新技术将您的浏览历史暴露给攻击者

UC San Diego和Stanford的安全研究人员发现了四种新的方式来揭露互联网用户’浏览历史。这些技术可以由黑客使用,了解哪些网站用户在浏览Web时访问过。

将您的浏览历史暴露给攻击者

研究人员用于他们的攻击的代码示例

该技术属于以下类别“history sniffing”攻击,一个概念追溯到2000年代初。但研究人员在2018年Usenix研讨会上展示了攻击技术(Woot)的攻击技术(WOOT)的攻击可以概况或‘fingerprint’ a user’在几秒钟内的在线活动,并在最近的主要Web浏览器中工作。

所有攻击研究人员在其WOOT 2018纸上开发的研究人员在谷歌浏览器上工作。两种攻击还在一系列其他浏览器上工作,来自Mozilla Firefox到Microsoft Edge,以及各种可信的偏心研究浏览器。证明对所有攻击的唯一浏览器是TOR浏览器,它不会’T在第一位置记录浏览历史记录。

“我的希望是,我们一些发布的攻击的严重程度将推送浏览器供应商来重新审视他们如何处理历史数据,以及我’我很高兴看到来自Mozilla,Google和更广阔的万维网联盟(W3C)社区已经参与其中的人,”Deian Stefan是雅各布的助理教授在UC San Diego和论文中的Jacobs工程学院计算机科学教授’s senior author.

历史嗅闻:在网上嗅到你的小道

大多数互联网用户现在熟悉网络钓鱼;网络犯罪分子建立模仿,欺骗银行的假网站,以欺骗他们进入他们的登录详细信息。 Phipher可以了解他们的潜在受害者的越多,CON的可能性就越可能。例如,追逐客户在呈现虚假的追逐登录页面时更有可能被愚弄,而不是Phisher假装成为美国银行。

在进行有效的历史嗅探攻击后,犯罪可以进行智能网络钓鱼计划,它自动将每个受害者与其实际银行对应的伪造页面匹配。 Phisher将攻击代码与他们的目标银行网站列表预加载,并隐藏在例如普通广告中。当受害者导航到包含攻击的页面时,代码通过此列表,测试或‘sniffing’ the victim’s浏览器的迹象’已被用来访问每个目标网站。当其中一个站点测试正面时,PhiSher可以将其受害者重定向到相应的伪造版本。

攻击速度越快,攻击者的目标网站列表越长‘sniff’在合理的时间内。最快的历史嗅探攻击已经达到了每秒测试的数千个URL的速度,允许攻击者快速放在一起的Web冲浪者的详细配置文件’在线活动。除了网络钓鱼之外,犯罪分子可以将这种敏感数据放入以多种方式工作:例如,通过敲诈勒索用户令人尴尬或妥协他们的浏览历史细节。

历史嗅探也可以由合法,但肆无忌惮,公司部署,因为营销和广告等目的。 2010年从UC SAN Diego的研究记录了广泛的商业滥用以前已知的历史嗅探攻击技术,以前通过浏览器供应商修复。

“您有互联网营销公司突然出现,抱怨预包装,商业历史嗅闻‘solutions’,定位为分析工具,”计算机科学博士迈克尔史密斯说。 UC圣地亚哥和纸张的学生’S铅作者。这些工具声称为客户的活动提供了解’竞争对手的客户 ’网站,以及广告目标的详细分析信息–但以牺牲这些客户为代价’ privacy.

“Though we don’相信现在正在发生这种情况,可以通过滥用我们发现的缺陷来建造类似的间谍工具,” said Smith.

新攻击

通过JavaScript代码的形式,研究人员的攻击导致Web浏览器根据网站是否已被访问过不同。代码可以观察这些差异–例如,处理执行操作或处理某个图形元素的方式的时间–收集电脑’s浏览历史。要设计攻击,研究人员利用了允许程序员自定义其网页的外观的功能–控制字体,颜色,背景等–使用CSS,以及缓存意味着改进Web代码的性能。

研究人员’四次攻击目标漏洞在相对较新的浏览器功能中。例如,一次攻击利用2017年添加到Chrome的功能,称为“CSS Paint API”,它允许网页提供自定义代码,以便绘制其视觉外观的部分。使用此功能,当Chrome重新呈现与特定目标网站URL链接的图片时,攻击措施以不可见的方式链接到特定的目标网站URL。当检测到重新渲染时,它表示用户先前访问了目标URL。“这次攻击将让攻击者检查大约6,000个URL并发开发用户的个人资料’S浏览习惯以惊人的速度,”弗雷泽·棕色,一个博士学位斯坦福的学生,与史密斯密切合作。

虽然谷歌立即修补了这个缺陷–研究人员发展的最严重的攻击–计算机科学家在他们的Woot 2018纸上描述了三个其他攻击,汇集在一起​​,不仅在铬,而不是Firefox,Edge,Internet Explorer,而且在勇敢的上。 Tor浏览器是唯一已知完全免疫所有攻击的浏览器,因为它故意避免存储有关用户的任何信息’s browsing history.

随着新浏览器添加新功能,对隐私的这些攻击必然会是Resurface。

拟议的防守

研究人员 propose a bold fix to these issues: they believe browsers should set explicit boundaries controlling how users’浏览历史用于显示来自不同站点的网页。信息泄漏的一个主要来源是根据用户是否已经访问其目的地页面的颜色链接蓝色或紫色的机制,以便例如,单击Google搜索结果页面的人可以保持他们的位置。根据研究人员’模型,单击一个网站上的链接(例如,谷歌)’T影响其他网站上出现的链接的颜色(例如,Facebook)。用户可能会批准其选择的某些网站的异常。

研究人员 are prototyping this fix and evaluating the trade-offs of such a privacy-conscious browser.

分享这个