Abo
  • Services:

Security: Renderzeiten verraten Surfverhalten

Erneut haben Sicherheitsforscher entdeckt, dass von Anwendern besuchte Links ausgelesen werden können. Dabei kommt das Javascript-API requestAnimationFrame zum Einsatz.

Artikel veröffentlicht am ,
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden.
Die längeren Renderzeiten besuchter Links können zur Identifizierung des Surfverhaltens eines Anwenders genutzt werden. (Bild: Paul Stone/Screenshot: Golem.de)

Es gibt wieder einen Grund, den privaten Modus in sämtlichen Browsern zu nutzen, um sein Surfverhalten zu kaschieren. Dem Studenten Aäron Thijs ist es gelungen, eine Schwachstelle in den Browsern Chrome, IE und Firefox zu nutzen, um besuchte Links eines Anwenders zu sammeln. Er verwendete dafür das Javascript-API requestAnimationFrame. Seine Arbeit basiert auf Forschungen des Sicherheitsexperten Paul Stone, der seinen Angriff bereits 2013 auf der Sicherheitskonferenz Black Hat präsentierte.

Stellenmarkt
  1. Beckhoff Automation GmbH & Co. KG, Verl
  2. Bosch Gruppe, Grasbrunn

Das API requestAnimationFrame dient dazu, Animationen glatter anzuzeigen. Webseiten können es beispielsweise nutzen, um den Aufbau einer Seite gleichmäßig im Browser darzustellen. Über eine speziell präparierte Webseite können damit die zeitlichen Diskrepanzen zwischen dem ersten Aufbau der Webseite und dem darauf folgenden Redraw messen, um inzwischen besuchte Links zu identifizieren.

Gerenderte Links aufspüren

Sowohl der Internet Explorer 11 als auch Firefox führen asynchrone Datenbankabfragen durch, um zu ermitteln, ob eine Webseite besucht wurde oder nicht. Erst wenn die Abfrage durch ist, wird der besuchte Link in einer anderen Farbe neu gerendert. Genau dieses Verhalten nutzen Stone und Thijs für ihre Angriffe aus. Selbst auf schnellen Rechnern sei dieser Zeitunterschied zu messen, wenn die Webseite mit genügend Effekten versehen wird, so dass sich der Seitenaufbau verlangsamt, schreibt Stone.

Mit einem genügend kalibrierten Algorithmus und weiteren Elementen auf der präparierten Webseite lasse sich der Angriff auch im Chrome-Browser ausführen, der anders als der Internet Explorer 11 oder Firefox synchrone Datenbankabfragen durchführt.

Problem wird analysiert

Die Entwickler bei Mozilla wollen einen Fix für die Lücke bereitstellen. Allerdings dürfte das eine Weile dauern. Stone und Thijs haben Microsoft und Google ebenfalls über die Schwachstelle informiert, sagten sie der Webseite Ars Technica. Die Chrome-Entwickler diskutierten bereits ein Workaround, während Microsoft noch nicht reagiert habe, sagten die beiden Forscher. Bis dahin müssen Anwender entweder regelmäßig ihre Verlaufsdaten löschen oder den privaten Modus der Browser nutzen. Beide hätten die Browser Safari und Opera noch nicht auf die Schwachstelle untersucht.

Bereits 2010 gab es eine ähnliche Lücke in Browsern, über die jedoch der gesamte Browserverlauf aus dem DOM ausgelesen werden konnte. Youporn hatte die Sachwachstelle ausgenutzt, um zu ermitteln, auf welchen anderen Streamingseiten seine Besucher Videos ansehen.



Anzeige
Top-Angebote

M.P. 11. Jun 2014

Hmm, oder eher um den Unterschied zwischen zweitem und drittem Mal... Die Ladezeit der...

Jonnie 10. Jun 2014

Ich hoffe mal deine Ironie zielt darauf ab dass der "Angriff" schwachsinn ist da keine...

Jonnie 10. Jun 2014

der "Angriff" ist eh mehr Schwachsinn als nützlich... IMHO ist JEDER "Angriff...

Sammie 07. Jun 2014

Na das ist widerum Unsinn. Da kannste auch sagen, du kannst mit einer Kerze ne Glühbirne...

Anonymer Nutzer 07. Jun 2014

setzt voraus, dass man den link auf der seite anklickt. die methode, die früher klappte...


Folgen Sie uns
       


Odroid Go - Test

Mit dem Odroid Go kann man Doom spielen - aber dank seines ESP32-Mikrocontrollers ist er auch für Hard- und Softwarebastler empfehlenswert.

Odroid Go - Test Video aufrufen
Autonome Schiffe: Und abends geht der Kapitän nach Hause
Autonome Schiffe
Und abends geht der Kapitän nach Hause

Weite Reisen in ferne Länder, eine Braut in jedem Hafen: Klischees über die Seefahrt täuschen darüber hinweg, dass diese ein Knochenjob ist. Doch in wenigen Jahren werden Schiffe ohne Besatzung fahren, überwacht von Steuerleuten, die nach dem Dienst zur Familie zurückkehren. Daran arbeitet etwa Rolls Royce.
Ein Bericht von Werner Pluta

  1. Elektromobilität San Francisco soll ein Brennstoffzellenschiff bekommen
  2. Yara Birkeland Autonome Schiffe sind eine neue Art von Transportsystem
  3. Power Pac Strom aus dem Container für Ozeanriesen

Apple Mac Mini (Late 2018) im Test: Tolles teures Teil - aber für wen?
Apple Mac Mini (Late 2018) im Test
Tolles teures Teil - aber für wen?

Der Mac Mini ist ein gutes Gerät, wenngleich der Preis für die Einstiegsvariante von Apple arg hoch angesetzt wurde und mehr Speicher(platz) viel Geld kostet. Für 4K-Videoschnitt eignet sich der Mac Mini nur selten und generell fragen wir uns, wer ihn kaufen soll.
Ein Test von Marc Sauter

  1. Apple Mac Mini wird grau und schnell
  2. Neue Produkte Apple will Mac Mini und Macbook Air neu auflegen

Resident Evil 2 angespielt: Neuer Horror mit altbekannten Helden
Resident Evil 2 angespielt
Neuer Horror mit altbekannten Helden

Eigentlich ein Remake - tatsächlich aber fühlt sich Resident Evil 2 an wie ein neues Spiel: Golem.de hat mit Leon und Claire gegen Zombies und andere Schrecken von Raccoon City gekämpft.
Von Peter Steinlechner

  1. Resident Evil Monster und Mafia werden neu aufgelegt

    •  /