La vulnerabilità di tracciamento cross-browser compromette l'anonimato dell'utente

 

Buongiorno cari lettori, oggi parleremo del tracciamento su internet.

La vulnerabilità colpisce i principali browser tra cui Chrome, Firefox, Safari e persino Tor.

Non è insolito per un utente passare dall'utilizzo di browser diversi per diverse attività di navigazione e coloro che l'hanno trasformata in una routine potrebbero persino essere a rischio perché un ricercatore e sviluppatore di sicurezza presso FingerprintJS, Konstatin Darutkin, ha recentemente scoperto una vulnerabilità che consente ai siti Web per monitorare gli utenti su diversi browser.

Ciò non solo rappresenta una minaccia per l'anonimato tra browser, ma consente anche ai siti Web di identificare gli utenti in modo affidabile su diversi browser desktop e collegare tra loro le loro identità.

Questo difetto è denominato "inondazione dello schema" e interessa vari browser, tra cui:

Safari di Apple

Google Chrome

Microsoft Edge

Mozilla Firefox

Browser Tor

La vulnerabilità consente a un utente malintenzionato di determinare quali applicazioni sono state installate da qualcuno generando un identificatore di dispositivo cross-browser a 32 bit che un sito Web può utilizzare per testare un elenco di 32 applicazioni popolari.

Questo monitoraggio su diversi browser viene eseguito interrogando le applicazioni installate sul dispositivo perché alcune applicazioni, una volta installate, creeranno schemi URL personalizzati che il browser può utilizzare per avviare un URL in un'applicazione specifica.

La vulnerabilità di tracciamento cross-browser compromette l'anonimato dell'utente

Se viene avviata quella specifica applicazione, significa che tale applicazione è installata e quindi è possibile creare un profilo delle applicazioni installate su un dispositivo, compromettendo l'anonimato cross-browser. Controllando diversi gestori di URL, uno script può utilizzare le applicazioni rilevate per creare un profilo univoco per il tuo dispositivo.

 Il codice sorgente  dell'applicazione demo  è disponibile su  GitHub .

Attualmente, tra i quattro principali browser testati, solo Google Chrome è noto per aver precedentemente aggiunto mitigazioni per impedire che questo tipo di attacco si verifichi e i suoi sviluppatori sono gli unici che hanno riconosciuto che questa vulnerabilità esiste finora, ha osservato il ricercatore nel loro post sul blog .

Tuttavia, Darutkin scoprì che anche in questo c'era una scappatoia. L'attivazione di un'estensione di Chrome incorporata, come il visualizzatore PDF di Chrome, aggira questa mitigazione.

Eric Lawrence, Program Manager di Microsoft Edge, ha riconosciuto l'attacco mentre Chromium e gli ingegneri Microsoft stanno lavorando a una correzione in una nuova segnalazione di bug.

Fino a quando i browser non aggiungono mitigazioni funzionanti per questo attacco, l'unico modo per impedire questo metodo di tracciamento cross-browser è utilizzare un browser su un dispositivo diverso.

I passaggi esatti per rendere possibile la vulnerabilità dello schema flooding possono variare a seconda del browser, ma il risultato finale è lo stesso. Ottenere una serie unica di bit associati all'identità di un visitatore non solo è possibile, ma può essere utilizzato in pratica su siti Web dannosi. Fino a quando questa vulnerabilità non sarà risolta, l'unico modo per avere sessioni di navigazione private non associate al tuo dispositivo principale è usare un altro dispositivo completamente, ha concluso Darutkin.