Научное исследование, проведенное специалистами из Техасского университета A&M и Университета Флориды, раскрыло новый метод кражи и подстановки отпечатка браузера (далее – ОБ) – Gummy Browsers.
ОБ – это комплексная характеристика пользователя в сети Интернет, которая позволяет идентифицировать его с некоторой точностью. Отпечаток обычно запрашивается браузером при загрузке веб-страницы. Согласно результатам некоторых исследований, точность идентификации пользователя при помощи ОБ составляет 99,24%. Наполнение ОБ обычно включает, например, следующие данные:
- Настройки куки;
- User-agent (используемый браузер, версию ОС, тип устройства, языковые настройки и др.);
- Разрешение экрана;
- Часовой пояс;
- Системные шрифты;
- Плагины к браузеру и их версии;
- Журнал посещений.
Непосредственное использование ОБ можно найти:
- в продвижении персонализированной рекламы;
- в аутентификации;
- в предотвращении мошенничества (борьба с ботами).
Метод Gummy Browsers для «угона» ОБ, описанный исследователями, позволяет завладеть отпечатком в условиях низкой вероятности детектирования. Они изучили и протестировали новый подход на двух известных системах формирования ОБ: FPStalker и Panopticlick – с использованием скриптовых инъекций, настроек и инструментов отладки браузера, а также модификацией скрипта.
В первую очередь применять меры для защиты от атаки Gummy Browsers следует разработчикам веб-сайтов. На этапе модификации скрипта злоумышленнику вынужденно придется остановить выполнение сценариев на веб-сайте, поэтому задержка или отсутствие ответной реакции на запрос обратной связи от сервера может расцениваться как индикатор атаки. Исследователи уточняют: можно, например, запрашивать обратную связь от сайта с определенной периодичностью (около 5 секунд).
Таким образом, кража цифрового отпечатка устройства – это серьезная основа для развития различного рода атак. Информация, содержащаяся в отпечатке, позволяет с высокой точностью идентифицировать клиента. Получив ее, злоумышленник может воспользоваться доступными данными для обхода защиты от мошенничества на веб-сайте, для развертывания целевой фишинговой кампании или для обхода некоторых алгоритмов аутентификации. Во избежание инцидентов информационной безопасности разработчикам веб-сайтов рекомендуется предусмотреть дополнительные механизмы контроля связи с клиентом.