En ny teknik för hemlig identifiering av system och webbläsare har presenterats

En grupp forskare från Graz tekniska universitet (Österrike), tidigare känd för utvecklingen av attackmetoder MDS, NetSpectre och Throwhammer, den första dokumenterade händelsen av en cyberattack, som huvudsakligen genomfördes av AI. En statligt stödd kinesisk grupp använde AI-agenter för att autonomt hacka cirka 30 mål världen över. AI:n genomförde själv mellan 80 % och 90 % av de taktiska operationerna. Detta inträffade redan innan agentbaserade system kraftigt förstärktes och innan nya farliga tillämpningsmetoder uppkom. uppgifter om en ny analysmetod via sidokanaler som möjliggör att bestämma den exakta versionen av webbläsaren, det använda operativsystemet, CPU-arkitekturen och användningen av tillägg för att motverka dold identifiering.

För att fastställa dessa parametrar räcker det med att köra JavaScript-kod som forskarna har förberett i webbläsaren. I praktiken kan metoden användas inte bara som en ytterligare källa för indirekt identifiering av användaren, utan också för att bestämma parametrarna för systemmiljön för målmedveten användning av exploits med hänsyn till OS, arkitektur och webbläsare. Metoden är effektiv även när den används i webbläsare som implementerar mekanismer för att blockera dold identifiering, som Tor Browser. Källkoden till prototypen som implementerar metoden som offentlig domän ( licensieras under MIT.

Bestämningen görs på basis av mönster av tillståndsegenskaper i JavaScript och egenskaperna för körningstiderna av operationer, som beror på funktionerna i JIT, CPU och minneshanteringsmekanismer. Bestämningen av egenskaper görs genom att generera en lista över alla objekt som är tillgängliga från JavaScript. Som det visade sig korrelerar antalet objekt direkt med webbläsarens motor och dess version.

function getProperties(o) {
var result = [];
while (o !== null) {
result = result.concat(Reflect.ownKeys(o));
o = Object.getPrototypeOf(o);
}
return result;
}

Till exempel, för Firefox anges i dokumentationen att det finns stöd för 2247 egenskaper, medan det verkliga antalet identifierade egenskaper, med hänsyn till icke-dokumenterade, uppgår till 15709 (i Tor Browser – 15639), för Chrome anges 2698 egenskaper, men det verkliga erbjudandet är 13570 (i Chrome för Android – 13119). Antalet och värdena på egenskaperna varierar från version till version av webbläsaren och vid användning av olika operativsystem.

Värden och förekomsten av olika egenskaper kan användas för att bestämma typen av operativsystem. Till exempel, i Kubuntu sätts egenskapen window.innerWidth till värdet 1000, medan i Windows 10 sätts den till 1001. I Windows finns egenskapen window.navigator.activeVRDisplays, medan den saknas i Linux. För Android finns många specifika anrop, men window.SharedWorker finns inte. För att identifiera operativsystemet föreslås det även att använda analys av WebGL-parametrar, vars tillstånd beror på drivrutiner. Dessutom tillåter anropet WEBGL_debug_renderer_infoextension att få information om OpenGL-renderingsmotorn, som varierar beroende på operativsystem.

För att bestämma CPU används en utvärdering av tidsdifferenserna i körningen av olika typiska kodblock, vars bearbetning beror på arkitekturen av kommandoset med hänsyn till JIT-beteende (det fastställs hur många CPU-register som kommer att användas och i vilka fall JIT kommer att generera effektiv kod med optimeringar och inbegripande av utökade instruktioner, och när det inte gör det). För att bestämma typen av minnesfördelning och operativsystem mäts också tidsdifferensen för minnesallokering för olika strukturer, vilket ger en uppfattning om storleken på minnesblock.

De parametrar som fastställs under körningen av skriptet jämförs med referensvärden som är typiska för förhandsprövade miljöer. Under kontrollen gjorde den utvecklade tekniken det möjligt att exakt identifiera 40 olika testmiljöer, vilket fastställde versionerna av de använda webbläsarna, CPU-tillverkaren, det använda operativsystemet och om det kördes på riktig hårdvara eller i en virtuell maskin.

Särskilt märks möjligheten att identifiera webbläsartillägg och till och med specifika inställningar för tillägg, inklusive tillägg som är avsedda för att blockera metoder för dold identifiering eller aktiviteter för privat surfning. I kontexten av den föreslagna metoden blir sådana tillägg en ytterligare datakälla för identifiering. Tillägg identifieras genom att utvärdera förvrängningar av parametrarna i den ursprungliga miljön som införs av tilläggen.

Bland andra identifieringsmetoder kan indirekta data som skärmupplösning, en lista över stödda MIME-typer, specifika parametrar i rubriker (HTTP/2 och HTTPS), analys av installerade tillägg och typsnitt, tillgänglighet av vissa Web API:er, specifika för grafikkort funktioner rendering med hjälp av WebGL och Canvas, manipulering med CSS, analys av arbetssätt med musen och tangentbordet.

Källa: opennet.ru