Aanval onthult surfgeschiedenis internetters
Google beveiligingsonderzoeker Michael Zalewski heeft een nieuwe aanval gedemonstreerd waarmee websites de surfgeschiedenis van internetgebruikers kunnen achterhalen. Een soortgelijk probleem werd de afgelopen twee jaar door browserontwikkelaars gedicht. Via CSS was het toen mogelijk om op eenvoudige wijze de surfgeschiedenis te stelen, iets wat door verschillende pornosites ook werd gedaan.
Geschiedenis
De CSS functie zorgde ervoor dat eerder bezochte websites anders werden weergegeven dan nog niet bezochte sites. De browserontwikkelaars losten het probleem uiteindelijk op. Via een "cache timing" aanval op de browsercache weet Zalewski de eerder bezochte gegevens alsnog te achterhalen.
Voor de aanval wordt een iframe tag met een lijst van websites in de bezochte website geladen. Vervolgens wordt uitgerekend hoe snel de websites worden weergegeven. Websites die eerder laden zijn zeer waarschijnlijk al in de browsercache opslagen, wat erop duidt dat de gebruiker deze website al heeft bezocht.
Demonstratie
"Mijn proof-of-concept is nog redelijk grof, en zal voor een klein deel van de lezers niet werken, maar het biedt een snelle manier om de cache te inspecteren." Naar eigen zeggen zou de demonstratie voor 84% van de Firefox-gebruikers werken. Voor Safari is er geen demonstratie beschikbaar.
In de eerste plaats is de meerderheid van de Firefox gebruikers wel wat meer dan ~2.000.000 (hoop ik).
In de tweede plaats kan iframe blocking ook uit staan (is standaard, geloof ik).
De meeste firefox gebruikers weten niet eens wat een plugin is. Het idee dat de meeste gebruikers noscript gebruiker is nogal vergezocht.
Van de +-270 miljoen gebruikers zijn de meeste overgeschakeld juist vanwege de mogelijkheid om add on's te installeren.
"Functions can be added through extensions, created by third-party developers,[18] of which there is a wide selection, a feature that has attracted many of Firefox's users." (bron : https://en.wikipedia.org/wiki/Firefox)
Van de +-270 miljoen gebruikers zijn de meeste overgeschakeld juist vanwege de mogelijkheid om add on's te installeren.
Persoonlijk denk ik dat het meerendeel van de gebruikers Firefox heeft geïnstalleerd op advies van "een handige jongen die de computer virusvrij maakt" of het bij de buren heeft gezien, waar het door deze handige jongen is geïnstalleerd....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
