Incognito-mode beschermt niet tegen supercookies
Gebruikers die de incognito-mode of private browsing van hun browser gebruiken zijn nog steeds via zogeheten "supercookies" te volgen, zo blijkt uit een online test van de Britse ontwikkelaar Sam Greenhalgh. Het probleem wordt veroorzaakt door een beveiligingsmaatregel genaamd "HTTP Strict Transport Security" (HSTS). De maatregel zorgt ervoor dat websites alleen via een beveiligde verbinding worden benaderd.
In het geval een website HSTS heeft ingeschakeld zal de browser dit via een speciale "flag" onthouden en zorgen dat er alleen via HTTPS verbinding wordt gemaakt. Als de gebruiker zelf HTTP in de adresbalk opgeeft wordt hij automatisch naar HTTPS doorgestuurd. Dit automatische doorsturen kan echter ook door een kwaadaardige website worden gebruikt om een uniek getal in de browser van de gebruiker op te slaan en hem zo te volgen. Dit getal kan vervolgens door andere websites worden uitgelezen. Op deze manier kan HSTS ook als trackingmechanisme worden gebruikt.
Om gebruikers meer privacy te geven hebben browsers sinds enige tijd een incognito-mode of private browsing toegevoegd. Hierbij worden bestaande cookies niet met bezochte websites gedeeld en kan de gebruiker de cookies wissen waardoor hij online gevolgd kan worden. Omdat HSTS een beveiligingsmaatregel is en eigenlijk niet voor tracking bedoeld is, gaan browsers er anders mee om dan met cookies het geval is.
Browsers
Sommige browsers zoals Google Chrome, Firefox en Opera proberen dit probleem op te lossen door zowel opgeslagen cookies als HSTS-flags te verwijderen. Volgens Greenhalgh worden bestaande HSTS-flags, in tegenstelling tot cookies, wel met andere websites gedeeld, ook al heeft de gebruiker incognito-mode of private browsing ingeschakeld. In het geval van Safari schijnt het probleem nog groter te zijn, omdat Safari-gebruikers op een Apple-apparaat geen mogelijkheid hebben om de HSTS-flags te verwijderen. Ze worden zelfs gesynchroniseerd met iCloud, zodat ze kunnen worden teruggeplaatst als de gebruiker zijn toestel wist.
"Ik weet niet of de techniek in het wild wordt gebruikt om gebruikers te volgen, hoewel dat niet wil zeggen dat dit niet zo is", zegt Greenhalgh. Hij roept de technische gemeenschap op om te kijken hoe het trackinggedeelte kan worden verholpen, terwijl de waarde van HSTS behouden blijft. In een reactie stelt het Google Chrome Security Team dat er wel maatregelen aan de browser zijn toegevoegd om het probleem aan te pakken, maar dat het uiteindelijk een afweging tussen security en privacy is. Deze vorm van "fingerprinting" zou dan ook niet zijn op te lossen, tenzij er fundamentele veranderingen worden doorgevoerd aan de manier waarop het web werkt. "
Update 7 januari
Greenhalgh laat vandaag in een update van zijn artikel weten dat het probleem niet meer speelt bij Firefox 34. "In tegenstelling tot Google Chrome heeft Firefox privacy boven veiligheid verkozen en neemt HSTS niet meer mee naar privévensters", aldus de onderzoeker.
Alleen deze aanval is mij nog niet duidelijk. Het klopt dat incognito mode een bit data lekt per site, maar de aanvaller kan niet kiezen welke sites jij bezoekt, dus hoe kan dat een unieke code opleveren?
iCab mobile kan meen ik de cookies automatisch verwijderen na een aantal uren.
iCab mobile kan meen ik de cookies automatisch verwijderen na een aantal uren.
In Firefox 34 is de omgang met hsts-headers aangepast, waardoor het probleem niet meer is te misbruiken; dus in incognitomodus kunnen gebruikers niet meer worden geïdentificeerd. In Chrome en Opera werkt de methode van Greenhalgh nog wel, al worden de headers daarbij gewist als de gebruiker zijn cookies verwijdert. In de Safari-browser op de iPad en iPhone kan dat echter niet, waardoor die browser het kwetsbaarst is voor het beveiligingsprobleem.
Bron: "https://tweakers.net/nieuws/100647/veilige-browserfeature-laat-websites-gebruikers-volgen-in-incognitomodus.html"
Nog een reden om bij Firefox te blijven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
