Межсайтовые утечки

Межсайтовые утечки , также известные как XS-утечки , — это термин интернет-безопасности , используемый для описания класса атак, используемых для доступа к конфиденциальной информации пользователя на другом веб-сайте. Межсайтовые утечки позволяют злоумышленнику получить доступ к взаимодействию пользователя с другими веб-сайтами. Это может содержать конфиденциальную информацию. Веб-браузеры обычно не позволяют другим веб-сайтам видеть эту информацию. Это обеспечивается посредством набора правил, называемых политикой одного и того же происхождения . Иногда злоумышленники могут обойти эти правила, используя «межсайтовую утечку». Атаки с использованием межсайтовой утечки часто инициируются с целью побудить пользователей посетить веб-сайт злоумышленника. При посещении злоумышленник использует вредоносный код на своем веб-сайте для взаимодействия с другим веб-сайтом. Злоумышленник может использовать это, чтобы узнать о предыдущих действиях пользователя на другом веб-сайте. Информация, полученная в результате этой атаки, может однозначно идентифицировать пользователя для злоумышленника.

Эти атаки документируются с 2000 года. Одна из первых исследовательских работ на эту тему была опубликована исследователями из Университета Пердью . В документе описывается атака, в ходе которой веб-кеш использовался для сбора информации о веб-сайте. С тех пор межсайтовые утечки информации стали более изощренными. Исследователи обнаружили новые утечки, нацеленные на различные компоненты веб-браузера. Хотя эффективность некоторых из этих методов варьируется, постоянно открываются новые методы. Некоторые старые методы блокируются обновлениями программного обеспечения браузера. Внедрение и удаление функций в Интернете также приводит к тому, что некоторые атаки становятся неэффективными.

Межсайтовые утечки представляют собой разнообразную форму атаки, и единой классификации таких атак не существует. Несколько источников классифицируют межсайтовые утечки по методу, используемому для утечки информации. Среди хорошо известных межсайтовых утечек — атаки по времени, которые зависят от синхронизации событий в веб-браузере. События ошибок составляют еще одну категорию, в которой наличие или отсутствие событий используется для раскрытия данных. Кроме того, атаки с использованием тайминга кэша используют веб-кеш для раскрытия информации. С 2023 года также были обнаружены новые атаки, использующие ограничения операционных систем и веб-браузера для утечки информации.

До 2017 года защита от межсайтовых утечек считалась сложной задачей. Это произошло потому, что многие проблемы утечки информации, используемые в ходе атак с межсайтовой утечкой, были присущи способу работы веб-сайтов. Большинство средств защиты от атак этого класса были введены после 2017 года в виде расширений протокола передачи гипертекста (HTTP). Эти расширения позволяют веб-сайтам давать браузеру указание запрещать или комментировать определенные виды запросов с отслеживанием состояния, поступающих с других веб-сайтов. Один из наиболее успешных подходов, реализованных браузерами, — это файлы cookie SameSite . Файлы cookie SameSite позволяют веб-сайтам устанавливать директиву, которая запрещает другим веб-сайтам получать доступ к конфиденциальным файлам cookie и отправлять их. Другая защита предполагает использование заголовков HTTP для ограничения того, какие веб-сайты могут встраивать определенный сайт. Разделение кэша также служит защитой от межсайтовых утечек, не позволяя другим веб-сайтам использовать веб-кеш для кражи данных.

Фон

Дополнительная информация: Политика одного и того же источника и совместное использование ресурсов из разных источников.

Веб-приложения (веб-приложения) состоят из двух основных компонентов: веб-браузера и одного или нескольких веб-серверов . Браузер обычно взаимодействует с серверами через протокол передачи гипертекста (HTTP) и соединения WebSocket для доставки веб-приложения. Чтобы сделать веб-приложение интерактивным, браузер также отображает HTML и CSS и выполняет код JavaScript , предоставленный веб-приложением. Эти элементы позволяют веб-приложению реагировать на вводимые пользователем данные и запускать логику на стороне клиента. Часто пользователи взаимодействуют с веб-приложением в течение длительного периода времени, отправляя несколько запросов к серверу. Чтобы отслеживать такие запросы, веб-приложения часто используют постоянный идентификатор, привязанный к конкретному пользователю через его текущий сеанс или учетную запись пользователя. Этот идентификатор может включать такие данные, как возраст или уровень доступа, которые отражают историю использования пользователем веб-приложения. Если эти идентифицируемые атрибуты будут раскрыты другим веб-сайтам, они могут деанонимизировать пользователя.

В идеале каждое веб-приложение должно работать независимо, не мешая другим. Однако из-за различных вариантов дизайна, принятых в первые годы существования Интернета, веб-приложения могут регулярно взаимодействовать друг с другом. Чтобы предотвратить злоупотребление таким поведением, веб-браузеры применяют набор правил, называемых политикой одного и того же происхождения , которые ограничивают прямое взаимодействие между веб-приложениями из разных источников. Несмотря на эти ограничения, веб-приложениям часто приходится загружать контент из внешних источников, например инструкции по отображению элементов на странице, макеты дизайна, а также видео или изображения. Эти типы взаимодействий, называемые запросами между источниками, являются исключениями из политики одного и того же источника. Они регулируются набором строгих правил, известных как структура совместного использования ресурсов между источниками (CORS). CORS гарантирует, что такие взаимодействия происходят в контролируемых условиях, предотвращая несанкционированный доступ к данным, которые веб-приложению не разрешено видеть. Это достигается за счет требования явного разрешения, прежде чем другие веб-сайты смогут получить доступ к содержимому этих запросов.

Межсайтовые утечки позволяют злоумышленникам обойти ограничения, налагаемые политикой одного и того же источника и структурой CORS. Они используют проблемы утечки информации ( побочные каналы ), которые исторически присутствовали в браузерах. Используя эти побочные каналы, злоумышленник может выполнить код, который может получить подробную информацию о данных, которые та же политика происхождения могла бы защитить. Эти данные затем можно использовать для раскрытия информации о предыдущих взаимодействиях пользователя с веб-приложением.

Механизм

• 
  В отсутствие третьей стороны браузер пользователя отправляет веб-серверу HTTP- запрос. Сервер отправляет ответ в зависимости от характера запроса.
• 
  Злоумышленник идентифицирует уязвимый URL-адрес и отправляет пользователя на свой веб-сайт по электронной почте. Когда пользователь заходит на веб-сайт злоумышленника, злоумышленник может отправлять вредоносные запросы к веб-серверу, используя уязвимый URL-адрес.
• 
  Злоумышленник не может прочитать ответ веб-сервера. Однако злоумышленник может измерить другие факторы, такие как время или размер ответа, с утечкой информации об ответе – атака по побочному каналу .

Чтобы осуществить атаку с межсайтовой утечкой, злоумышленник должен сначала изучить, как веб-сайт взаимодействует с пользователями. Им необходимо определить конкретный URL-адрес , который генерирует различные ответы протокола передачи гипертекста (HTTP) на основе прошлых действий пользователя на сайте. Например, если злоумышленник пытается атаковать Gmail , он может попытаться найти URL-адрес поиска, который возвращает другой ответ HTTP в зависимости от того, сколько результатов поиска найдено по определенному поисковому запросу в электронных письмах пользователя. Как только злоумышленник находит определенный URL-адрес, он может разместить веб-сайт и провести фишинг или иным образом заманить ничего не подозревающих пользователей на веб-сайт. Как только жертва оказывается на веб-сайте злоумышленника, злоумышленник может использовать различные методы внедрения, чтобы инициировать HTTP-запросы между источниками к URL-адресу, указанному злоумышленником. Однако, поскольку злоумышленник находится на другом веб-сайте, политика того же источника, установленная веб-браузером, не позволит злоумышленнику напрямую прочитать любую часть ответа, отправленного уязвимым веб-сайтом.

Чтобы обойти этот барьер безопасности, злоумышленник может использовать методы утечки информации из браузера, чтобы различать тонкие различия между различными ответами. Методы утечки информации в браузере — это фрагменты JavaScript , CSS или HTML , которые используют давние проблемы утечки информации ( побочные каналы ) в веб-браузере для выявления конкретных характеристик HTTP-ответа. В случае с Gmail злоумышленник может использовать JavaScript, чтобы определить, сколько времени потребуется браузеру для анализа HTTP-ответа, возвращаемого результатом поиска. Если время, затраченное на анализ ответа, возвращаемого конечной точкой, было небольшим, злоумышленник мог сделать вывод, что по его запросу нет результатов поиска. Альтернативно, если сайт занимал больше времени, злоумышленник мог сделать вывод, что было возвращено несколько результатов поиска. Злоумышленник может впоследствии использовать информацию, полученную в результате этих утечек информации, для кражи конфиденциальной информации, которую можно использовать для отслеживания и деанонимизации жертвы. В случае с Gmail злоумышленник может отправить запрос к конечной точке поиска с помощью запроса и впоследствии измерить время, которое потребовалось запросу, чтобы выяснить, есть ли у пользователя какие-либо электронные письма, содержащие определенную строку запроса. Если обработка ответа занимает очень мало времени, злоумышленник может предположить, что результаты поиска не были возвращены. И наоборот, если обработка ответа занимает много времени, злоумышленник делает вывод, что было возвращено много результатов поиска. Сделав несколько запросов, злоумышленник может получить значительную информацию о текущем состоянии приложения-жертвы, потенциально раскрывая личную информацию пользователя, помогая запускать изощренные спам-атаки и фишинговые атаки.

История

О межсайтовых утечках известно с 2000 года; В исследовательских работах того же года, опубликованных в Университете Пердью, описывается теоретическая атака, в которой используется HTTP-кеш для компрометации конфиденциальности привычек пользователя в Интернете. В 2007 году Эндрю Бортц и Дэн Боне из Стэнфордского университета опубликовали официальный документ с подробным описанием атаки, в которой использовалась информация о времени для определения размера межсайтовых ответов. В 2015 году исследователи из Университета Бар-Илан описали атаку с межсайтовым поиском, в которой использовались аналогичные методы утечки информации. В атаке использовалась техника, при которой входные данные были обработаны для увеличения размера ответов, что приводило к пропорциональному увеличению времени, затрачиваемого на генерацию ответов, тем самым увеличивая точность атаки.

Независимые исследователи безопасности опубликовали сообщения в блогах, описывающие атаки с межсайтовой утечкой информации против реальных приложений. В 2009 году Крис Эванс описал атаку на Yahoo! Почта , с помощью которой вредоносный сайт может искать в почтовом ящике пользователя конфиденциальную информацию. межсайтовой утечки В 2018 году Луан Эррара обнаружил уязвимость в системе отслеживания ошибок Google Monorail, которая используется такими проектами, как Chromium , Angle и Skia Graphics Engine . Этот эксплойт позволил Эрраре украсть данные о деликатных проблемах безопасности, злоупотребляя конечной точкой поиска системы отслеживания ошибок. В 2019 году Терьянк, польский исследователь безопасности, опубликовал сообщение в блоге, описывающее атаку с межсайтовым поиском, которая позволила им украсть конфиденциальную информацию пользователей из громких продуктов Google.

В рамках повышенного внимания к решению проблем безопасности, которые зависят от неправильного использования давних функций веб-платформы , Google запустил XSLeaks Wiki в 2020 году. Инициатива была направлена ​​на создание открытой базы данных о функциях веб-платформы, которые использовались не по назначению и анализ и сбор информации об атаках с использованием межсайтовых утечек.

С 2020 года академическое сообщество по безопасности проявляет некоторый интерес к стандартизации классификации этих атак. В 2020 году Судходанан и др. были одними из первых, кто систематически обобщил предыдущую работу по устранению межсайтовых утечек и разработал инструмент под названием BASTA-COSI, который можно использовать для обнаружения утечек URL-адресов. В 2021 году Книттель и др. предложил новую формальную модель для оценки и характеристики межсайтовых утечек, позволяющую исследователям находить новые утечки, затрагивающие несколько браузеров. В 2022 году Ван Гётем и др. оценил доступные на данный момент средства защиты от этих атак и расширил существующую модель, включив в нее состояние компонентов браузера. В 2023 году статья, опубликованная Rautenstrauch et al. систематизация предыдущих исследований межсайтовых утечек была удостоена награды «Выдающаяся статья» на симпозиуме IEEE по безопасности и конфиденциальности .

Модель угроз

Модель угрозы межсайтовой утечки основана на возможности злоумышленника направить жертву на вредоносный веб-сайт, который хотя бы частично находится под контролем злоумышленника. Злоумышленник может добиться этого, скомпрометировав веб-страницу, переведя пользователя на веб-страницу и загрузив произвольный код, или используя вредоносную рекламу на безопасной веб-странице.

Атаки с межсайтовой утечкой требуют, чтобы злоумышленник идентифицировал хотя бы один зависящий от состояния URL-адрес в приложении-жертве для использования в атакующем приложении. В зависимости от состояния приложения-жертвы этот URL-адрес должен предоставить как минимум два ответа. URL-адрес может быть создан, например, путем ссылки на контент, который доступен пользователю только в том случае, если он выполнил вход на целевой веб-сайт. Включение этого зависящего от состояния URL-адреса во вредоносное приложение инициирует запрос между источниками к целевому приложению. Поскольку запрос представляет собой запрос из разных источников, политика одного и того же источника не позволяет злоумышленнику прочитать содержимое ответа. Однако, используя метод утечки через браузер, злоумышленник может запросить конкретные идентифицируемые характеристики ответа, такие как код состояния HTTP . Это позволяет злоумышленнику различать ответы и получать представление о состоянии приложения-жертвы.

Хотя каждый метод инициирования запроса между источниками к URL-адресу на веб-странице можно комбинировать с любым методом утечки данных из браузера, на практике это не работает, поскольку существуют зависимости между различными методами включения и утечками браузера. Некоторые методы утечки информации в браузере для достижения успеха требуют специальных методов включения. Например, если метод утечки браузера основан на проверке атрибутов CSS, таких как ширина и высота элемента, метод включения должен использовать элемент HTML со свойством ширины и высоты, например элемент изображения, который изменяется при Запрос -origin возвращает недопустимое изображение или изображение другого размера.

Типы

Межсайтовые утечки включают в себя весьма разнообразный спектр атак. для которых не существует установленной единой классификации. Однако несколько источников обычно классифицировали эти атаки по методам утечки информации, использованным во время атаки. По состоянию на 2021 год Исследователи выявили более 38 методов утечки данных, нацеленных на компоненты браузера. Новые методы обычно обнаруживаются из-за изменений в API-интерфейсах веб-платформы , которые представляют собой интерфейсы JavaScript, которые позволяют веб-сайтам запрашивать у браузера конкретную информацию. Хотя большинство этих методов подразумевают непосредственное обнаружение изменений состояния веб-приложения-жертвы, некоторые атаки также используют изменения в общих компонентах браузера для косвенного сбора информации о веб-приложении-жертве.

Временные атаки

Атаки по времени основаны на способности определять время конкретных событий по нескольким ответам. Они были обнаружены исследователями из Стэнфордского университета в 2007 году, что сделало их одним из старейших известных типов атак с межсайтовой утечкой.

Первоначально использовался только для различения времени, необходимого HTTP-запросу для разрешения ответа. исследования, проведенные после 2007 года, продемонстрировали использование этого метода утечки для обнаружения других различий между состояниями веб-приложений. В 2017 году Вила и др. показали, что атаки по времени могут определить время выполнения между источниками во встроенных контекстах. Это стало возможным благодаря отсутствию функций изоляции сайта в современных браузерах, что позволяло атакующему веб-сайту замедляться и усиливать разницу во времени, вызванную различиями в объеме выполняемого JavaScript при отправке событий в веб-приложение-жертву.

В 2021 году Книттель и др. показал API производительности может привести к утечке информации о наличии или отсутствии перенаправлений в ответах. Это стало возможным из-за ошибки в API производительности, из-за которой количество времени, отображаемое пользователю, было отрицательным при возникновении перенаправления. Google Chrome впоследствии исправил эту ошибку. В 2023 году Снайдер и др. показали, что временные атаки могут использоваться для проведения групповых атак, в ходе которых веб-сайты могут блокировать общие ресурсы, исчерпав свою глобальную квоту. Заставив веб-приложение-жертву выполнять JavaScript, который использовал эти общие ресурсы, а затем замерив время, которое заняло это выполнение, исследователи смогли раскрыть информацию о состоянии веб-приложения.

События ошибок

События ошибок — это метод утечки, который позволяет злоумышленнику различать множественные ответы путем регистрации обработчиков событий ошибок и прослушивания событий через них. Благодаря своей универсальности и способности к утечке широкого спектра информации, события ошибок считаются классическим вектором межсайтовой утечки.

Одним из наиболее распространенных случаев использования событий ошибок при атаках с межсайтовой утечкой является определение ответов HTTP путем подключения обработчиков событий. onload и onerror обработчики событий в элемент HTML и ожидание возникновения определенных событий ошибки. Отсутствие событий ошибок указывает на отсутствие ошибок HTTP. Напротив, если обработчик onerror запускается с определенным событием ошибки, злоумышленник может использовать эту информацию, чтобы различать типы HTTP-контента, коды состояния и ошибки типов мультимедиа. В 2019 году исследователи из Технического университета Дармштадта показали, что эту технику можно использовать для проведения целевой деанонимизационной атаки на пользователей популярных веб-сервисов, таких как Dropbox , Google Docs и GitHub , которые позволяют пользователям обмениваться произвольным контентом друг с другом.

С 2019 года расширены возможности событий ошибок. В 2020 году Янк и др. показано, установив режим перенаправления для запроса на выборку manual, веб-сайт может привести к утечке информации о том, является ли конкретный URL-адрес перенаправлением. Примерно в то же время Джон Масас и Луан Эррара показали, что, злоупотребляя ограничениями, связанными с URL-адресами, злоумышленник может вызвать события ошибки, которые могут быть использованы для утечки информации о перенаправлении URL-адресов. В 2021 году Книттель и др. показали события ошибок, генерируемые проверкой целостности подресурса , механизм, который используется для подтверждения того, что подресурс, загружаемый веб-сайтом, не был изменен или скомпрометирован, также может использоваться для угадывания необработанного содержимого ответа HTTP и утечки информации. длина контента ответа.

Атаки по таймингу кэша

Атаки с использованием тайминга кэша основаны на возможности определить попадания и промахи в общих кэшах на веб-платформе. Один из первых случаев атаки с использованием тайминга кэша включал в себя выполнение запроса к странице между источниками и последующее исследование существования ресурсов, загруженных запросом, в общем HTTP- и DNS- кэше. Документ, описывающий атаку, был написан исследователями из Университета Пердью в 2000 году и описывает способность атаки раскрыть большую часть истории просмотров пользователя путем выборочной проверки, были ли загружены уникальные для веб-страницы ресурсы.

Эта атака становится все более изощренной, позволяя утечку других типов информации. В 2014 году Цзя и др. показал, что эта атака может определить географическое местоположение человека, измеряя время, необходимое для загрузки локализованного домена группы международных веб-сайтов. В 2015 году Ван Гётем и др. Как показано, используя недавно представленный кеш приложения , веб-сайт может дать указание браузеру игнорировать и переопределить любую директиву кеширования, отправленную веб-сайтом-жертвой. В документе также показано, что веб-сайт может получить информацию о размере кэшированного ответа, определив время доступа к кэшу.

Глобальные ограничения

Глобальные ограничения, также известные как атаки группы пула, не зависят напрямую от состояния веб-приложения-жертвы. Эта межсайтовая утечка была впервые обнаружена Knittel et al. в 2020 году, а затем расширен Snyder et al. в 2023 году. Атака с целью злоупотребления глобальными операционными системами или аппаратными ограничениями, приводящая к истощению общих ресурсов. Глобальные ограничения, которыми можно злоупотреблять, включают количество подключений к необработанным сокетам , которые можно зарегистрировать, и количество сервисных работников , которые можно зарегистрировать. Злоумышленник может сделать вывод о состоянии веб-сайта-жертвы, выполнив действие, которое активирует эти глобальные ограничения, и сравнив любые различия в поведении браузера, когда то же действие выполняется без загрузки веб-сайта-жертвы. Поскольку для этих типов атак обычно также требуются временные побочные каналы , они также считаются временными атаками.

Другие методы

В 2019 году Гарет Хейес обнаружил, что, установив для хеша URL-адреса веб-сайта определенное значение и впоследствии определив, произошла ли потеря фокуса на текущей веб-странице, злоумышленник может определить наличие и положение элементов на веб-сайте жертвы. В 2020 году Книттель и др. показало, что злоумышленник может получить утечку независимо от того, Cross-Origin-Opener-Policy заголовок был установлен путем получения ссылки на window объект веб-сайта-жертвы путем создания фрейма веб-сайта или создания всплывающего окна веб-сайта-жертвы. Используя тот же метод получения ссылок на окна, злоумышленник также может подсчитать количество кадров, которые веб-сайт жертвы прошел через window.length свойство.

Несмотря на то, что продолжают появляться новые методы, старые методы выполнения межсайтовых утечек устарели из-за изменений в спецификациях Консорциума Всемирной паутины (W3C) и обновлений браузеров. В декабре 2020 года Apple обновила механизм интеллектуального предотвращения отслеживания (ITP) в своем браузере сделав Safari , различные методы межсайтовой утечки, которые исследователи из Google обнаружили неэффективными. Аналогичным образом, широкое внедрение разделения кэша во всех основных браузерах в 2020 году снизило эффективность атак с использованием тайминга кэша.

Пример

Пример веб-приложения на основе Python с интерфейсом конечной точки поиска, реализованным с использованием следующего шаблона Jinja, демонстрирует распространенный сценарий того, как может произойти атака с утечкой данных между сайтами.

<html lang="en">
<body>
<h2>Search results</h2>
   {% for result in results %}
   <div class="result">
      <img src="//cdn.com/result-icon.png" />
      {% result.description %}
   </div>
   {% endfor %}
</body>
</html>

Этот код представляет собой шаблон для отображения результатов поиска на веб-странице. Он просматривает коллекцию результатов, предоставленных серверной частью HTTP-сервера , и отображает каждый результат вместе с его описанием внутри структурированного элемента div рядом со значком, загруженным с другого веб-сайта. Базовое приложение аутентифицирует пользователя на основе файлов cookie , прикрепленных к запросу, и выполняет текстовый поиск личной информации пользователя, используя строку, указанную в параметре GET. значок, загруженный из сети доставки контента (CDN). Для каждого возвращаемого результата рядом с результатом отображается

Эта простая функция уязвима для атаки перекрестной утечки, как показано в следующем фрагменте JavaScript .

let icon_url = 'https://cdn.com/result-icon.png';
iframe.src = 'https://service.com/?q=password';
iframe.onload = async () => {
     const start = performance.now();
     await fetch(icon_url);
     const duration = performance.now() - start;
     if (duration < 5) // loaded resource from cache
         console.log('Query had results');
     else
         console.log('No results for query parameter');
};

Этот фрагмент JavaScript, который можно внедрить в веб-приложение, контролируемое злоумышленником, загружает веб-приложение жертвы внутри iframe, ожидает загрузки документа и впоследствии запрашивает значок из CDN. Злоумышленник может определить, был ли значок кэширован, определив время его возврата. Поскольку значок будет кэшироваться только тогда и только тогда, когда приложение-жертва вернет хотя бы один результат, злоумышленник может определить, вернуло ли приложение-жертва какие-либо результаты для данного запроса.

Защита

До 2017 года веб-сайты могли защититься от межсайтовых утечек, гарантируя, что один и тот же ответ будет возвращен для всех состояний приложения, лишая злоумышленника возможности дифференцировать запросы. Этот подход был неосуществим для любого нетривиального веб-сайта. Второй подход заключался в создании URL-адресов, специфичных для сеанса, которые не работали бы вне сеанса пользователя. Такой подход ограничивал обмен ссылками и был непрактичным.

Большинство современных средств защиты представляют собой расширения протокола HTTP, которые либо предотвращают изменения состояния, либо делают запросы между источниками без сохранения состояния , либо полностью изолируют общие ресурсы от нескольких источников.

Изоляция общих ресурсов

Необработанные данные, полученные в результате атаки по времени кэширования, обсуждаемой в § Пример . Когда разделение кэша отключено, можно провести четкое различие между кэшированными и некэшированными ответами, тогда как при разделении кэша два времени ответа перекрываются.

  кэшированный ответ

  некэшированный ответ

Одним из первых методов межсайтовых утечек было использование HTTP-кеша — подхода, основанного на запросе к кешу браузера уникальных ресурсов, которые мог загрузить веб-сайт жертвы. Измерив время, необходимое запросу из разных источников для обнаружения атакующего веб-сайта, можно определить, кэширован ли ресурс, и, если да, то состояние приложения-жертвы. По состоянию на октябрь 2020 г. , большинство браузеров реализовали разделение кэша HTTP, что резко снижает эффективность этого подхода. Разделение кэша HTTP работает путем многократного ввода каждого кэшированного запроса в зависимости от того, какой веб-сайт запросил ресурс. Это означает, что если веб-сайт загружает и кэширует ресурс, кэшированный запрос связан с уникальным ключом, сгенерированным на основе URL-адреса ресурса и URL-адреса запрашивающего веб-сайта. Если другой веб-сайт попытается получить доступ к тому же ресурсу, запрос будет рассматриваться как промах в кэше, если только этот веб-сайт ранее не кэшировал идентичный запрос. Это не позволяет атакующему веб-сайту определить, кэширован ли ресурс веб-сайтом-жертвой.

Другая, более ориентированная на разработчиков функция, которая позволяет изолировать контексты выполнения, включает в себя Cross-Origin-Opener-Policy (COOP), который изначально был добавлен для решения проблем Spectre в браузере. Это оказалось полезным для предотвращения утечек между сайтами, поскольку, если заголовок установлен с same-origin директивы как часть ответа, браузер запретит веб-сайтам с перекрестным происхождением сохранять ссылку на защищаемый веб-сайт, когда он открывается со сторонней страницы.

В рамках усилий по уменьшению межсайтовых утечек разработчики всех основных браузеров внедрили разделение хранилища, позволяя всем общим ресурсам, используемым каждым веб-сайтом, быть многоключевыми, что значительно сокращает количество методов включения, которые могут определить состояние веб-приложения.

Предотвращение изменения состояния

Атаки с межсайтовой утечкой зависят от способности вредоносной веб-страницы получать ответы из разных источников от приложения-жертвы. Предотвращая получение вредоносным приложением ответов из разных источников, пользователь больше не подвергается опасности утечки изменений состояния. Этот подход можно увидеть в таких средствах защиты, как устаревший X-Frame-Options заголовок и новее frame-ancestors Директива в заголовках Content-Security Policy , которая позволяет приложению-жертве указать, какие веб-сайты могут включать ее в качестве встроенного фрейма. Если приложение-жертва запрещает встраивание веб-сайта в ненадежные контексты, вредоносное приложение больше не может отслеживать ответ на запросы из разных источников, отправленные приложению-жертве с использованием метода встроенного фрейма.

Аналогичный подход используется в механизме блокировки ресурсов Cross-Origin (CORB) и Cross-Origin-Resource-Policy (CORP) заголовок , который позволяет выполнить запрос между источниками, но блокирует загрузку контента на сторонних веб-сайтах, если существует несоответствие между ожидаемым типом контента и тем, который был получен. Эта функция изначально была представлена ​​как часть серии мер по устранению уязвимости Spectre. но он оказался полезным для предотвращения утечек из разных источников, поскольку блокирует получение ответа вредоносной веб-страницей и, таким образом, определение изменений состояния.

Создание запросов между источниками без сохранения состояния

Одним из наиболее эффективных подходов к уменьшению межсайтовых утечек является использование SameSite параметр в файлах cookie . После установки на Lax или Strict, этот параметр запрещает браузеру отправлять файлы cookie в большинстве сторонних запросов, что фактически делает запрос без сохранения состояния. Принятие Same-Site Однако файлы cookie работают медленно, поскольку требуют изменений в работе многих специализированных веб-серверов, таких как поставщики аутентификации. В 2020 году создатели браузера Chrome объявили, что включат SameSite=Lax как состояние по умолчанию для файлов cookie на всех платформах. Несмотря на это, все еще встречаются случаи, когда SameSite=Lax файлы cookie не соблюдаются, например файлы Chrome LAX+POST смягчение последствий, которое позволяет сайту с перекрестным происхождением использовать SameSite=Lax cookie в запросе тогда и только тогда, когда запрос отправляется во время навигации по странице и происходит в течение двух минут после установки cookie. Это привело к обходным путям и обходным путям против SameSite=Lax ограничение, которое все еще допускает возникновение межсайтовых утечек.

Получить заголовки метаданных, которые включают в себя Sec-Fetch-Site, Sec-Fetch-Mode, Sec-Fetch-User и Sec-Fetch-Dest Заголовок, который предоставляет информацию о домене, инициировавшем запрос, сведения об инициировании запроса и пункте назначения запроса соответственно защищающемуся веб-серверу, также использовался для смягчения атак с утечкой данных между сайтами. Эти заголовки позволяют веб-серверу различать законные сторонние запросы с одного и того же сайта и вредоносные запросы из разных источников. Различая эти запросы, сервер может отправлять ответ без сохранения состояния на вредоносные сторонние запросы и ответ с сохранением состояния на обычные запросы того же сайта. Чтобы предотвратить неправомерное использование этих заголовков, веб-приложению не разрешается устанавливать эти заголовки, которые должны устанавливаться только браузером.

См. также

• Совместное использование ресурсов между источниками
• Та же политика происхождения
• Межсайтовый скриптинг
• Подделка межсайтового запроса

Ссылки

Источники

• Бансал, Четан; Прейбуш, Серен; Милич-Фрайлинг, Натаса (2015). «Возвращение к атакам по времени кэша: эффективная и повторяемая история браузера, анализ ОС и сети». В Федеррате, Ханнес; Голлманн, Дитер (ред.). Безопасность ИКТ-систем и защита конфиденциальности . ИФИП: Достижения в области информационных и коммуникационных технологий. Том. 455. Международное издательство Спрингер. стр. 97–111. дои : 10.1007/978-3-319-18467-8_7 . ISBN  978-3-319-18467-8 . S2CID   8676881 .
• Пиво, Филип; Веронезе, Лоренцо; Скуарчина, Марко; Линдорфер, Мартина (6 сентября 2021 г.). Мост между веб-приложениями и мобильными платформами все еще разрушен (PDF) . 8-й Европейский симпозиум IEEE по безопасности и конфиденциальности (EuroS&P), 2023 г., Материалы семинара SecWeb. Архивировано (PDF) из оригинала 7 ноября 2023 года . Проверено 7 ноября 2023 г. Заголовки HTTP-запроса Fetch Metadata [45] представляют собой набор HTTP-заголовков, которые предоставляют контекст HTTP-запроса серверу. Сервер может использовать контекст, чтобы определить, является ли запрос вредоносным или его следует разрешить.
• Борц, Эндрю; Боне, Дэн (8 мая 2007 г.). «Раскрытие частной информации путем синхронизации веб-приложений» . Материалы 16-й международной конференции по Всемирной паутине . WWW '07. Ассоциация вычислительной техники. стр. 621–628. дои : 10.1145/1242572.1242656 . ISBN  978-1-59593-654-7 . S2CID   7399871 .
• Кальзавара, Стефано; Рот, Себастьян; Рабитти, Альвизе; Бэкес, Майкл; Сток, Бен (2020). «Повесть о двух заголовках: формальный анализ непоследовательной защиты от {клик-джекинга} в сети» . SEC'20: Материалы 29-й конференции USENIX по симпозиуму по безопасности : 683–697. ISBN  978-1-939133-17-5 . S2CID   214631428 .
• Компаньа, Лука; Джонкер, Хьюго; Крочевски, Йоханнес; Крумнов, Бенджамин; Шахин, Мерве (1 сентября 2021 г.). «Предварительное исследование внедрения и эффективности файлов cookie SameSite в качестве защиты от CSRF» . Семинары Европейского симпозиума IEEE по безопасности и конфиденциальности 2021 года (EuroS&PW) . IEEE. стр. 49–59. дои : 10.1109/EuroSPW54576.2021.00012 . ISBN  978-1-6654-1012-0 . S2CID   240156960 .
• Доан, Трин Вьет; ван Рейсвейк-Дей, Роланд; Холфельд, Оливер; Баджпай, Вайбхав (12 февраля 2022 г.). «Эмпирический взгляд на консолидацию Интернета» . Транзакции ACM по Интернет-технологиям . 22 (3): 70:1–70:30. дои : 10.1145/3503158 . ISSN   1533-5399 . S2CID   246803043 . Хотя недавние реализации браузеров [69, 113] решают эту проблему с помощью разделения кэша HTTP, это исправление приводит к увеличению объема трафика и увеличению времени загрузки, поскольку кэшированные ресурсы извлекаются повторно, если они запрошены в другом контексте.
• Соме, Дольер Франсис (29 октября 2018 г.). Безопасность и конфиденциальность веб-приложений (кандидатская диссертация). Университет Лазурного берега.
• Фельтен, Эдвард В.; Шнайдер, Майкл А. (1 ноября 2000 г.). «Временные атаки на конфиденциальность в Интернете». Материалы 7-й конференции ACM по компьютерной и коммуникационной безопасности . Ассоциация вычислительной техники. стр. 25–32. дои : 10.1145/352600.352606 . ISBN  978-1-58113-203-8 . S2CID   456809 .
• Гелернтер, Натанел; Герцберг, Амир (12 октября 2015 г.). «Атаки межсайтового поиска» . Материалы 22-й конференции ACM SIGSAC по компьютерной и коммуникационной безопасности . ККС '15. Ассоциация вычислительной техники. стр. 1394–1405. дои : 10.1145/2810103.2813688 . ISBN  978-1-4503-3832-5 . S2CID   14924784 .
• Цзя, Яоци; Донг, Синьшу; Лян, Чжэнькай; Саксена, Пратик (1 января 2015 г.). «Я знаю, где вы были: атаки с использованием географического вывода через кеш браузера» . IEEE Интернет-вычисления . 19 (1): 44–53. дои : 10.1109/MIC.2014.103 . ISSN   1089-7801 . S2CID   16087472 .
• Ходаяри, Сохейл; Пеллегрино, Джанкарло (2022). «Состояние SameSite: изучение использования, эффективности и адекватности файлов cookie SameSite». Симпозиум IEEE 2022 по безопасности и конфиденциальности (SP) . IEEE. стр. 1590–1607. дои : 10.1109/SP46214.2022.9833637 . ISBN  978-1-6654-1316-9 . S2CID   251140677 .
• Ким, Хёнсоб; Ли, Санго; Ким, Чен (5 декабря 2016 г.). «Определение активности и статуса браузера посредством удаленного мониторинга использования хранилища» . Материалы 32-й ежегодной конференции по приложениям компьютерной безопасности . АКСАК '16. Ассоциация вычислительной техники. стр. 410–421. дои : 10.1145/2991079.2991080 . ISBN  978-1-4503-4771-6 . S2CID   10483542 – через библиотеку Университета штата Аризона.
• Книттель, Лукас; Майнка, Кристиан; Нимитц, Маркус; Носс, Доминик Тревор; Швенк, Йорг (12 ноября 2021 г.). «XSinator.com: от формальной модели к автоматической оценке межсайтовых утечек в веб-браузерах». Материалы конференции ACM SIGSAC 2021 года по компьютерной и коммуникационной безопасности . Ассоциация вычислительной техники. стр. 1771–1788. дои : 10.1145/3460120.3484739 . ISBN  978-1-4503-8454-4 . S2CID   244077807 .
• Мишра, Викас; Лапердрикс, Пьер; Рудаметкин, Уолтер; Рувуа, Ромен (2021). «Дежавю: злоупотребление заголовками кэша браузера для идентификации и отслеживания онлайн-пользователей» . Труды по технологиям повышения конфиденциальности . 2021 (2): 391–406. дои : 10.2478/popets-2021-0033 . hdl : 20.500.12210/57495 . ISSN   2299-0984 . S2CID   231779262 . Архивировано из оригинала 29 октября 2023 года . Проверено 29 октября 2023 г.
• Раутенштраух, Яннис; Пеллегрино, Джанкарло; Сток, Бен (21 мая 2023 г.). «Дырявая сеть: автоматическое обнаружение межсайтовых утечек информации в браузерах и Интернете» . Симпозиум IEEE по безопасности и конфиденциальности (SP) 2023 г. IEEE. стр. 2744–2760. дои : 10.1109/SP46215.2023.10179311 . ISBN  978-1-6654-9336-9 . S2CID   259321089 — через CISPA — базу данных публикаций Центра Гельмгольца по информационной безопасности.
• Рейс, Чарльз; Мощук, Александр; Осков, Наско (2019). «Изоляция сайта: разделение процессов веб-сайтов в браузере» . SEC'19: Материалы 28-й конференции USENIX по симпозиуму по безопасности . Ассоциация ЮСЕНИКС. стр. 1661–1678. ISBN  978-1-939133-06-9 . S2CID   199522067 . Архивировано из оригинала 7 ноября 2023 года . Проверено 7 ноября 2023 г.
• Швенк, Йорг; Нимитц, Маркус; Майнка, Кристиан (2017). Политика {Same-Origin}: оценка в современных браузерах . Ассоциация ЮСЕНИКС. стр. 713–727. ISBN  978-1-931971-40-9 . S2CID   9641053 .
• Снайдер, Питер; Карами, Соруш; Эдельштейн, Артур; Лившиц, Вениамин; Хаддади, Хамед (26 октября 2023 г.). «Вечеринка у бассейна: использование пулов ресурсов браузера для веб-отслеживания» . Материалы 32-й конференции USENIX по симпозиуму по безопасности . СПК '23. Ассоциация USENIX: 7091–7105. ISBN  978-1-939133-37-3 .
• Стаику, Кристиан-Александру; Прадель, Майкл (2019). «Утечки изображений: целенаправленные атаки на конфиденциальность в сети» . Материалы 28-й конференции USENIX по симпозиуму по безопасности . SEC '19: 923–939. ISBN  978-1-939133-06-9 . S2CID   156052170 .
• Судходанан, Авинаш; Ходаяри, Сохейл; Кабальеро, Хуан (2020). «Атаки перекрестного вывода состояний (COSI): утечка состояний веб-сайта через XS-Leaks». Труды 2020 Симпозиума по безопасности сетей и распределенных систем . Интернет-сообщество. дои : 10.14722/ndss.2020.24278 . ISBN  978-1-891562-61-7 . S2CID   199452779 .
• Ван Гетем, Том; Франкен, Гертьян; Санчес-Рола, Искандер; Дворкен, Дэвид; Йосен, Воутер (6 сентября 2021 г.). Понимание межсайтовых утечек и средств защиты (PDF) . 8-й Европейский симпозиум IEEE по безопасности и конфиденциальности (EuroS&P), 2023 г., Материалы семинара SecWeb. п. 1. Архивировано (PDF) из оригинала 11 октября 2023 г. Проверено 11 октября 2023 г.
• Ван Гетем, Том; Франкен, Гертьян; Санчес-Рола, Искандер; Дворкен, Дэвид; Йосен, Воутер (30 мая 2022 г.). «SoK: изучение текущих и будущих направлений исследований XS-Leaks с помощью расширенной формальной модели». Материалы Азиатской конференции ACM по компьютерной и коммуникационной безопасности 2022 года . Ассоциация вычислительной техники. стр. 784–798. дои : 10.1145/3488932.3517416 . ISBN  978-1-4503-9140-5 . S2CID   248990284 . В эту статью включен текст Тома Ван Гетема, Гертьяна Франкена, Искандера Санчес-Ролы, Дэвида Дворкена и Воутера Йосена, доступный по лицензии CC BY 4.0 .
• Ван Гетем, Том; Санчес-Рола, Искандер; Йосен, Воутер (2023). «Скриптовые приспешники: использование XS-Leaks для обнаружения межсайтовых уязвимостей» . Семинары IEEE по безопасности и конфиденциальности (SPW) 2023 г. IEEE. стр. 371–383. дои : 10.1109/SPW59333.2023.00038 . ISBN  979-8-3503-1236-2 . S2CID   259267534 . Проверено 7 ноября 2023 г.
• Ван Гетем, Том; Ванхуф, Мэти; Писсенс, Франк; Йосен, Воутер (2016). Запрос и победа: раскрытие размера ресурса {Cross-Origin} . стр. 447–462. ISBN  978-1-931971-32-4 .
• Ван Гетем, Том; Йосен, Воутер; Никифоракис, Ник (12 октября 2015 г.). «Часы все еще тикают: временные атаки в современной сети» . Материалы 22-й конференции ACM SIGSAC по компьютерной и коммуникационной безопасности . ККС '15. Ассоциация вычислительной техники. стр. 1382–1393. дои : 10.1145/2810103.2813632 . ISBN  978-1-4503-3832-5 . S2CID   17705638 .
• Вила, Пепе; Кёпф, Борис (2017). «Лазейка: временные атаки на общие циклы событий в Chrome» . SEC'17: Материалы 26-й конференции USENIX по симпозиуму по безопасности : 849–864. arXiv : 1702.06764 . ISBN  978-1-931971-40-9 .
• Захери, Моджтаба; Куртмола, Реза (2021). «Leakuidator: атаки на утечку ресурсов и меры противодействия». В Гарсиа-Альфаро Хоакин; Ли, Шуцзюнь; Пувендран, Радха; Дебар, Эрве; Юнг, Моти (ред.). Безопасность и конфиденциальность в сетях связи . Конспекты лекций Института компьютерных наук, социальной информатики и телекоммуникационной техники. Том. 399. Международное издательство Спрингер. стр. 143–163. дои : 10.1007/978-3-030-90022-9_8 . ISBN  978-3-030-90022-9 . S2CID   237476137 .
• Захери, Моджтаба; Орен, Йосси; Куртмола, Реза (2022). «Целевая деанонимизация через боковой канал кэша: атаки и защита» . Материалы 31-й конференции USENIX по симпозиуму по безопасности . SEC '22: 1505–1523. ISBN  978-1-939133-31-1 . S2CID   251092191 .
• Залевский, Михал (15 ноября 2011 г.). Запутанная сеть: руководство по обеспечению безопасности современных веб-приложений . Нет крахмального пресса. ISBN  978-1-59327-388-0 .

Дальнейшее чтение

• Книттель, Лукас; Майнка, Кристиан; Нимитц, Маркус; Носс, Доминик Тревор; Швенк, Йорг (12 ноября 2021 г.). «XSinator.com: от формальной модели к автоматической оценке межсайтовых утечек в веб-браузерах». Материалы конференции ACM SIGSAC 2021 года по компьютерной и коммуникационной безопасности . Ассоциация вычислительной техники. стр. 1771–1788. дои : 10.1145/3460120.3484739 . ISBN  978-1-4503-8454-4 . S2CID   244077807 .
• Раутенштраух, Яннис; Пеллегрино, Джанкарло; Сток, Бен (21 мая 2023 г.). «Дырявая сеть: автоматическое обнаружение межсайтовых утечек информации в браузерах и Интернете» . Симпозиум IEEE по безопасности и конфиденциальности (SP) 2023 г. IEEE. стр. 2744–2760. дои : 10.1109/SP46215.2023.10179311 . ISBN  978-1-6654-9336-9 . S2CID   259321089 — через CISPA — базу данных публикаций Центра Гельмгольца по информационной безопасности.
• Ван Гетем, Том; Франкен, Гертьян; Санчес-Рола, Искандер; Дворкен, Дэвид; Йосен, Воутер (30 мая 2022 г.). «SoK: изучение текущих и будущих направлений исследований XS-Leaks с помощью расширенной формальной модели». Материалы Азиатской конференции ACM по компьютерной и коммуникационной безопасности 2022 года . Ассоциация вычислительной техники. стр. 784–798. дои : 10.1145/3488932.3517416 . ISBN  978-1-4503-9140-5 . S2CID   248990284 .
• Ван Гетем, Том; Франкен, Гертьян; Санчес-Рола, Искандер; Дворкен, Дэвид; Йосен, Воутер (6 сентября 2021 г.). Понимание межсайтовых утечек и средств защиты (PDF) . 8-й Европейский симпозиум IEEE по безопасности и конфиденциальности (EuroS&P), 2023 г., Материалы семинара SecWeb. п. 1. Архивировано (PDF) из оригинала 11 октября 2023 г. Проверено 11 октября 2023 г.

Внешние ссылки

• «XSLeaks Wiki — Введение» . xsleaks.dev .
• «XSinator — набор тестов браузера XS-Leak» . xsinator.com .