Abo
  • Services:
Anzeige
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden.
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden. (Bild: Paul Stone/Screenshot: Golem.de)

Security: Renderzeiten verraten Surfverhalten

Erneut haben Sicherheitsforscher entdeckt, dass von Anwendern besuchte Links ausgelesen werden können. Dabei kommt das Javascript-API requestAnimationFrame zum Einsatz.

Anzeige

Es gibt wieder einen Grund, den privaten Modus in sämtlichen Browsern zu nutzen, um sein Surfverhalten zu kaschieren. Dem Studenten Aäron Thijs ist es gelungen, eine Schwachstelle in den Browsern Chrome, IE und Firefox zu nutzen, um besuchte Links eines Anwenders zu sammeln. Er verwendete dafür das Javascript-API requestAnimationFrame. Seine Arbeit basiert auf Forschungen des Sicherheitsexperten Paul Stone, der seinen Angriff bereits 2013 auf der Sicherheitskonferenz Black Hat präsentierte.

Das API requestAnimationFrame dient dazu, Animationen glatter anzuzeigen. Webseiten können es beispielsweise nutzen, um den Aufbau einer Seite gleichmäßig im Browser darzustellen. Über eine speziell präparierte Webseite können damit die zeitlichen Diskrepanzen zwischen dem ersten Aufbau der Webseite und dem darauf folgenden Redraw messen, um inzwischen besuchte Links zu identifizieren.

Gerenderte Links aufspüren

Sowohl der Internet Explorer 11 als auch Firefox führen asynchrone Datenbankabfragen durch, um zu ermitteln, ob eine Webseite besucht wurde oder nicht. Erst wenn die Abfrage durch ist, wird der besuchte Link in einer anderen Farbe neu gerendert. Genau dieses Verhalten nutzen Stone und Thijs für ihre Angriffe aus. Selbst auf schnellen Rechnern sei dieser Zeitunterschied zu messen, wenn die Webseite mit genügend Effekten versehen wird, so dass sich der Seitenaufbau verlangsamt, schreibt Stone.

Mit einem genügend kalibrierten Algorithmus und weiteren Elementen auf der präparierten Webseite lasse sich der Angriff auch im Chrome-Browser ausführen, der anders als der Internet Explorer 11 oder Firefox synchrone Datenbankabfragen durchführt.

Problem wird analysiert

Die Entwickler bei Mozilla wollen einen Fix für die Lücke bereitstellen. Allerdings dürfte das eine Weile dauern. Stone und Thijs haben Microsoft und Google ebenfalls über die Schwachstelle informiert, sagten sie der Webseite Ars Technica. Die Chrome-Entwickler diskutierten bereits ein Workaround, während Microsoft noch nicht reagiert habe, sagten die beiden Forscher. Bis dahin müssen Anwender entweder regelmäßig ihre Verlaufsdaten löschen oder den privaten Modus der Browser nutzen. Beide hätten die Browser Safari und Opera noch nicht auf die Schwachstelle untersucht.

Bereits 2010 gab es eine ähnliche Lücke in Browsern, über die jedoch der gesamte Browserverlauf aus dem DOM ausgelesen werden konnte. Youporn hatte die Sachwachstelle ausgenutzt, um zu ermitteln, auf welchen anderen Streamingseiten seine Besucher Videos ansehen.


eye home zur Startseite
M.P. 11. Jun 2014

Hmm, oder eher um den Unterschied zwischen zweitem und drittem Mal... Die Ladezeit der...

Jonnie 10. Jun 2014

Ich hoffe mal deine Ironie zielt darauf ab dass der "Angriff" schwachsinn ist da keine...

Jonnie 10. Jun 2014

der "Angriff" ist eh mehr Schwachsinn als nützlich... IMHO ist JEDER "Angriff...

Sammie 07. Jun 2014

Na das ist widerum Unsinn. Da kannste auch sagen, du kannst mit einer Kerze ne Glühbirne...

HerrMannelig 07. Jun 2014

setzt voraus, dass man den link auf der seite anklickt. die methode, die früher klappte...



Anzeige

Stellenmarkt
  1. OSRAM GmbH, Augsburg
  2. TenneT TSO GmbH, Bayreuth
  3. über 3C - Career Consulting Company GmbH, Raum Berlin
  4. Viega Holding GmbH & Co. KG, Attendorn


Anzeige
Blu-ray-Angebote
  1. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  2. inklusive Verlosung einer großen Dinosaurier-Figur

Folgen Sie uns
       


  1. Dokumentation zum Tor-Netzwerk

    Unaufgeregte Töne inmitten des Geschreis

  2. Patentklage

    Qualcomm will iPhone-Importstopp in Deutschland

  3. Telekom

    Wie viele Bundesfördermittel gehen ins Vectoring?

  4. IETF

    Wie TLS abgehört werden könnte

  5. Recht auf Vergessenwerden

    EuGH entscheidet über weltweite Auslistung von Links

  6. Avast und Piriform

    Ccleaner-Entwickler wird Teil von Avast Software

  7. id Software

    Update 6.66 für Doom enthält Season-Pass-Inhalte

  8. Microsoft

    Kein Windows 10 on ARM für Smartphones

  9. Creoqode 2048 im Test

    Wir programmieren die größte portable Spielkonsole der Welt

  10. Auch Vectoring

    Niedersachsen fördert Internetausbau für 400.000 Haushalte



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Neuer A8 vorgestellt: Audis Staupilot steckt noch im Zulassungsstau
Neuer A8 vorgestellt
Audis Staupilot steckt noch im Zulassungsstau
  1. Autonomes Fahren Audi lässt Kunden selbstfahrenden A7 testen
  2. Elektroauto Volkswagen ID soll deutlich weniger kosten als das Model 3
  3. MEMS Neue Chipfabrik in Dresden wird massiv subventioniert

Anker Powercore+ 26800 PD im Test: Die Powerbank für (fast) alles
Anker Powercore+ 26800 PD im Test
Die Powerbank für (fast) alles
  1. SW271 Benq bringt HDR-Display mit 10-Bit-Panel
  2. Toshiba Teures Thunderbolt-3-Dock mit VGA-Anschluss
  3. Anker Powercore+ 26800 PD Akkupack liefert Strom per Power Delivery über USB Typ C

Matebook X im Test: Huaweis erstes Ultrabook glänzt
Matebook X im Test
Huaweis erstes Ultrabook glänzt
  1. Huawei Neue Rack- und Bladeserver für Azure Stack vorgestellt
  2. Matebook X Huaweis erstes Notebook im Handel erhältlich
  3. Y6 (2017) und Y7 Huawei bringt zwei neue Einsteiger-Smartphones ab 180 Euro

  1. Re: Gibt nur 4 sinnvolle Zahlungsarten...

    Spaghetticode | 16:29

  2. Re: Nochmal zum mitschreiben...

    chewbacca0815 | 16:29

  3. Re: mit sü

    tschick | 16:28

  4. Re: Katastrophe

    DWolf | 16:27

  5. Re: Unqualifizierte Admins

    der_wahre_hannes | 16:27


  1. 16:34

  2. 15:44

  3. 15:08

  4. 14:00

  5. 13:15

  6. 12:57

  7. 12:41

  8. 12:07


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel