오픈 소스 재단은 JavaScript API를 제한하기 위해 JShelter 브라우저 추가 기능을 도입했습니다.

자유 소프트웨어 재단(Free Software Foundation)은 숨겨진 식별, 움직임 추적, 사용자 데이터 축적 등 웹 사이트에서 JavaScript를 사용할 때 발생하는 위협으로부터 보호하기 위해 브라우저 추가 기능을 개발하는 JShelter 프로젝트를 소개했습니다. 프로젝트 코드는 GPLv3 라이센스에 따라 배포됩니다. 이 추가 기능은 Firefox, Google Chrome, Opera, Brave, Microsoft Edge 및 Chromium 엔진 기반의 기타 브라우저용으로 준비되었습니다.

이 프로젝트는 NLnet 재단이 자금을 지원하는 공동 계획으로 개발되고 있습니다. NoScript 애드온 작성자인 Giorgio Maone, J++ 프로젝트 창립자, JS-Shield 및 JavaScript Restrictor 애드온 작성자도 JShelter 개발에 참여했습니다. JavaScript Restrictor 추가 기능은 새 프로젝트의 기초로 사용됩니다.

JShelter는 웹사이트와 웹 애플리케이션에서 사용할 수 있는 JavaScript 프로그래밍 인터페이스를 위한 일종의 방화벽으로 생각할 수 있습니다. 추가 기능은 XNUMX가지 보호 수준과 API 액세스를 위한 유연한 구성 모드를 제공합니다. 레벨 XNUMX은 모든 API에 대한 액세스를 완전히 허용합니다. 첫 번째 레벨은 페이지 작동을 방해하지 않는 최소한의 차단을 포함하고, 두 번째 레벨은 차단과 호환성 사이의 균형을 이루고, 네 번째 레벨은 불필요한 모든 것을 엄격하게 차단합니다.

API 차단 설정은 개별 사이트에 연결될 수 있습니다. 예를 들어 일부 사이트에서는 보호가 강화되고 다른 사이트에서는 비활성화될 수 있습니다. 또한 특정 JavaScript 메서드, 개체, 속성 및 함수를 선택적으로 차단하거나 반환 값을 변경할 수도 있습니다(예: 시스템에 대한 잘못된 정보 생성). 별도의 기능은 페이지가 외부 네트워크와 로컬 네트워크 간의 프록시로 브라우저를 사용하는 것을 허용하지 않는 NBS(네트워크 경계 보호) 모드입니다(모든 나가는 요청을 가로채서 분석합니다).

차단되거나 제한된 API:

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp 및 VRFrameData.prototype.timestamp - 정확한 시간 출력을 사용하여 부채널 공격을 식별하고 수행할 수 있습니다. .
• HTMLCanvasElement(canvas.toDataURL(), canvas.toBlob(), CanvasRenderingContext2D.getImageData, OffscreenCanvas.convertToBlob()) - 사용자를 식별할 때 그래픽 하위 시스템의 기능을 결정하는 데 사용됩니다.
• AudioBuffer 및 AnalyserNode(AudioBuffer.getChannelData(), AudioBuffer.copyFromChannel(), AnalyserNode.getByteTimeDomainData(), AnalyserNode.getFloatTimeDomainData(), AnalyserNode.getByteFrequencyData() 및 AnalyserNode.getFloatFrequencyData()) - 오디오 신호 분석을 통한 식별.
• WebGLRenderingContext - 그래픽 스택 및 GPU의 기능 분석을 통해 식별합니다.
• MediaDevices.prototype.enumerateDevices - 카메라와 마이크의 매개변수와 이름을 획득하여 식별합니다.
• navigator.deviceMemory, navigator.hardwareConcurrency - 하드웨어에 대한 정보를 얻습니다.
• XMLHttpRequest(XHR) - 페이지가 로드된 후 수집된 시스템 정보를 외부 서버로 전송합니다.
• ArrayBuffer - 마이크로아키텍처 스펙터 공격을 수행합니다.
• WebWorker(window.Worker), SharedArrayBuffer(window.SharedArrayBuffer) - 데이터에 액세스할 때 지연을 평가하는 공격을 수행합니다.
• Geolocation API(navigator.geolocation) - 위치 정보에 액세스합니다(추가하면 반환된 데이터를 왜곡할 수 있음).
• 게임패드 API(navigator.getGamepads())는 시스템에 게임패드가 있는지를 고려하는 식별 기호 중 하나입니다.
• 가상 현실 API, 혼합 현실 API - 식별을 위해 가상 현실 장치 매개변수를 사용합니다.
• window.name - 사이트 간 누수.
• navigator.sendBeacon - 웹 분석에 사용됩니다.

출처 : opennet.ru