Die Free Software Foundation hat das Browser-Add-On JShelter zur Einschränkung von JavaScript-APIs vorgestellt.

Die Free Software Foundation hat das Projekt JShelter vorgestellt, das eine Browser-Erweiterung entwickelt, um vor Bedrohungen zu schützen, die durch die Verwendung von JavaScript auf Websites entstehen. Dazu gehören versteckte Identifikation, Bewegungsverfolgung und die Ansammlung von Benutzerdaten. Der Code des Projekts wird unter der GPLv3-Lizenz veröffentlicht. Die Erweiterung ist für Firefox, Google Chrome, Opera, Brave, Microsoft Edge und andere Browser auf Chromium-Basis vorgesehen.

Das Projekt entwickelt sich als gemeinsame Initiative, die von der NLnet Foundation finanziert wird. Zu den Entwicklern von JShelter gehört auch Giorgio Maone, der Schöpfer der Erweiterung NoScript, sowie die Gründer des Projekts J++ und die Autoren der Erweiterungen JS-Shield und JavaScript Restrictor. Als Grundlage für das neue Projekt wurde die Erweiterung JavaScript Restrictor verwendet.

JShelter kann als eine Art Firewall für die JavaScript-Schnittstellen angesehen werden, die Websites und Webanwendungen zur Verfügung stehen. Die Erweiterung bietet vier Schutzstufen sowie einen flexiblen Zugriffsteuerungsmodus für APIs. Die Nullstufe erlaubt den vollständigen Zugriff auf alle APIs, die erste enthält minimale Sperren, die den Seitenbetrieb nicht stören, die zweite Stufe findet ein Gleichgewicht zwischen Sperren und Kompatibilität, während die vierte Stufe eine strenge Sperre aller unwichtigen Elemente umfasst.

Die API-Sperrkonfigurationen können an bestimmte Websites gebunden werden, z. B. kann der Schutz für eine Website verstärkt und für eine andere deaktiviert werden. Es ist auch möglich, bestimmte Methoden, Objekte, Eigenschaften und Funktionen von JavaScript selektiv zu blockieren oder zurückgegebene Werte zu manipulieren (z. B. falsche Systeminformationen auszugeben). Besondere Erwähnung findet der Modus NBS (Network Boundary Shield), der es Seiten verbietet, den Browser als Proxy zwischen dem externen und lokalen Netzwerk zu verwenden (alle ausgehenden Anfragen werden abgefangen und analysiert).

Blockierte oder eingeschränkte APIs:

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp und VRFrameData.prototype.timestamp — die abgegebene genaue Zeit kann zur Identifizierung und Durchführung von Angriffen über sekundäre Kanäle genutzt werden.
• HTMLCanvasElement (canvas.toDataURL(), canvas.toBlob(), CanvasRenderingContext2D.getImageData, OffscreenCanvas.convertToBlob()) — werden verwendet, um die Eigenschaften des grafischen Subsystems bei der Benutzeridentifizierung zu bestimmen.
• AudioBuffer und AnalyserNode (AudioBuffer.getChannelData(), AudioBuffer.copyFromChannel(), AnalyserNode.getByteTimeDomainData(), AnalyserNode.getFloatTimeDomainData(), AnalyserNode.getByteFrequencyData() und AnalyserNode.getFloatFrequencyData()) — Identifizierung durch die Analyse von Audiosignalen.
• WebGLRenderingContext — Identifizierung durch die Analyse der Eigenschaften des Grafikstacks und der GPU.
• MediaDevices.prototype.enumerateDevices — Identifizierung durch das Abrufen von Parametern und Namen von Kamera und Mikrofon.
• navigator.deviceMemory, navigator.hardwareConcurrency — Abruf von Informationen zur Hardware.
• XMLHttpRequest (XHR) — Übermittlung der gesammelten Informationen über das System nach der Server dem Laden der Seite.
• ArrayBuffer — Durchführung von Mikroarchitektur-Angriffen der Art Spectre.
• WebWorker (window.Worker), SharedArrayBuffer (window.SharedArrayBuffer) — Durchführung von Angriffen, die Verzögerungen beim Zugriff auf Daten bewerten.
• Geolocation API (navigator.geolocation) – Zugriff auf Standortdaten (das Add-on ermöglicht es, die zurückgegebenen Daten zu verzerren).
• Gamepad API (navigator.getGamepads()) – ein Identifikationsmerkmal, das die Verfügbarkeit eines Gamepads im System berücksichtigt.
• Virtual Reality API, Mixed Reality API – Verwendung von Parametern von Virtual-Reality-Geräten zur Identifikation.
• window.name – Cross-Site-Leaks.
• navigator.sendBeacon – wird für Web-Analytik verwendet.

Quelle: opennet.ru