BATTERI ATTRIBUTTER KAN BRUGES TIL AT SPORE WEB-BRUGERE - TECHCRUNCH - ANDROID - 2018

Anonim

Et team af europæiske sikkerhedsforskere har udgivet et papir, der analyserer, hvordan batteriets levetid for mobile enheder kan bruges til at spore surfingvaner hos Firefox-brugere på Linux ved hjælp af HTML5-batteristatus-API'et (via The Guardian).

Den specifikke metode, de udsætter i deres papir, er blevet rettet af Firefox i juni i år, efter at de indgav en fejlrapport, der påpegede uoverensstemmelser i implementeringen af ​​batteriniveaurapportering på tværs af forskellige platforme.

Papiret med titlen The Leaking Battery: En Privacy Analysis af HTML5 Battery Status API, bemærker også privatlivets bekymringer om en API, der lader websteder kontrollere batteristatus for brugere uden at skulle få deres tilladelse til at gøre det.

Forskerne skriver:

API'en kræver ikke bruger tilladelse til at læse batterioplysningerne, eventuelle websider eller tredjepartsskripter, der er inkluderet på dem, kan bruge API'en. API'en kræver heller ikke, at browsere meddeler brugere, når batteridataene er tilgængelige. Det gør det muligt for websider og tredjeparts scripts at få adgang til batterioplysningerne gennemsigtigt - uden brugernes bevidsthed.

Det blotte formål med batteriprogrammet er at give websteder mulighed for automatisk at skifte fra høj effekt til energibesparende versioner, hvis de opdager en brugers behov for at spare batteri. Forskerne opdagede imidlertid, at den måde API'en havde implementeret af Firefox på GNU / Linux, var problematisk, hvilket muliggjorde "tilsyneladende uskyldige oplysninger", der blev leveret af API'en, til at fungere som sporingsidentifikator (også kaldet "en ny fingerprintingsvektor") - potentielt giver websteder mulighed for at spore surfaktivitet på tværs af forskellige sessioner, f.eks. private browsingfunktioner eller efter at have ryddet cookies.

Det specifikke problem med Firefox fokuserede på den præcision, hvorpå den spores batteriets levetidsprocent på Linux - læsning af værdien i "64 bit dobbelt præcision floating point format og multiplation (ying) det med 0, 01 for at opnå batteriniveauet." Den dobbelte præcisionsværdi blev derefter udsat for websider scripts gennem Battery Status API - giver en granulær foranstaltning, som de hævdede kunne bruges til at identificere en individuel mobil enhed, såsom en smartphone eller bærbar computer.

Problemet var begrænset til Firefox-browseren på GNU / Linux, hvor batteriniveauet er udsat for Firefox på Windows, Mac OS X og Android er langt mindre præcise, ifølge forskerne.

De bemærker:

I vores undersøgelsesundersøgelse af implementeringen af ​​Battery Status API observerede vi, at batteriniveauet, der blev rapporteret af Firefox-browseren på GNU / Linux, blev præsenteret for webscripts med dobbelt præcision. Et eksempel på batteriniveauværdier i vores undersøgelse var 0.9301929625425652. Vi konstaterede, at batteriniveauet rapporteret af Firefox på Windows, Mac OS X og Android kun har to betydelige cifre (f.eks. 0, 32).

På Linux læser Firefox batteriniveauoplysninger ved hjælp af et Linux-værktøj kaldet UPower - som i sidste ende var kilden til denne mere omfattende strømstyringsdata.

Skitsering af hvordan et sporingsskript kunne gøre brug af batterioplysningerne, skriver de:

Et tredjepartsscript, der findes på tværs af flere websteder, kan forbinde brugernes besøg på kort tid, ved at udnytte de batterioplysninger, der leveres til webscripts. For at gøre det kan scripts bruge værdierne for batteriniveau, afladningstid og opladningstid. Aflæsningerne vil være konsistente på hver af de steder, på grund af at opdateringsintervallerne (og deres tidspunkter) er identiske. Dette kan gøre det muligt for tredjepartsscriptet at forbinde disse samtidige besøg. Hvis brugeren forlader disse websteder, men derefter kort efterfølgende besøger et andet websted med samme tredjeparts script, vil aflæsningerne sandsynligvis blive brugt til at hjælpe med at forbinde det aktuelle besøg med de foregående.

Ud over fingeraftrykningsenheder baseret på batteriniveau kan forskerne antage, at batterikapaciteten også kan bruges som sporingsvektor - idet det bemærkes, at batteristatus-API'en kan bruges til at "udlede den aktuelle batterikapacitet (EnergyFull) af en enhed, hvis den tillader høj præcisionsniveau udlæsninger. " Igen bemærker de, at denne metode kun fungerede for UPower og Firefox på Linux.

Diskuterer måder at forsvare mod disse batteri API-relaterede sporingsangreb, siger forskerne, at implementeringen af ​​API'en skal undgå at give høj precision værdier - afrunde batteriniveauværdien på en måde for at minimere udsættelse af sådanne identifikationsmærker.

De konkluderer:

Analysen af ​​webstandarder, API'er og deres implementeringer kan afsløre uventede problemer med weblivets fred ved at studere de oplysninger, der er udsat for websider. Den komplekse og betydelige karakter af de nye web-API'er og deres dybere integration med enheder gør det svært at forsvare sig imod sådanne trusler. Privacy forskere og ingeniører kan hjælpe med at håndtere de risici, der er pålagt af disse API'er ved at analysere standarderne og deres implementeringer for deres effekt på weblivets privatliv og sporing. Dette kan ikke kun give feedback til API-designere og browserproducenter, men kan også forbedre gennemsigtigheden omkring disse nye teknologier.

I papiret peger forskerne også på relateret forskning om yderligere fingerprinterteknikker - som Panopticlick-undersøgelsen, der viste, hvordan browseregenskaber (f.eks. Skærmstørrelse, fontlister og plugins) kan bruges til fingerprinterbrugere; eller forskere, der har demonstreret sporingsmetoder ved hjælp af andre egenskaber, såsom klokkeskift, skrifttypestatistik, netværksprotokolegenskaber, JavaScript-motorpræstationer eller WebGL- og lærredgengivelse.

I slutningen af ​​sidste måned afviste sikkerhedsforskere også, hvordan en teknik, der samler brugerens tastetryk - og analyserer deres typestil - kan bruges til at profilere og udsætte brugere af den anonyme Tor-browser.