Il ya quelques jours FingerprintJS a publié un message blog dans lequel nous parle d'une vulnérabilité découverte pour eux et qu'est-ce que permet aux sites Web d'identifier les utilisateurs de manière fiable dans divers navigateurs, dont seuls les navigateurs de bureau sont concernés.
Il est mentionné que la vulnérabilité utilise des informations sur les applications installées sur l'ordinateur pour attribuer un identifiant unique permanent qui, même si l'utilisateur change de navigateur, utilise le mode incognito ou un VPN, il sera toujours présent.
Étant donné que cette vulnérabilité permet le suivi par des tiers dans différents navigateurs, elle constitue une violation de la confidentialité et même si Tor est un navigateur offrant le nec plus ultra en matière de protection de la vie privée, elle est également affectée.
Selon FingerprintJS, Cette vulnérabilité existe depuis plus de 5 ans et son impact réel est inconnu. La vulnérabilité d'inondation de schéma permet à un pirate de déterminer les applications installées sur l'ordinateur de la cible. En moyenne, le processus d'identification prend quelques secondes et fonctionne sur les systèmes d'exploitation Windows, Mac et Linux.
Dans notre recherche sur les techniques anti-fraude, nous avons découvert une vulnérabilité qui permet aux sites Web d'identifier de manière fiable les utilisateurs dans différents navigateurs de bureau et de lier leurs identités. Les versions de bureau de Tor Browser, Safari, Chrome et Firefox sont affectées.
Nous appellerons cette vulnérabilité Schema Flood, car elle utilise des schémas d'URL personnalisés comme vecteur d'attaque. La vulnérabilité utilise des informations sur les applications installées sur votre ordinateur pour vous attribuer un identifiant unique permanent, même si vous changez de navigateur, utilisez le mode navigation privée ou utilisez un VPN.
Pour vérifier si une application est installée, les navigateurs peuvent utiliser des gestionnaires de schéma URL personnalisées intégrées.
Un exemple basique de ceci, il est possible de vérifier, puisqu'il suffit d'exécuter simplement l'action suivante en entrant skype: // dans la barre d'adresse du navigateur. Avec cela, nous pouvons réaliser l'impact réel que ce problème peut avoir. Cette fonctionnalité est également connue sous le nom de lien profond et est largement utilisée sur les appareils mobiles, mais elle est également disponible sur les navigateurs de bureau.
En fonction des applications installées sur un appareil, il est possible pour un site Web d'identifier des personnes à des fins plus malveillantes. Par exemple, un site peut détecter un officier ou un militaire sur Internet en fonction des applications installées et en associant l'historique de navigation considéré comme anonyme. Passons en revue les différences entre les navigateurs.
Sur les quatre principaux navigateurs concernés, seuls les développeurs de chrome semblent être conscients de la vulnérabilité aux inondations de schéma. Le problème a été discuté dans le suivi des bogues de Chromium et devrait être corrigé prochainement.
En outre, seul le navigateur Chrome a une sorte de protection contre les inondations de schéma, car il empêche toute application de démarrer à moins que cela ne soit demandé par une action de l'utilisateur telle qu'un clic de souris. Il existe un indicateur global qui autorise (ou refuse) aux sites Web d'ouvrir des applications, qui est défini sur false après la manipulation d'un schéma d'URL personnalisé.
D'autre part dans Firefox lorsque vous essayez d'accéder à un schéma d'URL inconnu, Firefox affiche une page interne avec une erreur. Cette page interne a une origine différente de tout autre site Web, il n'est donc pas possible d'y accéder en raison de la limitation de la politique d'origine identique.
Quant à Tor, la vulnérabilité dans ce navigateur, est celui qui prend le plus de temps à s'exécuter avec succès car la vérification de chaque application peut prendre jusqu'à 10 secondes en raison des règles du navigateur Tor. Cependant, l'exploit peut s'exécuter en arrière-plan et suivre sa cible pendant une session de navigation plus longue.
Les étapes exactes pour exploiter la vulnérabilité d'inondation de schéma peuvent varier selon le navigateur, mais le résultat final est le même.
Enfin si vous souhaitez en savoir plus, vous pouvez vérifier les détails dans le lien suivant.
Évidemment, j'utilise Linux, et dans Firefox, il a montré un identifiant, ainsi que dans Vivaldi, mais; dans OPERA cela n'a pas fonctionné.
C'est préoccupant, et je ne sais pas s'il y a moyen de l'éviter ou de l'annuler.
<<>
Il faudrait voir, dans divers scénarios... que diriez-vous d'une vieille vieille distribution de noyau, un navigateur sans mise à jour et dans une machine virtuelle !