Sissejuhatus
Eelmisel nädalal avaldasid Hamburgi ülikooli turvateadlased a paber kirjeldades uut meetodit, mida veebisaidid saaksid kasutada brauseri kasutajate ajaloo jälgimiseks. Nende tehnika kasutab SESS-is rakendatud seansi jätkamise funktsiooni TLS protokoll.
TLS istungid
TLS on krüptograafiline protokoll, mida brauserid kasutavad HTTPS-veebiserveritega suhtlemise kindlustamiseks, luues brauseri ja serveri vahel krüptitud ühenduse. Sisse TLS žargoon, server loob a istung iga sellise kohta TLS ühendus.
Seansi loomiseks on vaja enne tegelikke veebiandmeid vahetada täiendavaid andmeid - näiteks digitaalseid sertifikaate ja krüptovõtmeid. A. Loomise protsess TLS seanssi nimetatakse käepigistus läbirääkimised
Kõigile käepigistuse sooritamine TLS ühendus nõuab suuremat ribalaiust kui krüptimata HTTP ja see on hiljuti avaldatud üks peamisi probleeme TLS 1.3 protokoll.
Kui soovite lähemalt lugeda TLS ja mida TLS 1.3. Selle vähendamiseks vaadake palun Käesoleva artikli.
TLS seansi jätkamine
Käepigistustega seotud üldkulude leevendamiseks TLS võimaldab seansi jätkamine, mis võimaldab brauseril jätta vahele käepigistuse protsess serveriga, millega ta on hiljuti seansi loonud.
Seanss kestab etteantud ajavahemiku, mõnest minutist mitme tunnini. Kui brauser külastab seansi aknas serverit, jätkub TLS seanssi saab jätkata ühe kaudu jätkamise taotlus, täieliku käepigistuse läbirääkimiste asemel (TLS 1.3 võimaldab brauseril tegelikult koos seansi jätkamise taotlusega saata rakenduse andmeid, pakkudes tegelikult sama kiiret jõudlust kui krüptimata HTTP.)
Kasutajate jälgimine TLS seansi jätkamine
Kahjuks on enamikel juhtudel turvalisus ja kasulikkus pöördvõrdelised ning Hamburgi teadlased on näidanud, et seansside jätkamine parandab jõudlust kasutajate privaatsuse arvelt.
Interneti kasutajate jälgimiseks on aastate jooksul kasutatud arvukalt tehnikaid, näiteks püsivaid küpsiseid või brauseri sõrmejälgi. Nende kõigi eesmärk on võimaldada veebisaitidel kasutajat üheselt tuvastada külastuste ajal, sõltumata nende IP-aadressist, asukohast või privaatsuseelistustest.
Selles osas a TLS sessiooni jätkamist, mis on unikaalselt seotud konkreetse brauseriga, saab kasutada kasutajate jälgimiseks samamoodi nagu küpsised. Põhimõtteliselt saab brauser seansi jätkamisel korreleerida ühenduse algselt seansi loonuga, isegi kui kasutaja külastab teist võrku (st erinevat IP-aadressi) või erinevaid privaatsusseadeid (nt kasutajaagent) ).
Pikendamise rünnak
Ülalkirjeldatud meetodit kasutades saab iga üksikut kasutajat jälgida (maksimaalselt) mitu tundi, sõltuvalt läbiräägitud seansi akna pikkusest.
Veebisait võib aga iga seansi jätkamisel seanssi uueks ajavahemikuks pikendada, lähtestades seansi akna ja pikendades seansi eluiga lõpmatuseni. Leht nimetab seda tehnikat a pikendamise rünnak.
Teadlased on näidanud, et seda tehnikat saab kasutada püsivalt jälgige 65% oma andmestiku kasutajatest, kuna need kasutajad külastavad jälgimisveebisaite sagedamini kui seansid aeguvad.
Lisaks on nad näidanud, et veebisaidid saavad kasutada manustatud sisu oma kasutajate jälgimiseks isegi erinevatel saitidel. Näiteks saab miljonites veebisaitidel manustatud reklaamivõrgustik jälgida üksikuid kasutajaid kõik need saidid. (Tuleb märkida, et mõned brauserid blokeerivad, nagu dokumendis mainitud, seansi jätkamise taotlusi kolmandate osapoolte veebisaitidelt.)
Kas ma olen haavatav?
Protokolliliselt kõik TLS versioonid (sealhulgas uusimad versioonid) TLS 1.3) pakuvad seansi jätkamise mehhanismi, mis tähendab, et kasutajaid saab selle tehnika abil jälgida, olenemata sellest TLS versiooni.
Lisaks leiti, et dokumendis testitud 48 brauserist on ainult 3 keelatud TLS seansi jätkamine. Need brauserid on:
- JonDoBrowser
- Tor Browser
- Orbot (mobiilile)
Selle abil saate testida, kas teie brauser (või muu kliendi tarkvara) on selle jälgimistehnika suhtes haavatav Selle tööriista kliendi kohta aruande loomiseks TLS Tugi.
Kontrollige jaotist „Protokolli üksikasjad” - kui seansipiletite väärtuseks on seatud „Jah”, siis on teie brauseris seansi jätkamine lubatud ja olete jälgitav.
Kas on olemas parandus?
TLS seansi jätkamise piletid salvestatakse brauseris TLS vahemälu, mis hävitatakse iga kord, kui brauseriprotsess suletakse.
Kui sulete brauseri regulaarselt ja äärmine privaatsus pole tingimata vajalik, peaksite olema selle meetodi eest kaitstud.
Kahjuks hoiavad enamus kaasaegseid mobiilseid operatsioonisüsteeme rakendusi alati sees, mis tähendab, et pole haruldane, kui brauseri eksemplar jääb päevade kaupa aktiivseks. Ehkki see on mõnevõrra ebausutav, on juhtumeid, kus kasutajat on võimalik reaalses maailmas jälgida.
Sel põhjusel kutsuvad erinevad privaatsusele orienteeritud kasutajarühmad brausereid selle funktsiooni keelama (või vähemalt lisama selle keelamise võimaluse). Selle kirjutamise seisuga pole ükski suurem brauser seda küsimust avalikult arutanud.
Vahepeal, kui vajate rohkem privaatsust, võite veebisaiti külastada režiimis „inkognito” või „privaatsus”. Privaatsusrežiimi kasutav brauser loob uue TLS vahemälu, millel pole juurdepääsu tavapärastele seansi jätkamise piletitele.
Vastasel juhul võite ajutiselt lülituda ühele kolmest brauserist, mis ei toeta seansi jätkamist. Teise võimalusena saate selle funktsiooni Firefoxis käsitsi keelata, kasutades järgmist meetodit.
Keela seansi identifikaatorid Mozilla Firefoxis
Mozilla Firefox oli parandatud 2014. aastal brauseri konfiguratsioonis dokumentideta valiku toetamiseks seansi jätkamise keelamiseks.
Seansi jätkamise väljalülitamiseks peate külastama about:config Firefoxis (jätkamiseks klõpsake nuppu „Nõustun riskiga”). Seejärel kuvab Firefox teie brauseri eelistuste loendi.
Paremklõpsake suvalist eelistust ja valige „Uus” ja „Loogiline”, nagu on näidatud järgmisel pildil.
Kuvatakse hüpikteade, milles küsitakse eelistuse nime. Tüüp:
security.ssl.disable_session_identifiers
Ja valige väärtuse jaoks “true”. Kui tegite kõik õigesti, peaksite nägema midagi sarnast alloleva pildiga.
Kui külastate nüüd SSL-brauseri kontrollimise tööriist Firefoxiga peaks ta teatama, et seansipiletid on keelatud, mis tähendab, et olete turvaline TLS seansi jälgimine.
Mozilla hakkab blokeerima kõiki kolmandate osapoolte jälgijaid
Lõpuks, Mozilla on teatas hiljuti] et nad muudavad oma sisupoliitikat. Nad tutvustasid uut funktsiooni nimega Sisu blokeerimine sisse (praegu viimane) versioon 63, mis võimaldab kasutajatel blokeerida mis tahes kolmanda osapoole sisu, mida Firefox veebisaitidel tuvastab.
Veelgi enam, versioonis 65 hakkab Firefox blokeerima kõik kolmanda osapoole sisu vaikimisi; Nii peavad kasutajad enne välise sisu renderdamist andma selgesõnalise loa.
Lisaks kasutajate privaatsuse tohututele parandustele vähendab see uus sisu blokeerimise poliitika tahtmatult ka TLS seansi jätkamise tehnika. Kuigi see pole sugugi täielik parandus, saavad veebisaidid Firefoxi kasutajaid jälgida ainult siis, kui nad neid tegelikult külastavad, kuna saitidevaheline jälgimine tugineb kolmanda osapoole sisule.
Järeldus
Õnneks kasutajate jälgimine TLS on osutunud usutavaks, kuid pole praktiline enamiku Interneti-kasutajate jaoks. Sellest hoolimata on juhtumeid, kus on vaja absoluutset privaatsust, ja kuigi ajutised lahendused (näiteks ülalkirjeldatud Firefoxi parandus) on olemas, võime peamistelt brauserimüüjatelt oodata asjakohast leevendust.
Nagu alati, aitäh SSL.com valimise eest - kus me usume a ohutum Internet on a parem Internet.
