Pool-party: новый тип атак на все браузеры от исследователей из Brave

TL;DR

Мы обнаружили, описали и сделали POC для нового типа уязвимости, в той или иной форме присутствующего во всех браузерах. Такой тип атак использует пулы‎ ограниченных общих ресурсов для создания сторонних каналов (aka side-channel). Трекеры могут использовать такие каналы для слежки за пользователями и обхода других мер защиты приватности в браузерах. 

Опираясь на уже существующие исследования (например, XSLeaks и статью XSinator), которые изучали схожие вопросы, мы установили, что pool-party атаки мощнее, практичнее и распространённее, чем считалось раньше, и что все браузеры уязвимы.

Что ещё хуже, мы обнаружили, что подобные атаки могут отследить разные профили пользователей в браузерах на основе Gecko, включая Tor. Злоумышленники, атакующие такие браузеры, могут провязать действия в приватном режиме с действиями в обычных окнах, соотнося инкогнито-действия пользователя с его истинной‎ идентичностью.

Мы уже сделали фикс для этой проблемы, и в ближайшее время обновим наш браузер. Мы также работаем с представителями других браузеров для повсеместной починки этой беды. Ниже вы можете ознакомиться с результатами нашей работы, а ещё больше деталей доступно в препринте нашей статьи. В нём мы показываем практическую реализацию атаки на Webkit и Chromium-браузеры при помощи вебсокетов и на Gecko при помощи АПИ server-side events.

Бэкграунд: секционирование для приватности

Следуя требованиям пользователей и законодательства, браузеры усливают меры по защите конфиденциальности пользователей. Один из важных механизмов защиты конфиденциальности – это т.н. «секционирование»‎, при котором браузеры не позволяют трекерам следить за вами на разных сайтах, выдавая каждому сайту его собственный уникальный набор ресурсов (отдельное хранилище для кук, отдельный localStorage, отдельный кэш и т. д.).

Секционирование защищает пользователей от самых распространённых форм слежки, не позволяя скритам на одном сайте понять, что вы – тот же самый пользователь на другом сайте. Даже если и на site-a.example, и на site-b.example есть трекающий скрипт от tracker.example, секционирование не даст трекеру tracker.example понять, что один и тот же человек посетил оба сайта, и сделать межсайтовую провязку. 

К сожалению, секционирование – это не универсальный рецепт от всех бед. Существует множество способов навредить конфиденциальности пользователя, от которых секционирование не спасёт, например: фингерпринтинг, синхронизация кук по идентификаторам пользователя, отслеживание IP и т.д. Тем не менее, секционирование – это полезный и важный инструмент защиты конфиденциальности в сети.

	Brave	Chrome	Edge	Firefox	Safari	Tor Browser
Хранилища DOM	✅	❌	❌	✅	✅	✅
Сетевое состояние	✅	Источник: https://habr.com/ru/company/brave/blog/595913/ Поделиться ссылкой: Вернуться к списку Интересные статьи Интересные статьи Как UX/UI-дизайнеру не потеряться в тысяче макетов в Figma: новый инструмент контроля версий Знакома история, когда забыл сохранить предыдущую версию рабочего макета — и считай её и вовсе не было? Система контроля версий поможет избежать подобных ситуаций. Я рабо... Тихая революция и новый дикий запад в ComputerVision Казалось бы, революция с Computer Vision уже была. В 2012 году выстрелили алгоритмы основанные на сверточных нейронных сетях. Года с 2014 они дошли до продакшна, а года ... Вебинар «Опыт участия в кибербитве The Standoff: анализ атак и обзор инструментов» Ровно месяц прошёл с крупнейшей кибербитвы The Standoff, где команды защитников обеспечивали безопасность инфраструктуры цифрового мегаполиса от хакерского трафика. Коман... Новый учебный год: новые образовательные проекты от Mail.ru Group Прошло уже почти 10 лет с момента запуска первого образовательного проекта Mail.ru Group — Технопарка. А в этом году их будет уже девять: мы добавили еще 2 вуза в Москве и Калинин... 7 дней, 15 инженеров и 600 серверов: как Яндекс.Деньги переехали в новый дата-центр Хабр, привет! Недавно у департамента эксплуатации Яндекс.Денег прошло значимое событие. Наша компания быстро растет, и оказалось, что перемен требуют не только наши сердца, но и дата-цент...