Eles descobriram uma vulnerabilidade que permite o rastreamento do usuário, mesmo se você usar o Tor

Alguns dias atrás FingerprintJS fez uma postagem blog no qual nos fala sobre uma vulnerabilidade que foi descoberta para eles e o que é permite que os sites identifiquem os usuários de forma confiável em vários navegadores, dos quais apenas navegadores de desktop são afetados.

É mencionado que a vulnerabilidade usa informações sobre aplicativos instalados no computador para atribuir um identificador único permanente que, mesmo que o usuário mude de navegador, use o modo de navegação anônima ou uma VPN, ele sempre estará presente.

Como essa vulnerabilidade permite o rastreamento de terceiros em navegadores diferentes, ela constitui uma violação de privacidade e, embora o Tor seja um navegador que oferece o máximo em proteção de privacidade, ele também é afetado.

De acordo com FingerprintJS, Esta vulnerabilidade existe há mais de 5 anos e seu impacto real é desconhecido. A vulnerabilidade de inundação de esquema permite que um hacker determine os aplicativos instalados no computador de destino. Em média, o processo de identificação leva alguns segundos e funciona em sistemas operacionais Windows, Mac e Linux.

Em nossa pesquisa sobre técnicas antifraude, descobrimos uma vulnerabilidade que permite que os sites identifiquem usuários de forma confiável em diferentes navegadores de desktop e vinculem suas identidades. As versões de desktop do navegador Tor, Safari, Chrome e Firefox são afetadas.

Vamos nos referir a essa vulnerabilidade como Schema Flood, pois ela usa esquemas de URL personalizados como vetor de ataque. A vulnerabilidade usa informações sobre os aplicativos instalados em seu computador para atribuir a você um identificador exclusivo permanente, mesmo se você mudar de navegador, usar o modo de navegação anônima ou usar uma VPN.

Para verificar se um aplicativo está instalado, os navegadores podem usar gerenciadores de esquema URLs personalizados integrados.

Um exemplo básico disso, é possível verificar, já que basta executar a seguinte ação digitando skype: // na barra de endereços do navegador. Com isso podemos perceber o real impacto que esse problema pode ter. Esse recurso também é conhecido como link direto e é amplamente usado em dispositivos móveis, mas também está disponível em navegadores de desktop.

Dependendo dos aplicativos instalados em um dispositivo, é possível para um site identificar pessoas para fins mais maliciosos. Por exemplo, um site pode detectar um oficial ou militar na Internet com base em aplicativos instalados e associando histórico de navegação considerado anônimo. Vamos examinar as diferenças entre os navegadores.

Dos quatro navegadores principais afetados, apenas os desenvolvedores do Chrome parecem estar cientes de vulnerabilidade de inundação de esquema. O problema foi discutido no rastreador de bug do Chromium e deve ser corrigido em breve.

Além disso, apenas o navegador Chrome tem algum tipo de proteção contra inundação de esquema, pois impede que qualquer aplicativo seja iniciado, a menos que seja solicitado por uma ação do usuário, como um clique do mouse. Existe um sinalizador global que permite (ou nega) sites para abrir aplicativos, que é definido como falso após a manipulação de um esquema de URL personalizado.

Por outro lado, no Firefox ao tentar navegar para um esquema de url desconhecido, o Firefox exibe uma página interna com um erro. Esta página interna tem uma origem diferente de qualquer outro site, portanto não é possível acessá-la devido à limitação da política de origem idêntica.

Quanto ao Tor, a vulnerabilidade neste navegador, é o que leva mais tempo para ser executado com sucesso pois a verificação de cada aplicativo pode levar até 10 segundos devido às regras do navegador Tor. No entanto, a exploração pode ser executada em segundo plano e rastrear seu destino durante uma sessão de navegação mais longa.

As etapas exatas para explorar a vulnerabilidade de inundação de esquema podem variar de navegador para navegador, mas o resultado final é o mesmo.

Finalmente se você estiver interessado em saber mais sobre isso, você pode verificar os detalhes no link a seguir.