Benutzerdefinierte Browserprotokoll-Handler können für das Fingerprinting verwendet werden
- Kategorie: Internet
Wenn Sie bestimmte Anwendungen auf Ihren Desktop-Systemen installieren, können sogenannte benutzerdefinierte Protokollhandler hinzugefügt werden. Diese werden verwendet, um die jeweilige Anwendung zu starten, z.B. um einen Skype-Anruf zu initiieren oder ein Spiel auf Steam zu öffnen.
Beliebte Anwendungen wie Skype, Spotify, Discord, WhatsApp, TeamViewer oder Slack verwenden benutzerdefinierte Protokolle.
Websites kann testen für die Unterstützung dieser Protokolle in einem Browser und verwenden Sie die Informationen für Fingerabdrücke.
Es wurde eine Demo-Site erstellt, die prüft, ob die benutzerdefinierten Protokollhandler von 24 Anwendungen (unter Windows) unterstützt werden. Derzeit werden insgesamt 32 verschiedene Anwendungsprotokoll-Handler unterstützt.
Die Identifizierung funktioniert betriebssystem- und browserübergreifend. Es kann, zumindest theoretisch, verwendet werden, um einen Benutzer allein anhand der Ergebnisse des Tests zu identifizieren.
Die Demo-Site berechnet bei jeder Ausführung des Tests einen Bezeichner basierend auf seinen Ergebnissen. Die Entwickler schlagen vor, dass Sie den Test in verschiedenen Browsern durchführen können, z.B. Firefox, Chrome. Safari und Tor-Browser, um zu überprüfen, ob Sie anhand der Unterstützung externer Protokolle identifiziert werden können.
Der Fingerabdruck kann verbessert werden, indem neben den in der Demo verwendeten anderen Identifizierungsfaktoren verwendet werden. Die Überprüfungen auf die unterstützten benutzerdefinierten Protokollhandler sind deutlich sichtbar, wenn Sie die Demo in drei der vier offiziell unterstützten Browser (Chrome, Firefox und Safari) ausführen.
Die Informationen können verwendet werden, um Benutzer des Tor-Browsers zu identifizieren, aber auch für gezielte Werbung oder Benutzerverfolgung und Profilerstellung. Die Art der installierten Anwendungen kann Werbetreibenden und möglicherweise auch böswilligen Akteuren wertvolle Informationen preisgeben. Ein Benutzer, der mehrere Spieleclients installiert hat, reagiert möglicherweise gut auf spielbezogene Werbung, während ein TeamViewer- oder Slack-Benutzer auf geschäftsbezogene Werbung reagiert.
Die Entwickler verraten, wie es ihnen gelungen ist, das Identifikationsskript in den vier getesteten Browsern auszuführen. Google scheint sich dessen bewusst zu sein und arbeitet an einer Lösung, um den Angriff zu verhindern. Es ist wahrscheinlich, dass andere Browser-Unternehmen eigene Sicherheitsvorkehrungen implementieren, um diesen Angriff zu verhindern.
Bugs wurden Mozilla, Google und Apple gemeldet. Sie können den Fehler auf überprüfen Mozillas Bug-Tracking-Site um herauszufinden, ob und wann es in Firefox (und Tor) behoben wird.
Der Quellcode für die Demos wurde veröffentlicht am GitHub .
Was den Schutz in der Zwischenzeit betrifft, kann ein Script-Blocker die Durchführung des Angriffs von vornherein verhindern.
Jetzt du: Haben Sie Programme mit benutzerdefinierten Protokollhandlern auf Ihren Geräten installiert?