Abo
  • Services:
Anzeige
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden.
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden. (Bild: Paul Stone/Screenshot: Golem.de)

Security: Renderzeiten verraten Surfverhalten

Erneut haben Sicherheitsforscher entdeckt, dass von Anwendern besuchte Links ausgelesen werden können. Dabei kommt das Javascript-API requestAnimationFrame zum Einsatz.

Anzeige

Es gibt wieder einen Grund, den privaten Modus in sämtlichen Browsern zu nutzen, um sein Surfverhalten zu kaschieren. Dem Studenten Aäron Thijs ist es gelungen, eine Schwachstelle in den Browsern Chrome, IE und Firefox zu nutzen, um besuchte Links eines Anwenders zu sammeln. Er verwendete dafür das Javascript-API requestAnimationFrame. Seine Arbeit basiert auf Forschungen des Sicherheitsexperten Paul Stone, der seinen Angriff bereits 2013 auf der Sicherheitskonferenz Black Hat präsentierte.

Das API requestAnimationFrame dient dazu, Animationen glatter anzuzeigen. Webseiten können es beispielsweise nutzen, um den Aufbau einer Seite gleichmäßig im Browser darzustellen. Über eine speziell präparierte Webseite können damit die zeitlichen Diskrepanzen zwischen dem ersten Aufbau der Webseite und dem darauf folgenden Redraw messen, um inzwischen besuchte Links zu identifizieren.

Gerenderte Links aufspüren

Sowohl der Internet Explorer 11 als auch Firefox führen asynchrone Datenbankabfragen durch, um zu ermitteln, ob eine Webseite besucht wurde oder nicht. Erst wenn die Abfrage durch ist, wird der besuchte Link in einer anderen Farbe neu gerendert. Genau dieses Verhalten nutzen Stone und Thijs für ihre Angriffe aus. Selbst auf schnellen Rechnern sei dieser Zeitunterschied zu messen, wenn die Webseite mit genügend Effekten versehen wird, so dass sich der Seitenaufbau verlangsamt, schreibt Stone.

Mit einem genügend kalibrierten Algorithmus und weiteren Elementen auf der präparierten Webseite lasse sich der Angriff auch im Chrome-Browser ausführen, der anders als der Internet Explorer 11 oder Firefox synchrone Datenbankabfragen durchführt.

Problem wird analysiert

Die Entwickler bei Mozilla wollen einen Fix für die Lücke bereitstellen. Allerdings dürfte das eine Weile dauern. Stone und Thijs haben Microsoft und Google ebenfalls über die Schwachstelle informiert, sagten sie der Webseite Ars Technica. Die Chrome-Entwickler diskutierten bereits ein Workaround, während Microsoft noch nicht reagiert habe, sagten die beiden Forscher. Bis dahin müssen Anwender entweder regelmäßig ihre Verlaufsdaten löschen oder den privaten Modus der Browser nutzen. Beide hätten die Browser Safari und Opera noch nicht auf die Schwachstelle untersucht.

Bereits 2010 gab es eine ähnliche Lücke in Browsern, über die jedoch der gesamte Browserverlauf aus dem DOM ausgelesen werden konnte. Youporn hatte die Sachwachstelle ausgenutzt, um zu ermitteln, auf welchen anderen Streamingseiten seine Besucher Videos ansehen.


eye home zur Startseite
M.P. 11. Jun 2014

Hmm, oder eher um den Unterschied zwischen zweitem und drittem Mal... Die Ladezeit der...

Jonnie 10. Jun 2014

Ich hoffe mal deine Ironie zielt darauf ab dass der "Angriff" schwachsinn ist da keine...

Jonnie 10. Jun 2014

der "Angriff" ist eh mehr Schwachsinn als nützlich... IMHO ist JEDER "Angriff...

Sammie 07. Jun 2014

Na das ist widerum Unsinn. Da kannste auch sagen, du kannst mit einer Kerze ne Glühbirne...

HerrMannelig 07. Jun 2014

setzt voraus, dass man den link auf der seite anklickt. die methode, die früher klappte...



Anzeige

Stellenmarkt
  1. Völkl Sports GmbH & Co. KG, Straubing, Raum Regensburg / Deggendorf
  2. Automotive Safety Technologies GmbH, Gaimersheim
  3. Syna GmbH, Frankfurt am Main
  4. WKM GmbH, München


Anzeige
Blu-ray-Angebote
  1. (u. a. Fast & Furious 1-7 Blu-ray 26,49€, Indiana Jones Complete Blu-ray 14,76€, The Complete...
  2. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)
  3. 13,98€ + 5,00€ Versand

Folgen Sie uns
       


  1. ZTE

    Chinas großes 5G-Testprojekt läuft weiter

  2. Ubisoft

    Far Cry 5 bietet Kampf gegen Sekte in und über Montana

  3. Rockstar Games

    Waffenschiebereien in GTA 5

  4. Browser-Games

    Unreal Engine 4.16 unterstützt Wasm und WebGL 2.0

  5. Hasskommentare

    Bundesrat fordert zahlreiche Änderungen an Maas-Gesetz

  6. GVFS

    Windows-Team nutzt fast vollständig Git

  7. Netzneutralität

    Verbraucherschützer wollen Verbot von Stream On der Telekom

  8. Wahlprogramm

    SPD fordert Anzeigepflicht für "relevante Inhalte" im Netz

  9. Funkfrequenzen

    Bundesnetzagentur und Alibaba wollen Produkte sperren

  10. Elektromobilität

    Qualcomm lädt E-Autos während der Fahrt auf



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Redmond Campus Building 87: Microsofts Area 51 für Hardware
Redmond Campus Building 87
Microsofts Area 51 für Hardware
  1. Windows on ARM Microsoft erklärt den kommenden x86-Emulator im Detail
  2. Azure Microsoft betreut MySQL und PostgreSQL in der Cloud
  3. Microsoft Azure bekommt eine beeindruckend beängstigende Video-API

3D-Druck bei der Bahn: Mal eben einen Kleiderhaken für 80 Euro drucken
3D-Druck bei der Bahn
Mal eben einen Kleiderhaken für 80 Euro drucken
  1. Bahnchef Richard Lutz Künftig "kein Ticket mehr für die Bahn" notwendig
  2. Flatrate Öffentliches Fahrradleihen kostet 50 Euro im Jahr
  3. Nextbike Berlins neues Fahrradverleihsystem startet

Google I/O: Google verzückt die Entwickler
Google I/O
Google verzückt die Entwickler
  1. Neue Version im Hands On Android TV bekommt eine vernünftige Kanalübersicht
  2. Play Store Google nimmt sich Apps mit schlechten Bewertungen vor
  3. Daydream Standalone-Headsets auf Preisniveau von Vive und Oculus Rift

  1. Re: Volumenbegrenzungen abschaffen

    sundown73 | 20:50

  2. Re: Ubisoft Trailer...

    MadMonkey | 20:49

  3. Re: 700$ - Ich hätte da eine bessere Lösung...

    Oktavian | 20:48

  4. Re: Wundert mich nicht, die löschen auch...

    ex-Amazoner | 20:48

  5. Re: Mit Stream On gibt es noch ein ganz anderes...

    redmord | 20:46


  1. 17:40

  2. 16:40

  3. 16:29

  4. 16:27

  5. 15:15

  6. 13:35

  7. 13:17

  8. 13:05


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel