Security: Renderzeiten verraten Surfverhalten
Es gibt wieder einen Grund, den privaten Modus in sämtlichen Browsern zu nutzen, um sein Surfverhalten zu kaschieren. Dem Studenten Aäron Thijs ist es gelungen(öffnet im neuen Fenster) , eine Schwachstelle in den Browsern Chrome, IE und Firefox zu nutzen, um besuchte Links eines Anwenders zu sammeln. Er verwendete dafür das Javascript-API requestAnimationFrame. Seine Arbeit basiert auf Forschungen des Sicherheitsexperten Paul Stone(öffnet im neuen Fenster) , der seinen Angriff bereits 2013 auf der Sicherheitskonferenz Black Hat präsentierte.
Das API requestAnimationFrame dient dazu, Animationen glatter anzuzeigen. Webseiten können es beispielsweise nutzen, um den Aufbau einer Seite gleichmäßig im Browser darzustellen. Über eine speziell präparierte Webseite können damit die zeitlichen Diskrepanzen zwischen dem ersten Aufbau der Webseite und dem darauf folgenden Redraw messen, um inzwischen besuchte Links zu identifizieren.
Gerenderte Links aufspüren
Sowohl der Internet Explorer 11 als auch Firefox führen asynchrone Datenbankabfragen durch, um zu ermitteln, ob eine Webseite besucht wurde oder nicht. Erst wenn die Abfrage durch ist, wird der besuchte Link in einer anderen Farbe neu gerendert. Genau dieses Verhalten nutzen Stone und Thijs für ihre Angriffe aus. Selbst auf schnellen Rechnern sei dieser Zeitunterschied zu messen, wenn die Webseite mit genügend Effekten versehen wird, so dass sich der Seitenaufbau verlangsamt, schreibt Stone.
Mit einem genügend kalibrierten Algorithmus und weiteren Elementen auf der präparierten Webseite lasse sich der Angriff auch im Chrome-Browser ausführen, der anders als der Internet Explorer 11 oder Firefox synchrone Datenbankabfragen durchführt.
Problem wird analysiert
Die Entwickler bei Mozilla wollen einen Fix für die Lücke bereitstellen. Allerdings dürfte das eine Weile dauern. Stone und Thijs haben Microsoft und Google ebenfalls über die Schwachstelle informiert, sagten sie der Webseite Ars Technica. Die Chrome-Entwickler diskutierten bereits ein Workaround, während Microsoft noch nicht reagiert habe, sagten die beiden Forscher. Bis dahin müssen Anwender entweder regelmäßig ihre Verlaufsdaten löschen oder den privaten Modus der Browser nutzen. Beide hätten die Browser Safari und Opera noch nicht auf die Schwachstelle untersucht.
Bereits 2010 gab es eine ähnliche Lücke in Browsern, über die jedoch der gesamte Browserverlauf aus dem DOM ausgelesen werden konnte. Youporn hatte die Sachwachstelle ausgenutzt, um zu ermitteln, auf welchen anderen Streamingseiten seine Besucher Videos ansehen .
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.