Слежка за пользователями браузеров возможна даже при отключенном JavaScript

Группа ученых из Университета Бен-Гуриона (Израиль), Университета Аделаиды (Австралия) и Университета Мичигана (США) представила исследовательскую работу под названием "Prime+Probe 1, JavaScript 0: Overcoming Browser-based Side-Channel Defenses", посвященную атакам по стороннему каналу (side-channel) с использованием браузеров.

В своем докладе исследователи демонстрируют, что side-channel атаки на браузеры по-прежнему возможны, несмотря на все усилия производителей и все меры по их устранению. Хуже того, подобные атаки работают даже в защищенных браузерах, ориентированных на конфиденциальность, которые были специально защищены от атак типа Spectre, включая браузер Tor, Chrome с расширением Chrome Zero и Firefox с расширением DeterFox.

Эксперты пишут, что даже при полностью отключенном JavaScript атака по стороннему каналу, основанная исключительно на HTML и CSS, тоже может привести к утечке достаточного количества данных из браузера. Такой утечки (даже без JS) хватит для того, чтобы с чуть меньшей точностью идентифицировать и отслеживать пользователей, определяя, к примеру, какие сайты посещал человек.

При этом с докладе подчеркивается, что атаки были протестированы не только против браузеров, работающих в системах на процессорах Intel (которые в прошлом чаще всего оказывались уязвимы для атак по сторонним каналам), но и против браузеров, работающих в системах с процессорами Samsung Exynos, AMD Ryzen и даже новыми чипом M1 от Apple. В итоге данное исследование стало первым случаем, когда side-channel атака сработала против Apple M1.

Эксперты говорят, что уведомили инженеров Intel, AMD, Apple, Chrome и Mozilla о своих выводах еще до публикации исследовательской работы, однако не сообщается, какие ответы были получены от производителей.

Стоит заметить, что недавно разработчики Google Chrome признавали, что даже невзирая на новую функцию Site Isolation, атаки по сторонним каналам в современных браузерах невозможно заблокировать полностью. Также инженеры Google говорили о том, что side-channel атаки вскоре перестанут нуждаться в JavaScript и будут осуществляться только с помощью CSS. Чтобы защититься от таких проблем, они призвали разработчиков пересмотреть подход к созданию сайтов и обработке данных.

Apple Intel Samsung США Университеты