρίζει άτομα για πιο κακόβουλους σκοπούς. Για παράδειγμα, ένας ιστότοπος μπορεί να εντοπίσει έναν αξιωματικό ή στρατιωτικό στο Διαδίκτυο βάσει εγκατεστημένων εφαρμογών και συσχετισμού ιστορικού περιήγησης που πιστεύεται ότι είναι ανώνυμο. Ας δούμε τις διαφορές μεταξύ των προγραμμάτων περιήγησης.
Από τα τέσσερα κύρια προγράμματα περιήγησης που επηρεάζονται, μόνο οι προγραμματιστές του Chrome φαίνεται να γνωρίζουν της ευπάθειας των πλημμυρών σχήματος. Το πρόβλημα έχει συζητηθεί στο πρόγραμμα εντοπισμού σφαλμάτων Chromium και θα επιλυθεί σύντομα.
Επιπλέον, μόνο το πρόγραμμα περιήγησης chrome έχει κάποιο είδος προστασίας από πλημμύρες σχήματος, καθώς εμποδίζει την εκκίνηση οποιασδήποτε εφαρμογής, εκτός εάν ζητηθεί από μια ενέργεια χρήστη, όπως ένα κλικ στο ποντίκι. Υπάρχει μια παγκόσμια σημαία που επιτρέπει (ή αρνείται) ιστότοπους να ανοίγουν εφαρμογές, η οποία έχει οριστεί ως ψευδής μετά από χειρισμό ενός προσαρμοσμένου σχήματος URL.
Από την άλλη πλευρά στον Firefox όταν προσπαθείτε να πλοηγηθείτε σε ένα άγνωστο σχήμα url, τον Firefox εμφανίζει μια εσωτερική σελίδα με σφάλμα. Αυτή η εσωτερική σελίδα έχει διαφορετική προέλευση από οποιονδήποτε άλλο ιστότοπο, επομένως δεν είναι δυνατή η πρόσβαση σε αυτήν λόγω του περιορισμού της ίδιας πολιτικής προέλευσης.
Όσο για το Tor, η ευπάθεια σε αυτό το πρόγραμμα περιήγησης, είναι αυτό που χρειάζεται το μεγαλύτερο χρονικό διάστημα για να εκτελεστεί με επιτυχία καθώς μπορεί να χρειαστούν έως και 10 δευτερόλεπτα για κάθε εφαρμογή για επαλήθευση λόγω των κανόνων του προγράμματος περιήγησης Tor. Ωστόσο, το exploit μπορεί να εκτελεστεί στο παρασκήνιο και να παρακολουθεί τον στόχο του κατά τη διάρκεια μιας μεγαλύτερης περιόδου περιήγησης.
Τα ακριβή βήματα για την εκμετάλλευση της ευπάθειας πλημμύρας σχήματος ενδέχεται να διαφέρουν ανάλογα με το πρόγραμμα περιήγησης, αλλά το τελικό αποτέλεσμα είναι το ίδιο.
Τελικά αν ενδιαφέρεστε να μάθετε περισσότερα γι 'αυτό, μπορείτε να ελέγξετε τις λεπτομέρειες Στον ακόλουθο σύνδεσμο.
Προφανώς χρησιμοποιώ Linux, και στον Firefox έδειξε ταυτότητα, καθώς και στο Vivaldi, αλλά. στο OPERA δεν λειτούργησε.
Είναι ανησυχητικό και δεν ξέρω αν υπάρχει τρόπος να το αποφύγουμε ή να το ακυρώσουμε.
<<>
Θα ήταν απαραίτητο να δούμε, σε διαφορετικά σενάρια ... τι γίνεται με μια παλιά διανομή πυρήνα, ένα πρόγραμμα περιήγησης χωρίς ενημέρωση και σε μια εικονική μηχανή!