Фондацијата со отворен код го претстави додатокот за прелистувач JShelter за да го ограничи JavaScript API

Фондацијата за слободен софтвер го претстави проектот JShelter, кој развива додаток за прелистувач за заштита од закани кои се јавуваат при користење на JavaScript на веб-локации, вклучувајќи скриена идентификација, следење движења и акумулација на кориснички податоци. Кодот на проектот се дистрибуира под лиценцата GPLv3. Додатокот е подготвен за Firefox, Google Chrome, Opera, Brave, Microsoft Edge и други прелистувачи базирани на моторот Chromium.

Проектот се развива како заедничка иницијатива финансирана од Фондацијата НЛнет. Џорџо Маоне, креаторот на додатокот NoScript, како и основачите на проектот J++ и авторите на додатоците JS-Shield и JavaScript Restrictor, исто така се приклучија на развојот на JShelter. Како основа за новиот проект се користи додатокот JavaScript Restrictor.

JShelter може да се смета како еден вид заштитен ѕид за JavaScript програмски интерфејси достапни за веб-страниците и веб-апликациите. Додатокот обезбедува четири нивоа на заштита, како и флексибилен режим на конфигурација за пристап до API. Нивото нула целосно овозможува пристап до сите API, првото вклучува минимално блокирање што не ја нарушува работата на страниците, второто ниво балансира помеѓу блокирањето и компатибилноста, а четвртото ниво вклучува строго блокирање на се што е непотребно.

Поставките за блокирање на API може да се поврзат со поединечни локации, на пример, заштитата може да се зајакне за некои локации, а за други да се оневозможи. Можете исто така селективно да блокирате одредени JavaScript методи, објекти, својства и функции или да ги менувате повратните вредности (на пример, да произведувате лажни информации за системот). Посебна карактеристика е режимот NBS (Network boundary shield), кој не дозволува страниците да го користат прелистувачот како прокси помеѓу надворешните и локалните мрежи (сите појдовни барања се пресретнати и анализирани).

Блокирани или ограничени API:

• window.Date, window.performance.now(), window.PerformanceEntry, Event.prototype.timeStamp, Gamepad.prototype.timestamp и VRFrameData.prototype.timestamp - точното време може да се искористи за да се идентификуваат и да се извршат напади од страничниот канал .
• HTMLCanvasElement (canvas.toDataURL(), canvas.toBlob(), CanvasRenderingContext2D.getImageData, OffscreenCanvas.convertToBlob()) - се користи за одредување на карактеристиките на графичкиот потсистем при идентификување на корисник.
• AudioBuffer и AnalyserNode (AudioBuffer.getChannelData(), AudioBuffer.copyFromChannel(), AnalyserNode.getByteTimeDomainData(), AnalyserNode.getFloatTimeDomainData(), AnalyserNode.getByteFrequencyData. на аудио сигнали.
• WebGLRenderingContext - идентификација преку анализа на карактеристиките на графичкиот стек и графичкиот процесор.
• MediaDevices.prototype.enumerateDevices - идентификација со добивање параметри и имиња на камерата и микрофонот.
• navigator.deviceMemory, navigator.hardwareConcurrency - добивање информации за хардверот.
• XMLHttpRequest (XHR) - ги пренесува собраните системски информации на надворешен сервер откако ќе се вчита страницата.
• ArrayBuffer - извршување на микроархитектонски напади Spectre.
• WebWorker (window.Worker), SharedArrayBuffer (window.SharedArrayBuffer) - извршување напади кои ги оценуваат доцнењата при пристап до податоци.
• API за геолокација (navigator.geolocation) - пристап до информации за локацијата (додатокот ви овозможува да ги искривите вратените податоци).
• Gamepad API (navigator.getGamepads()) е еден од знаците за идентификација што го зема предвид присуството на gamepad во системот.
• Virtual Reality API, Mixed Reality API - употреба на параметри на уредот за виртуелна реалност за идентификација.
• прозорец.име - протекување на вкрстени локации.
• navigator.sendBeacon - се користи за веб-аналитика.

Извор: opennet.ru