Sniffing-aanval tegen browsers kan surfgeschiedenis achterhalen
Onderzoekers hebben tijdens een beveiligingsconferentie vier sniffing-aanvallen tegen browsers gedemonstreerd waarmee de surfgeschiedenis van gebruikers is te achterhalen. Al jaren geleden hebben onderzoekers aangetoond dat het mogelijk was om te achterhalen op welke linkjes gebruikers hadden geklikt. Daarop kwamen browserontwikkelaars met verschillende tegenmaatregelen.
Een onderzoeksteam van UC San Diego en Stanford University heeft nu aangetoond hoe via moderne browserfeatures de surfgeschiedenis van gebruikers opnieuw is te achterhalen. De aanvallen zijn vervolgens getest tegen de vier grote browsers, (Chrome, Firefox, Edge en IE) en verschillende browsers die op security zijn gericht (ChromeZero, Brave, FuzzyFox, DeterFox en Tor Browser).
Twee van de aanvallen werken tegen alle browsers behalve Tor Browser. De andere twee aanvallen zijn specifiek gericht tegen features die in op Chromium-gebaseerde browsers aanwezig zijn. Via één van de aanvallen was het mogelijk voor een kwaadaardige website of aanvaller om met een snelheid van 3.000 url's per seconde de surfgeschiedenis uit te lezen. Gebruikers van Tor Browser hoeven zich geen zorgen over de aanvallen te maken, omdat deze browser standaard de surfgeschiedenis niet bewaart.
De onderzoekers merken op dat het beschermen van de surfgeschiedenis essentieel voor de privacy van gebruikers is. "De vier aanvallen in dit onderzoek tonen aan dat moderne browsers systematisch falen in het beschermen van de surfgeschiedenis tegen webaanvallers", aldus de conclusie van het onderzoeksrapport. De aanvallen werken zowel tegen populaire browsers als browsers die meer op privacy en security zijn gericht, en slagen op verschillende besturingssystemen.
Volgens de onderzoekers moeten browserontwikkelaars dan ook maatregelen nemen om de surfgeschiedenis beter te beschermen. Ze stellen een oplossing voor die een kleine impact op de prestaties en de styling van bezochte links heeft. "Maar we denken dat deze kosten de privacyvoordelen waard zijn", zo stellen de onderzoekers, die hun bevindingen tijdens de USENIX Workshop on Offensive Technologies (WOOT '18) presenteerden (pdf).
BEef kan gelanceerd worden vanuit Kali Linux en gebruik maken van hook.js.
BEef kan gelanceerd worden vanuit Kali Linux en gebruik maken van hook.js.
sniffing all the exit traffic, noticing that http traffic was about ninety
percent of it.
Welcome in the past buddy.
Let's encrypt, ooit van gehoord?
Het web verandert, is veranderd.
Daarnaast mag je zelf ook wel een beetje visueel opletten.
Verder verandert Torbrowser elke 10 minuten van circuit, weg ssl strip verbinding.
BEef kan gelanceerd worden vanuit Kali Linux en gebruik maken van hook.js.
Het is sowieso verstandiger om HTTPS over een willekeurig Tor circuit te gebruiken, om daarmee een Tor exit router te verlaten. Dat bemoeilijkt een MitM injection met malafide JavaScripts op een gecompromitteerde exit. Als daarnaast het beveiligingsniveau van de Tor Browser door de gebruiker daarvan ook op 'veiligst' staat ingesteld (wat zeer is aan te raden), dat werkt JavaScript op die browser helemaal niet, waardoor de beschreven sniffing attack methodiek niet werkt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.