URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 105210
[ Назад ]
Исходное сообщение
"Новый вид атаки по определению ранее открытых в браузере сайтов"
Отправлено opennews , 28-Окт-15 00:23 
На конференции Toorcon продемонстрирован (https://zyan.scripts.mit.edu/presentations/toorcon2015.pdf) новый вид  атаки (https://github.com/diracdeltas/sniffly) на браузеры, позволяющей выяснить какие сайты пользователь посещал ранее. Атака применима к сайтам, на которых включена поддержка протокола HSTS (https://ru.wikipedia.org/wiki/HSTS) для автоматизации проброса на области HTTPS при запросе ресурса с использованием протокола HTTP, и проявляется даже если пользователь очистил историю посещений. Для демонстрации уязвимости подготовлена специальная страница (http://zyan.scripts.mit.edu/sniffly/), анализирующая открытие в прошлом некоторых популярных ресурсов. Проблема успешно проявляется в Firefox и Chrome, но также затрагивает и другие браузеры, поддерживающие  HSTS. В Tor Browser проблема не проявляется из-за ограничения точности таймера.

Техника атаки основывается на том, что CSP запросив несуществующее изображение на сайте с использованием протокола HTTP, в случае если на этом сайте выставлен флаг HSTS  и сайт открывался ранее, его параметры HSTS прокэшированы и  ответ будет возвращён после одного запроса (URL сразу будет запрошен по HTTPS, минуя запрос по HTTP). Если сайт не был открыт ранее, вначале будет выполнен запрос по HTTP, а затем, после получения заголовка HSTS, браузер отправит повторный запрос с использованием HTTPS, т.е. операция займёт ощутимо больше времени. Оценив время задержки кодом на JavaScript можно с достаточно большой вероятностью определить открывал пользователь проверяемый сайт ранее или нет.

URL: http://arstechnica.com/security/2015/10/unpatched-browser-we.../
Новость: http://www.opennet.me/opennews/art.shtml?num=43209

Содержание
Сообщения в этом обсуждении
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 00:23 
Твою ж мать...
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 02:16 
Тоже мне проблема. Я использую фф как основной браузер, и мне на указанной странице назвали всего 2 сайта. И это при том, что точность оказалась 50%. Этот новый вид атаки однозначно опасен!

Хотя, может быть, на хромиумах всё иначе, но эта "атака" не особо внушает опасения. Кстати, я использую NoScript и HTTPS Everywhere %)

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 07:59 
> ... мне на указанной странице назвали всего 2 сайта. И это при том, что точность оказалась 50%. Этот новый вид атаки однозначно опасен!

Мне оно выдало целую портянку всяко-разных сайтов, названия которых я видел первый раз в жизни, при том, что я успел побывать лишь на опеннете, и весь кэш браузера был до того вычищен абсолютно. Смеялсо от души!

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 08:07 
Важное уточнение: опеннета в списке не оказалось. :D
Это страшная атака, и мы все умрем! :))

PS. Браузер palemoon + куча дополнений.

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено kai3341 , 28-Окт-15 09:07 
> Важное уточнение: опеннета в списке не оказалось. :D

Новость не читай @ комментарий оставляй
Почему опеннета в списке не оказалось? В чём суть уязвимости?

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 12:12 
- Опеннета в списке не оказалось.

Сказано же - HSTS

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Анонимец , 28-Окт-15 12:11 
Подтверждаю, атака очень страшна.
Зайдя на тестовую страницу получил в колонке "Sites you've probably visited:" список из 152 адресов, которые никогда в жизни не посещал :)

Стоят HTTPS Everywere и Ghostery

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 13:22 
ну чего, поздравляю у вас вирус, а то и целый букет)
значит эти сайты посещало какое-то из дополнений браузера
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Анонимец , 29-Окт-15 08:13 
вы много таких вирусов под linux знаете? :)
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 29-Окт-15 13:35 
ghostery же
"Новый вид атаки по определению ранее открытых в браузере..."
Отправлено arisu , 29-Окт-15 17:45 
> вы много таких вирусов под linux знаете? :)

да немало. обычно в креслах растут.

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено kai3341 , 28-Окт-15 09:19 
> Тоже мне проблема. Я использую фф как основной браузер, и мне на указанной странице назвали всего 2 сайта. И это при том, что точность оказалась 50%. Этот новый вид атаки однозначно опасен!
> Хотя, может быть, на хромиумах всё иначе, но эта "атака" не особо внушает опасения. Кстати, я использую NoScript и HTTPS Everywhere %)

Прочитай новость ещё раз. Суть атаки -- идентификация пользователя^W браузера. Именно через HTTPS, потому HTTPS Everywhere лишь усугубляет ситуацию. Кстати, а как ты пролез на Opennet? Отключил блокирование HTTP-запросов? Ну и толку теперь от твоего HTTPS Everywhere, если ты его отключил. //Та же х?йня просто.
Мы не знаем, как именно она может применяться, но вот варианты:
1) Сайт идентифицирует пользователя по "отпечатку" посещённых ресурсов (и передаёт информацию АНБ, лол).
2) Сайт обнаруживает, например, пользователей, посещавших пиратскую бухту, и ограничивает их возможности.
3) ...
4) PROFIT!!

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 10:46 
> Кстати, а как ты пролез на Opennet? Отключил блокирование HTTP-запросов?

Opennet внезапно поддерживает https.

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Какаянахренразница , 28-Окт-15 05:36 
> Твою ж мать...

Здесь та же фигня.

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 00:41 
Демонстрационная страница выдала набор статистически наиболее часто посещаемых сайтов исходя из настроек языка, используемой операционной системы и браузера. Только вот незадача - ни на одном из них я никогда не бывал. О тематике догадываюсь исходя из названий )))
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 00:46 
У меня всё достаточно точно определил. Может косвенно с этих сайтов у вас что-то открывалось?
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Who , 28-Окт-15 00:49 
У меня только letsencrypt.org совпал, остальное - какой-то хлам.
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено ы , 28-Окт-15 00:51 
а у меня вообще ничего не определил - список сайтов есть, но я такие не посещал
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено mkostik , 28-Окт-15 07:37 
> а у меня вообще ничего не определил - список сайтов есть, но
> я такие не посещал

Аналогично

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено fig , 28-Окт-15 08:05 
Да фигня какая-то. Похоже на первоапрельский прикол
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено qwerty , 28-Окт-15 11:11 
Возможно это список сайтов с которых грузились баннеры?
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 14:48 
Удалось заставить работать, пришлось полностью отключит adblock plus в ff. Почти как вирусы под linux, под которые надо настроить окружение.
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 02:07 
Пальцем в небо. Конечно все (кроме одного) эти сайты я когда-то открывал, но я открывал и сайты из правого списка, которые типа не посещал.
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 00:53 
Возьмите сайт из правой части. Сходите туда. Вернитесь взад. Он окажется слева. Пробовал на qiwi.ru
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 01:13 
Зашёл на https://savecrypto.org/ из правой части.

Потом перезагрузил эту тестовую страницу, выдал мне очередную ерунду:
notepad-plus-plus.org
giustizia.it
www.ing-diba.de
www.adreactor.com
briian.com
bitcoinwisdom.com
pass.yandex.kz
tjournal.ru

Мой UA: Mozilla/5.0 (X11; FreeBSD amd64; rv:36.0) Gecko/20100101 Firefox/36.0 SeaMonkey/2.33.1

Может у вас в Windows с Chrome всё и работает, так вам и надо, пользуйтесь нормальными ОС и браузерами и ваше безопасность и конфидециальность буду в порядке.

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 01:51 
А может вы просто забыли что когда переходили на эти сайты или даже не знали, что на какой-то странице что-то загружалось?


Mozilla/5.0 (X11; Linux i686; rv:41.0) Gecko/20100101 Firefox/41.0

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 28-Окт-15 02:10 
Специально поискал в истории и куках, нету этих сайтов и в помине. А вот с браузером Firefox такая штука реально вышла, зашёл на privat24.ua, и после этого на ту страницу и он был первым в левом списке. Но то что Firefox скатился и теперь не намного лучше Хромого я и так знал, а теперь ещё раз убедился.
"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено cmp , 28-Окт-15 11:50 
> Firefox/36.0

Дружище, 36 фокс уже протух и воняет.

> так вам и надо, пользуйтесь нормальными ОС и браузерами

Нормальность твоя ясна

"Новый вид атаки по определению ранее открытых в браузере сай..."
Отправлено Аноним , 29-Окт-15 00:58 
> Возьмите сайт из правой части. Сходите туда. Вернитесь взад. Он окажется слева.
> Пробовал на qiwi.ru

Взял из правой части adblockplus.org, зашел, перегрузил страницу - adblockplus.org так же в правой части.


"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 01:00 
>www.kickstarter.com
>lever.co
>www.yugster.com
>tripcase.com
>www.blueapron.com
>www.straighttalk.com
>stacksocial.com

Никогда в жизни на них не был.

UA: Mozilla/5.0 (X11; FreeBSD amd64; rv:36.0) Gecko/20100101 Firefox/36.0 SeaMonkey/2.33.1

"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено arzeth , 28-Окт-15 01:37 
Значит, на других (посещённых) сайтах были картинки/счётчики/лайкокнопки с вот этих сайтов.
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено ы , 28-Окт-15 02:35 
ага, самих этих посещённых сайтов нету, а лайкокнопки с левых сайтов есть
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 01:11 
Выставил в Firefox галку в "удалять настройки сайтов при выходе" и ничего эта страница не показывает. А до этого, если походить по сайтам из правой колонки, то они потом появлялисть в левой.
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 02:56 
Аналогично. Настройки сайтов (Site Preferences) подчищает HSTS хвосты.
Mozilla/5.0 (X11; Linux x86_64; rv:41.0) Gecko/20100101 Firefox/41.0
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено tr , 28-Окт-15 11:24 
Может, я что-то недопонимаю, но разве подчистка HSTS-следов не приводит к его (HSTS) бесполезности?
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 23:47 
Нет.
"Новый вид атаки по определению ранее открытых в браузере сайтов"
Отправлено Аноним , 28-Окт-15 01:30 
> Please disable HTTPS Everywhere for best results.

Fail. Из-за этого слева какой-то рандом.

"Новый вид атак по определению ранее открытых в браузере..."
Отправлено arisu , 28-Окт-15 04:06 
как обычно ничего не произошло. а потому что jsavascript — это не данность, а привилегия.
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 06:07 
Насыпал три десятка сайтов, из которых мне не знаком ни один. Проверял со смартфона.
"Новый вид атаки по определению ранее открытых в браузере сайтов"
Отправлено Аноним , 28-Окт-15 07:17 
Не работает
http://images.vfl.ru/ii/1446005756/28f72c91/10312054.png


"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 07:51 
Стабильно показывает, что я был на всех сайтах, кроме одного случайного. Наверно надо вырубить request policy
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Нанобот , 28-Окт-15 09:43 
Новый вид атак, ещё более надуманый, чем предыдущие.
Раз исследователи начали высасывать из пальца такие атаки, значит безопасность браузеров уже на очень хорошем уровне.
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Orsi , 28-Окт-15 09:58 
Firefox , SiteSecurityServiceState.txt - "только чтение" , заглянул на три десятка (сколько терпения хватило) сайтов из правого списка , перезагрузил браузер - не определилось ничего .
"В Internet Explorer 11 не работает"
Отправлено Аноним , 28-Окт-15 11:03 
Среди сайтов, которые "Sites you've probably visited:"
ничего нет.

Но среди сайтов, которые я вероятнее всего не посещал
есть те, которые я посещал.

Или эксплойт лажа, или IE11 - суперзащищенный браузер

"В Internet Explorer 11 не работает"
Отправлено Orsi , 28-Окт-15 11:33 
IE не поддерживает HSTS - определять нечего .
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено nhjhjo , 28-Окт-15 11:21 
не работает у меня. утка
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Mirraz , 28-Окт-15 11:52 
Из-за HTTPS-Everywhere выдал много лишнего мусора, но и пару специфичных сайтов тоже показал. Так что, к сожалению, сойдёт за очередной fingerprint.
А вот с HPKP надо что-то срочно делать.
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аномин , 28-Окт-15 12:11 
Даже после разрешения скриптов, сайт, вселяющий благоговейный ужас в хомячков, выдал мне портянку исключительно из сайтов, на которые я не хожу. Оч-чень опасно...
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 14:57 
Чудовищная уязвимость.
Уровня a:visited, просто -_-
Уже 20 минут пытается вычислить где же я был.

    >wikitech.wikimedia.org
    >land.nrw

Офигеть просто.
История в браузере года с 2010го не очищалась.

>Sites you probably haven't visited:
>qiwi.ru

Што. Час назад заходил.
В 43м ФФ может поломали чего?

"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 15:22 
Без HTTPS Everywhere работает. Список слева полностью верный:
vine.co
noscript.net
meduza.io
yande.re
www.englishforums.com
yadi.sk
www.maketecheasier.com
www.reddit.com
vc.ru
tjournal.ru
И ещё несколько, которые не хочу палить.
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Я , 28-Окт-15 15:35 
> И ещё несколько, которые не хочу палить.

porno.com мы и так знаем

"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Radjah , 28-Окт-15 16:31 
> yande.re
> porno.com

Ну у кого что.

"Новый вид атак по определению ранее открытых в браузере..."
Отправлено arisu , 28-Окт-15 17:27 
> yande.re

спасибо. единственный полезный камент из всего хлама.

"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 31-Окт-15 18:07 
Результаты сомнительны: дважды зайдя на этот сайт — вы уже "посетили" тот, который проверяют.
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Sluggard , 28-Окт-15 16:25 
А у меня пусто на тестовой страничке. Туда с отключенными NoScript и Policeman надо ходить что ли?
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Аноним , 28-Окт-15 18:10 
80% сайтов тестовая страница определяет верно. Остальных, возможно, я попросту не помню.
ff 38.2
"Новый вид атак по определению ранее открытых в браузере сайт..."
Отправлено Anonplus , 29-Окт-15 15:01 
В новости говорится, что помогает снижение точности таймера.

// Отключает User Timing API - доступ к высокочастотному таймеру, при помощи которого может быть осуществлено прослушивание процессорного кэша из непривилегированного JS-кода.
// https://trac.torproject.org/projects/tor/ticket/16336
// http://www.html5rocks.com/en/tutorials/webperformance/userti.../
// https://www.linux.org.ru/news/security/11541326
// http://arxiv.org/pdf/1502.07373v2.pdf
user_pref("dom.enable_user_timing", false);
user_pref("dom.performance.enable_user_timing_logging", false);

Это оно?

"Новый вид атак по определению ранее открытых в браузере..."
Отправлено arisu , 29-Окт-15 17:46 
как хорошо, что у нас в Pale Moon такой фигни нет и не было.
"Новый вид атак по определению ранее открытых в браузере..."
Отправлено Аноним , 29-Окт-17 21:23 
Ошибаетесь. Первый по дефолту - true, второй - false.
"Новый вид атак по определению ранее открытых в браузере..."
Отправлено arisu , 30-Окт-17 04:57 
ты бы ещё лет 15 подождал перед написанием ответа.