Hanno scoperto una vulnerabilità che consente il tracciamento degli utenti, anche se usi Tor

Pochi giorni fa FingerprintJS ha pubblicato un post blog in cui ci parla di una vulnerabilità che è stata scoperta per loro e cosa è consente ai siti web di identificare in modo affidabile gli utenti in vari browser, di cui sono interessati solo i browser desktop.

Si dice che la vulnerabilità utilizza le informazioni sulle applicazioni installate sul computer per assegnare un identificatore univoco permanente che, anche se l'utente cambia browser, utilizza la modalità di navigazione in incognito o una VPN, sarà sempre presente.

Poiché questa vulnerabilità consente il tracciamento di terze parti in browser diversi, costituisce una violazione della privacy e anche se Tor è un browser che offre la massima protezione della privacy, ne risente anche.

Secondo FingerprintJS, Questa vulnerabilità esiste da più di 5 anni e il suo impatto reale è sconosciuto. La vulnerabilità dello schema flood consente a un hacker di determinare le applicazioni installate sul computer di destinazione. In media, il processo di identificazione richiede pochi secondi e funziona su sistemi operativi Windows, Mac e Linux.

Nella nostra ricerca sulle tecniche antifrode, abbiamo scoperto una vulnerabilità che consente ai siti Web di identificare in modo affidabile gli utenti in diversi browser desktop e collegare le loro identità. Le versioni desktop di Tor Browser, Safari, Chrome e Firefox sono interessate.

Faremo riferimento a questa vulnerabilità come Schema Flood, poiché utilizza schemi URL personalizzati come vettore di attacco. La vulnerabilità utilizza le informazioni sulle applicazioni installate sul tuo computer per assegnarti un identificatore univoco permanente, anche se cambi browser, utilizzi la modalità di navigazione in incognito o utilizzi una VPN.

Per verificare se un'applicazione è installata, i browser possono utilizzare gestori di schemi URL personalizzati incorporati.

Un esempio di base di questo, è possibile verificarlo, poiché è sufficiente eseguire la seguente azione inserendo skype: // nella barra degli indirizzi del browser. Con questo possiamo renderci conto del reale impatto che questo problema può avere. Questa funzionalità è nota anche come deep linking ed è ampiamente utilizzata sui dispositivi mobili, ma è disponibile anche sui browser desktop.

A seconda delle applicazioni installate su un dispositivo, è possibile che un sito Web identifichi le persone per scopi più dannosi. Ad esempio, un sito può rilevare un ufficiale o un militare su Internet in base alle applicazioni installate e associando la cronologia di navigazione ritenuta anonima. Esaminiamo le differenze tra i browser.

Dei quattro principali browser interessati, solo gli sviluppatori di Chrome sembrano esserne consapevoli della vulnerabilità dello schema flood. Il problema è stato discusso nel bug tracker di Chromium e dovrebbe essere risolto presto.

Inoltre, solo il browser Chrome ha un qualche tipo di protezione dallo schema flood, poiché impedisce l'avvio di qualsiasi applicazione a meno che non sia richiesta da un'azione dell'utente come un clic del mouse. Esiste un flag globale che consente (o nega) ai siti Web di aprire applicazioni, che viene impostato su false dopo aver manipolato uno schema URL personalizzato.

D'altra parte in Firefox quando si tenta di accedere a uno schema di URL sconosciuto, Firefox visualizza una pagina interna con un errore. Questa pagina interna ha un'origine diversa rispetto a qualsiasi altro sito Web, quindi non è possibile accedervi a causa della limitazione della politica di origine identica.

Per quanto riguarda Tor, la vulnerabilità in questo browser, è quello che impiega più tempo per essere eseguito con successo poiché possono essere necessari fino a 10 secondi per la verifica di ciascuna app a causa delle regole del browser Tor. Tuttavia, l'exploit può essere eseguito in background e monitorare il suo obiettivo durante una sessione di navigazione più lunga.

I passaggi esatti per sfruttare la vulnerabilità dello schema flood possono variare in base al browser, ma il risultato finale è lo stesso.

Infine se sei interessato a saperne di più, puoi controllare i dettagli nel seguente link


2 commenti, lascia il tuo

Lascia un tuo commento

L'indirizzo email non verrà pubblicato. I campi obbligatori sono contrassegnati con *

*

*

  1. Responsabile dei dati: Miguel Ángel Gatón
  2. Scopo dei dati: controllo SPAM, gestione commenti.
  3. Legittimazione: il tuo consenso
  4. Comunicazione dei dati: I dati non saranno oggetto di comunicazione a terzi se non per obbligo di legge.
  5. Archiviazione dati: database ospitato da Occentus Networks (UE)
  6. Diritti: in qualsiasi momento puoi limitare, recuperare ed eliminare le tue informazioni.

  1.   Qualcuno in rete suddetto

    Ovviamente uso Linux, e in Firefox mostrava un ID, così come in Vivaldi, ma; in OPERA non ha funzionato.

    È preoccupante e non so se c'è un modo per evitarlo o per annullarlo.

  2.   Cesar de los RABOS suddetto

    <<>
    Bisognerebbe vedere, in scenari diversi... che ne dici di una vecchia distribuzione del kernel vecchio, un browser senza aggiornamenti e in una macchina virtuale!