קרן הקוד הפתוח הציגה את תוסף הדפדפן JShelter כדי להגביל את ה-API של JavaScript

קרן התוכנה החופשית הציגה את פרויקט JShelter, שמפתח תוסף לדפדפן להגנה מפני איומים המתעוררים בעת שימוש ב-JavaScript באתרי אינטרנט, לרבות זיהוי נסתר, מעקב אחר תנועות וצבירת נתוני משתמשים. קוד הפרויקט מופץ תחת רישיון GPLv3. התוסף מוכן עבור Firefox, Google Chrome, Opera, Brave, Microsoft Edge ודפדפנים אחרים המבוססים על מנוע Chromium.

הפרויקט מפותח כיוזמה משותפת במימון קרן NLnet. ג'ורג'יו מאונה, יוצר התוסף NoScript, כמו גם מייסדי פרויקט J++ ומחברי התוספות JS-Shield ו-JavaScript Restrictor, הצטרפו גם הם לפיתוח של JShelter. תוסף JavaScript Restrictor משמש כבסיס לפרויקט החדש.

ניתן לחשוב על JShelter כמעין חומת אש עבור ממשקי תכנות JavaScript הזמינים לאתרי אינטרנט ויישומי אינטרנט. התוסף מספק ארבע רמות הגנה, כמו גם מצב תצורה גמיש לגישה ל-API. רמה אפס מאפשרת לחלוטין גישה לכל ה-API, הראשונה כוללת חסימה מינימלית שאינה משבשת את פעולת הדפים, הרמה השנייה מאזנת בין חסימה לתאימות, והרמה הרביעית כוללת חסימה קפדנית של כל מיותר.

ניתן לקשור את הגדרות חסימת ה-API לאתרים בודדים, לדוגמה, ניתן לחזק את ההגנה עבור אתרים מסוימים, ולהשבית עבור אחרים. אתה יכול גם לחסום באופן סלקטיבי שיטות מסוימות של JavaScript, אובייקטים, מאפיינים ופונקציות, או לשנות ערכי החזרה (לדוגמה, לייצר מידע שקרי על המערכת). תכונה נפרדת היא מצב NBS (Network boundary shield), שאינו מאפשר לדפים להשתמש בדפדפן כפרוקסי בין רשתות חיצוניות למקומיות (כל הבקשות היוצאות יורטו ומנתחות).

ממשקי API חסומים או מוגבלים:

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp ו-VRFrameData.prototype.timestamp - ניתן להשתמש בפלט הזמן המדויק כדי לזהות ולבצע התקפות בערוץ צדדי .
• HTMLCanvasElement (canvas.toDataURL(), canvas.toBlob(), CanvasRenderingContext2D.getImageData, OffscreenCanvas.convertToBlob()) - משמש לקביעת התכונות של תת-המערכת הגרפית בעת זיהוי משתמש.
• AudioBuffer ו- AnalyserNode (AudioBuffer.getChannelData(), AudioBuffer.copyFromChannel(), AnalyserNode.getByteTimeDomainData(), AnalyserNode.getFloatTimeDomainData(), AnalyserNode.getByteFrequencyData() ו- AnalyserNode.getidentaFloat analysis של ניתוח אותות.Data.getByteTimeDomainData.
• WebGLRenderingContext - זיהוי באמצעות ניתוח תכונות של מחסנית הגרפיקה וה-GPU.
• MediaDevices.prototype.enumerateDevices - זיהוי באמצעות קבלת פרמטרים ושמות של המצלמה והמיקרופון.
• navigator.deviceMemory, navigator.hardwareConcurrency - קבלת מידע על חומרה.
• XMLHttpRequest (XHR) - מעביר מידע מערכת שנאסף לשרת חיצוני לאחר טעינת הדף.
• ArrayBuffer - ביצוע התקפות ספקטר מיקרו-ארכיטקטוניות.
• WebWorker (window.Worker), SharedArrayBuffer (window.SharedArrayBuffer) - ביצוע התקפות שמעריכות עיכובים בעת גישה לנתונים.
• Geolocation API (navigator.geolocation) - גישה למידע על מיקום (התוספת מאפשרת לעוות את הנתונים המוחזרים).
• Gamepad API (navigator.getGamepads()) הוא אחד מסימני הזיהוי שלוקח בחשבון את הנוכחות של gamepad במערכת.
• Virtual Reality API, Mixed Reality API - שימוש בפרמטרים של מכשירי מציאות מדומה לצורך זיהוי.
• window.name - דליפות חוצות אתרים.
• navigator.sendBeacon - משמש לניתוח אינטרנט.

מקור: OpenNet.ru