Удаленная идентификация дополнений, установленных в Chrome и Firefox
Группа исследователей из университета Деусто (Испания) и исследовательского центра Eurecom (Франция) выявили две техники определения списка установленных браузерных расширений, который можно использовать к качестве дополнительного источника данных для неявной идентификации пользователя. Методы применимы к Firefox, Safari и браузерам на кодовой базе Chromium.
Первый метод затрагивает все браузеры с поддержкой API WebExtensions (Chome, Opera, Firefox, Yandex Browser, Edge, Vivaldi) и основывается на получении инфорамции по сторонним каналам (side-channel attack), а именно учете в различии времени обработки опраций, специфичных для определенных расширений. Плавила доступа к файлам расширения задается в файле manifest.json и приводят к небольшим, но уловимым, задержкам при попытке обращения к подпадающим под эти правила ресурсам.
В частности, время отзыва при попытке доступа к локальным файлам несуществующего дополнения немного дольше, чем при обращении к файлам установленного дополнения, при использовании изначально фиктивных файловых путей. Иными словами время доступа к связкам "chrome-extension://[fakeExtID]/[fakePath]" и "chrome-extension://[realExtID]/[fakePath]" отличается, что позволяет методом перебора известных идентификаторов дополнений определить установленные в браузере дополнения - если дополнение не установлено время выполнения запроса будет совпадать, а если проверяемое дополнение присутствует запрос будет выполнен быстрее.
Примечательно, что данной проблеме подвержен и старый API для построения дополнений к Firefox, с которого осуществляется переход на API WebExtensions. В данном случае не требуется даже измерять время ответа, так как при запросе несуществующего файла в установленном и фиктивном дополнении выдается разный код ошибки. По заявлению исследователей точность метода как для старых дополнений Firefox, так и дополнений на базе WebExtensions в Chrome составляет 100%.
Второй метод специфичен для системы дополнений браузера Safari, в которой вместо manifest.json для разграничения доступа применяется случайно сгенерированные URL, привязываемые к текущему пользовательскому сеансу. Суть метода в том, что можно определить косвенные данные, которые используются при генерации случайного URL и попытаться предсказать его. Проверка показала, что подобное удается для 40.5% протестированных дополнений.
