Incognito-mode beschermt niet tegen supercookies
Gebruikers die de incognito-mode of private browsing van hun browser gebruiken zijn nog steeds via zogeheten "supercookies" te volgen, zo blijkt uit een online test van de Britse ontwikkelaar Sam Greenhalgh. Het probleem wordt veroorzaakt door een beveiligingsmaatregel genaamd "HTTP Strict Transport Security" (HSTS). De maatregel zorgt ervoor dat websites alleen via een beveiligde verbinding worden benaderd.
In het geval een website HSTS heeft ingeschakeld zal de browser dit via een speciale "flag" onthouden en zorgen dat er alleen via HTTPS verbinding wordt gemaakt. Als de gebruiker zelf HTTP in de adresbalk opgeeft wordt hij automatisch naar HTTPS doorgestuurd. Dit automatische doorsturen kan echter ook door een kwaadaardige website worden gebruikt om een uniek getal in de browser van de gebruiker op te slaan en hem zo te volgen. Dit getal kan vervolgens door andere websites worden uitgelezen. Op deze manier kan HSTS ook als trackingmechanisme worden gebruikt.
Om gebruikers meer privacy te geven hebben browsers sinds enige tijd een incognito-mode of private browsing toegevoegd. Hierbij worden bestaande cookies niet met bezochte websites gedeeld en kan de gebruiker de cookies wissen waardoor hij online gevolgd kan worden. Omdat HSTS een beveiligingsmaatregel is en eigenlijk niet voor tracking bedoeld is, gaan browsers er anders mee om dan met cookies het geval is.
Browsers
Sommige browsers zoals Google Chrome, Firefox en Opera proberen dit probleem op te lossen door zowel opgeslagen cookies als HSTS-flags te verwijderen. Volgens Greenhalgh worden bestaande HSTS-flags, in tegenstelling tot cookies, wel met andere websites gedeeld, ook al heeft de gebruiker incognito-mode of private browsing ingeschakeld. In het geval van Safari schijnt het probleem nog groter te zijn, omdat Safari-gebruikers op een Apple-apparaat geen mogelijkheid hebben om de HSTS-flags te verwijderen. Ze worden zelfs gesynchroniseerd met iCloud, zodat ze kunnen worden teruggeplaatst als de gebruiker zijn toestel wist.
"Ik weet niet of de techniek in het wild wordt gebruikt om gebruikers te volgen, hoewel dat niet wil zeggen dat dit niet zo is", zegt Greenhalgh. Hij roept de technische gemeenschap op om te kijken hoe het trackinggedeelte kan worden verholpen, terwijl de waarde van HSTS behouden blijft. In een reactie stelt het Google Chrome Security Team dat er wel maatregelen aan de browser zijn toegevoegd om het probleem aan te pakken, maar dat het uiteindelijk een afweging tussen security en privacy is. Deze vorm van "fingerprinting" zou dan ook niet zijn op te lossen, tenzij er fundamentele veranderingen worden doorgevoerd aan de manier waarop het web werkt. "
Update 7 januari
Greenhalgh laat vandaag in een update van zijn artikel weten dat het probleem niet meer speelt bij Firefox 34. "In tegenstelling tot Google Chrome heeft Firefox privacy boven veiligheid verkozen en neemt HSTS niet meer mee naar privévensters", aldus de onderzoeker.
Alleen deze aanval is mij nog niet duidelijk. Het klopt dat incognito mode een bit data lekt per site, maar de aanvaller kan niet kiezen welke sites jij bezoekt, dus hoe kan dat een unieke code opleveren?
iCab mobile kan meen ik de cookies automatisch verwijderen na een aantal uren.
iCab mobile kan meen ik de cookies automatisch verwijderen na een aantal uren.
In Firefox 34 is de omgang met hsts-headers aangepast, waardoor het probleem niet meer is te misbruiken; dus in incognitomodus kunnen gebruikers niet meer worden geïdentificeerd. In Chrome en Opera werkt de methode van Greenhalgh nog wel, al worden de headers daarbij gewist als de gebruiker zijn cookies verwijdert. In de Safari-browser op de iPad en iPhone kan dat echter niet, waardoor die browser het kwetsbaarst is voor het beveiligingsprobleem.
Bron: "https://tweakers.net/nieuws/100647/veilige-browserfeature-laat-websites-gebruikers-volgen-in-incognitomodus.html"
Nog een reden om bij Firefox te blijven.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.