Gubinsoft Solutions » Справка » Отслеживание на основе DNS бросает вызов защите конфиденциальности вашего браузера

Отслеживание на основе DNS бросает вызов защите конфиденциальности вашего браузера

15 июля 2021, Четверг
45

Боффинс из Бельгии обнаружил, что основанная на DNS техника обхода защиты от онлайн-отслеживания становится все более распространенной и представляет растущую угрозу как для конфиденциальности, так и для безопасности.

В исследовательском документе, представленном в июле на 21-м симпозиуме по технологиям повышения конфиденциальности (PETS 2021), исследователи из KU Leuven Яна Димова, Гунес Акар, Воутер Йоосен и Том Ван Гетем, а также консультант по конфиденциальности Лукаш Олейник углубляются в все более широкое внедрение отслеживания на основе CNAME, которое злоупотребляет записями DNS, чтобы стереть различие между собственными и сторонними контекстами.

Эта схема отслеживания использует запись CNAME на поддомене, так что это тот же сайт, что и включающий веб-сайт

- поясняется в документе.

Таким образом, защита, блокирующая сторонние файлы cookie, оказывается неэффективной.

Модель веб-безопасности основана на так называемой политике одного происхождения. Ресурсы, имеющие одно и то же происхождение или домен, имеют более высокий уровень доверия, чем ресурсы, доступные где-либо еще, в другом источнике или домене. Вот почему веб-сайты могут устанавливать и получать доступ к своим собственным (основным) файлам cookie, например, в браузере посетителя, и не должны иметь доступа к файлам cookie, связанным с другим доменом (сторонним).

В то время как онлайн-издатели были рады разрешить рекламодателям запускать сторонний код отслеживания на своих веб-сайтах для сбора данных и отслеживания людей, когда они посещают разные веб-сайты, пользователи Интернета и веб-браузеры, ориентированные на конфиденциальность, за последние несколько лет усилили защиту конфиденциальности, чтобы ограничить применение веб-отслеживания.

Однако компании, занимающиеся рекламными технологиями, не раз находили способы обойти такие препятствия. Вспомните усилия Google по переопределению настроек сторонних файлов cookie Safari, которые в 2012 году повлекли за собой незначительный штраф в размере 22,5 млн долларов от Федеральной торговой комиссии.

Теперь, когда все более эффективные кордоны cookie устанавливаются в браузерах, ориентированных на конфиденциальность, таких как Brave, Firefox и Safari, маркетологи активизировали усилия, чтобы избежать мер по борьбе с отслеживанием. Техника, известная как делегирование DNS или псевдоним DNS, была известна по крайней мере с 2007 года и обнаруживалась в исследовательских работах, посвященных конфиденциальности, в 2010 и 2014 годах. Основанный на использовании DNS-записей CNAME, механизм противодействия слежению за счетчиком привлек внимание два года назад. когда разработчик с открытым исходным кодом Раймонд Хилл реализовал защиту в версии Firefox своего расширения блокировки контента uBlock Origin.

Маскировка CNAME предполагает, что веб-издатель помещает поддомен, например trackyou.example.com - под контролем третьей стороны с использованием DNS-записи CNAME. Это заставляет сторонний трекер, связанный с поддоменом, выглядеть так, как будто он принадлежит собственному домену example.com.

Специалисты из Бельгии изучили экосистему отслеживания на основе CNAME и нашли 13 различных компаний, использующих эту технику. Они утверждают, что использование таких трекеров растет, на 21 процент за последние 22 месяца, и что трекеры CNAME можно найти почти на 10 процентах из 10 000 самых популярных веб-сайтов.

Более того, сайты с трекерами CNAME имеют в среднем около 28 других скриптов отслеживания. Они также утекают данные из-за того, как работает веб-архитектура. Исследователи обнаружили утечки данных cookie на 7 377 сайтах (95%) из 7 797 сайтов, которые использовали отслеживание CNAME. Большинство из них были результатом того, что сторонние сценарии аналитики устанавливали файлы cookie в собственном домене.

Не все эти утечки раскрыли конфиденциальные данные, но некоторые сделали. Исследователи обнаружили, что из 103 веб-сайтов с проверенной функциональностью входа в систему произошла утечка конфиденциальной информации, включая полное имя пользователя, его местонахождение, адрес электронной почты и файл cookie аутентификации.

Это говорит о том, что эта схема является активно опасной

- написал в блоге доктор Лукаш Олейник, один из соавторов статьи.

Это вредно для веб-безопасности и конфиденциальности.

Было обнаружено, что отслеживание CNAME представляет две уязвимости безопасности в реализациях нераскрытых поставщиков, делая веб-сайты уязвимыми для атак с фиксацией сеанса и межсайтовыми сценариями. Один из поставщиков ответил, чтобы смягчить проблему; другой нет, пишет газета.

Трекер одного неопознанного поставщика создал уязвимость с помощью функции, предназначенной для продления срока службы собственных рекламных и аналитических файлов cookie, таких как файл cookie _fbp Facebook и файл cookie Google Analytics _ga. Механизм поставщика для этого не смог обеспечить достаточную проверку, что позволило провести атаку фиксации сеанса, которая является способом перехвата сеанса просмотра. Это может позволить, например, злоумышленнику совершать покупки с помощью кредитной карты жертвы.

Было обнаружено, что другой поставщик отслеживания CNAME обеспечивает способ привязки электронной почты пользователя к отпечатку пальца браузера пользователя - хешу, основанному на различных измеримых характеристиках браузера.

Этот адрес электронной почты позже отражается в динамически сгенерированном скрипте, который выполняется при каждой загрузке страницы, позволяя веб-сайту получить его снова, даже если пользователь очистит свои файлы cookie

- поясняет газета.

Однако, поскольку значение адреса электронной почты не очищено должным образом, можно включить произвольные полезные данные jаvascript, которые будут выполняться на каждой странице, содержащей сценарий отслеживания.

Кроме того, исследователи сообщают, что компания Criteo, занимающаяся рекламными технологиями, специально переключается на отслеживание CNAME, помещая свои файлы cookie в собственный контекст, когда его трекеры сталкиваются с пользователями Safari, у которого есть надежная защита сторонних файлов cookie.

По словам Олейника, отслеживание CNAME может обойти большинство методов защиты от слежения, и есть несколько средств защиты от него.

Firefox, использующий надстройку uBlock Origin 1.25+, может распознать обман CNAME. То же самое может сделать и Brave, которой недавно пришлось восстанавливать защиту CNAME из-за проблем, которые он создал с Tor.

Chrome не справляется, потому что у него нет подходящего API для разрешения DNS, к которому можно было бы подключиться uBlock Origin. Safari ограничивает срок жизни файлов cookie, установленных с помощью маскировки CNAME, но не предоставляет способ отменить маскировку домена, чтобы определить, следует ли заблокировать субдомен полностью.

Поскольку сегодня большинство средств защиты от слежения работает по принципу списков фильтров (сопоставление шаблонов HTTP-запросов), схема CNAME фактически делает такую защиту неэффективной

- сказал Олейник в своем блоге.

Как бывший член группы технической архитектуры W3C, я должен также сказать, что меня особенно беспокоит то, как этот метод неправильно использует способ работы сети, особенно в той части, где происходит утечка файлов cookie. В некотором смысле, это это новый минимум.
Обсудить
Прокомментировать
Кликните на изображение чтобы обновить код, если он неразборчив
Партнеры
Yandex Cloud
OVH
Equinix
Reg.ru

Тут временно нет ничего

Автору в течение месяца будет лень что-то делать