מתקפה מקוונת חדשה מכוונת לשירותים משותפים

חוקרים מהמכון הטכנולוגי של ניו ג'רזי פרסם בשבוע שעבר את הפרטים של מתקפה ממוקדת חדשה שיכולה לחשוף את זהותו של מבקר אתר אנונימי כביכול. זה מאפשר לשחקן גרוע שיש לו שליטה על אתר אינטרנט לקבוע אם אנשים ממוקדים ספציפיים מבקרים בו. זה עושה זאת על ידי שימוש בשירותים, כמו YouTube, Google Drive או Dropbox, שמשתמשים עשויים להיות מחוברים ברקע כדי לזהות מזהה אנונימי כמו שם משתמש. זו מתקפה שקשה להגן עליה מכיוון שהיא לא מסתמכת על דברים כמו קובצי Cookie, טביעת אצבע בדפדפן או כל אחת מהשיטות הרגילות מעקב אחר מבקרים באתר, זה דפדפנים כמו פיירפוקס וספארי מתחילים לחסום.

ההתקפה הזו קצת מסובכת אם אתה לא מבין איך היא עובדת, אז בואו נפרק אותה. זה מסתמך על התוקפים שיש להם שלושה דברים:

• שליטה באתר שהיעד שלהם עלול לבקר בו (או להטעות אותו לבקר).
• כתובת הדואר האלקטרוני של היעד, חשבון הפייסבוק, חשבון הטוויטר או פרופיל אחר שניתן לזהות אותו בפומבי.
• שירות כמו Facebook, YouTube, Google Drive או Dropbox המאפשר לשתף מסמכים, קבצים או כל דבר אחר עם משתמשים ספציפיים.

התוקפים צריכים להניח שכמו רוב משתמשי האינטרנט, המטרה שלהם כנראה נשארת מחוברת לרוב שירותי שיתוף המשאבים הללו. אחרי הכל, זה איך פייסבוק מסוגלת לעקוב אחר כל כך הרבה נתונים על המשתמשים שלה.

[קָשׁוּר: עם 'צנצנות עוגיות' ספציפיות לאתר, פיירפוקס מקווה לרסן את מעקב המשתמשים]

גרסה פשוטה של ​​המתקפה תיראה בערך כך: נגיד, האקר רוצה להתקין משהו כמו תוכנת הריגול של פגסוס במחשב שלי אבל הם לא רוצים להתקין את זה על כל מבקר באתר כי הם חוששים שחוקרי אבטחה יגלו את זה וימציא דרכים לצמצם את האיום. הם יודעים שאני עוסק במדע וטכנולוגיה כי אני כותב עבור מדע פופולרי, והם יודעים את כתובת האימייל שלי כי היא ציבורית. כדי למקד אותי, הם יכולים להקים אתר מזויף של הודעה לעיתונות מדעית (או יותר טוב, לסחוט או לפרוץ את דרכם לשליטה באתר לגיטימי) ולהטמיע מסמך גוגל בדף. המסמך מוגדר כך שהוא ציבורי לכולם מלבד חשבון Google חסום אחד - זה המשויך לכתובת האימייל שלי.

אם אתה או מישהו אחר מבקר בדף, המסמך נטען כרגיל. עם זאת, אם אני מבקר בדף (ואני מחובר ל-Gmail ברקע), המסמך לא ייטען. ההאקרים לא יכולים לראות דבר מזה אבל הם יכולים להשתמש ב-Javascript כדי לחקור את הביצועים של מטמון ה-CPU, אשר יכול למדוד את הזמן שלוקח לקרוא נתונים, ולהשתמש בזה כדי להסיק אם המסמך נטען עבור המשתמש או לֹא. לאחר שהשיג שליטה מוחלטת באתר והתחבר למשתמש הממוקד, הם יכלו לפרוס א "אפס קליק" ביום אפס לתקוף כדי להתקין את תוכנת הריגול שלהם במחשב שלי בלי ששמתי לב - ובלי להתקין אותה עבור מישהו אחר בטעות. כל מה שהם צריכים לעשות זה לגרום לי לבקר באתר.

אמנם מדובר בהתקפה ממוקדת מאוד, אבל החוקרים מציעים גם מקרה שימוש אפשרי רחב יותר למתקפה. אם ה-FBI גילה פורום בשימוש על ידי קיצונים אנונימיים והצליח להשתלט עליו (טקטיקה הם השתמשו בעבר), הם עלולים להפוך את האנונימיות למספר משתמשים על סמך רשימה של חשבונות פייסבוק חשודים המשויכים לקבוצה.

זה גם יכול להשפיע על סוגים רבים ושונים של מכשירים ודפדפנים. החוקרים השתמשו בו במספר רב של ארכיטקטורות מעבד שולחני ונייד (כולל אינטל, אפל וקוואלקום), מערכות הפעלה (כולל Windows, macOS ו-Android), דפדפנים (כולל Chrome, Safari, Firefox ודפדפן Tor ממוקד אבטחה), ושירותי שיתוף משאבים פופולריים (כולל גוגל, טוויטר, LinkedIn, TikTok, Facebook, Instagram, ו Reddit). הם הגיעו למסקנה ש"רוב גדול של משתמשי האינטרנט פגיעים".

וגם אם אתה יודע שאתה פגיע, זו עדיין מתקפה שקשה למנוע אותה. החוקרים פנו לספקי הדפדפנים ולשירותי השיתוף המושפעים, אך אמרו שאין "תיקון מיידי... שאינו משפיע באופן דרמטי על חווית הגלישה של המשתמש." בינתיים, הם שחררו א פלאגין עבור כרום ו פיירפוקס שנקרא Leakuidator+ שיכול למתן כמה גרסאות של המתקפה, על ידי הסרתם של נתוני זיהוי של צד שלישי כמו עוגיות מכל בקשה שעלולה להיות מסוכנת.

בינתיים, משתמשים יכולים לנקוט בצעדי מניעה על ידי אי מתן כניסות מיותרות לשירותי שיתוף, אי כניסה לחשבונות אישיים במכשיר אחר כגון עבודה מחשב או להיפך, ושימוש ב-Safari, Tor, Firefox או דפדפן אחר המגביל קובצי Cookie של צד שלישי כברירת מחדל (כיוון שהוא הופך גרסאות מסוימות של המתקפה לבלתי אפשרי לִשְׁלוֹף).

כמעט כל השלבים האלה יהפכו את השימוש באינטרנט לפחות נעים ויותר לא נוח - אבל זו ההקרבה אתה צריך לעשות אם אתה חושש שאתה יכול להיות קורבן של ממוקד מתוחכם (וכנראה בחסות המדינה) לִתְקוֹף. אלו סוגי הפריצות ש מצב הנעילה החדש של אפל תוכנן להתמודד איתו.