Security: Renderzeiten verraten Surfverhalten

Erneut haben Sicherheitsforscher entdeckt, dass von Anwendern besuchte Links ausgelesen werden können. Dabei kommt das Javascript-API requestAnimationFrame zum Einsatz.

Artikel veröffentlicht am ,
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden.
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden. (Bild: Paul Stone/Screenshot: Golem.de)

Es gibt wieder einen Grund, den privaten Modus in sämtlichen Browsern zu nutzen, um sein Surfverhalten zu kaschieren. Dem Studenten Aäron Thijs ist es gelungen, eine Schwachstelle in den Browsern Chrome, IE und Firefox zu nutzen, um besuchte Links eines Anwenders zu sammeln. Er verwendete dafür das Javascript-API requestAnimationFrame. Seine Arbeit basiert auf Forschungen des Sicherheitsexperten Paul Stone, der seinen Angriff bereits 2013 auf der Sicherheitskonferenz Black Hat präsentierte.

Stellenmarkt
  1. Solution Architect Shopfloor Management (m/w/d)
    DRÄXLMAIER Group, München
  2. Prüfingenieur (m/w/d) - Schwerpunkt LabVIEW Programmierung
    GRUNER AG, Wehingen
Detailsuche

Das API requestAnimationFrame dient dazu, Animationen glatter anzuzeigen. Webseiten können es beispielsweise nutzen, um den Aufbau einer Seite gleichmäßig im Browser darzustellen. Über eine speziell präparierte Webseite können damit die zeitlichen Diskrepanzen zwischen dem ersten Aufbau der Webseite und dem darauf folgenden Redraw messen, um inzwischen besuchte Links zu identifizieren.

Gerenderte Links aufspüren

Sowohl der Internet Explorer 11 als auch Firefox führen asynchrone Datenbankabfragen durch, um zu ermitteln, ob eine Webseite besucht wurde oder nicht. Erst wenn die Abfrage durch ist, wird der besuchte Link in einer anderen Farbe neu gerendert. Genau dieses Verhalten nutzen Stone und Thijs für ihre Angriffe aus. Selbst auf schnellen Rechnern sei dieser Zeitunterschied zu messen, wenn die Webseite mit genügend Effekten versehen wird, so dass sich der Seitenaufbau verlangsamt, schreibt Stone.

Mit einem genügend kalibrierten Algorithmus und weiteren Elementen auf der präparierten Webseite lasse sich der Angriff auch im Chrome-Browser ausführen, der anders als der Internet Explorer 11 oder Firefox synchrone Datenbankabfragen durchführt.

Problem wird analysiert

Golem Akademie
  1. Cloud Transformation Roadmap: Strategien, Roadmap, Governance: virtueller Zwei-Tage-Workshop
    7.–8. März 2022, Virtuell
  2. Webentwicklung mit React and Typescript: virtueller Fünf-Halbtage-Workshop
Weitere IT-Trainings

Die Entwickler bei Mozilla wollen einen Fix für die Lücke bereitstellen. Allerdings dürfte das eine Weile dauern. Stone und Thijs haben Microsoft und Google ebenfalls über die Schwachstelle informiert, sagten sie der Webseite Ars Technica. Die Chrome-Entwickler diskutierten bereits ein Workaround, während Microsoft noch nicht reagiert habe, sagten die beiden Forscher. Bis dahin müssen Anwender entweder regelmäßig ihre Verlaufsdaten löschen oder den privaten Modus der Browser nutzen. Beide hätten die Browser Safari und Opera noch nicht auf die Schwachstelle untersucht.

Bereits 2010 gab es eine ähnliche Lücke in Browsern, über die jedoch der gesamte Browserverlauf aus dem DOM ausgelesen werden konnte. Youporn hatte die Sachwachstelle ausgenutzt, um zu ermitteln, auf welchen anderen Streamingseiten seine Besucher Videos ansehen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


M.P. 11. Jun 2014

Hmm, oder eher um den Unterschied zwischen zweitem und drittem Mal... Die Ladezeit der...

Jonnie 10. Jun 2014

Ich hoffe mal deine Ironie zielt darauf ab dass der "Angriff" schwachsinn ist da keine...

Jonnie 10. Jun 2014

der "Angriff" ist eh mehr Schwachsinn als nützlich... IMHO ist JEDER "Angriff...

Sammie 07. Jun 2014

Na das ist widerum Unsinn. Da kannste auch sagen, du kannst mit einer Kerze ne Glühbirne...

Anonymer Nutzer 07. Jun 2014

setzt voraus, dass man den link auf der seite anklickt. die methode, die früher klappte...



Aktuell auf der Startseite von Golem.de
Framework Laptop im Hardware-Test
Schrauber aller Länder, vereinigt euch!

Der modulare Framework Laptop ist ein wahrgewordener Basteltraum. Und unsere Begeisterung für das, was damit alles möglich ist, lässt sich nur schwer bändigen.
Ein Test von Oliver Nickel und Sebastian Grüner

Framework Laptop im Hardware-Test: Schrauber aller Länder, vereinigt euch!
Artikel
  1. FTTH: Liberty Network startet noch mal in Deutschland
    FTTH
    Liberty Network startet noch mal in Deutschland

    Das erste FTTH-Projekt ist gescheitert. Jetzt wandert Liberty von Brandenburg nach Bayern an den Starnberger See.

  2. 5.000 Dollar Belohnung: Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen
    5.000 Dollar Belohnung
    Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen

    Tesla-Chef Elon Musk bot einem US-Teenager jüngst angeblich 5.000 US-Dollar, damit der seinen auf Twitter betriebenen Flight-Tracker einstellt.

  3. Let's Encrypt: Was Admins heute tun müssen
    Let's Encrypt
    Was Admins heute tun müssen

    Heute um 17 Uhr werden bei Let's Encrypt Zertifikate zurückgezogen. Wir beschreiben, wie Admins prüfen können, ob sie betroffen sind.
    Eine Anleitung von Hanno Böck

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3080 12GB 1.499€ • iPhone 13 Pro 512GB 1.349€ • DXRacer Gaming-Stuhl 159€ • LG OLED 55 Zoll 1.149€ • PS5 Digital mit o2-Vertrag bestellbar • Prime-Filme für je 0,99€ leihen • One Plus Nord 2 335€ • Intel i7 3,6Ghz 399€ • Alternate: u.a. Sennheiser Gaming-Headset 169,90€ [Werbung]
    •  /