Các nhà nghiên cứu đã phát hiện ra 14 kiểu tấn công rò rỉ dữ liệu trên nhiều trang web mới nhằm vào một số trình duyệt web hiện đại, bao gồm Tor Browser, Mozilla Firefox, Google Chrome, Microsoft Edge, Apple Safari và Opera, v.v.
Được gọi chung là “XS-Leaks”, lỗi của trình duyệt cho phép một trang web độc hại thu thập dữ liệu cá nhân từ khách truy cập khi họ tương tác với các trang web khác trong nền mà mục tiêu không hề hay biết. Các phát hiện là kết quả của một nghiên cứu toàn diện về các cuộc tấn công xuyên địa điểm do một nhóm học giả từ Ruhr-Universität Bochum (RUB) và Đại học Niederrhein thực hiện.
Các nhà nghiên cứu cho biết trong một tuyên bố: “XS-Leaks bỏ qua cái gọi là chính sách cùng nguồn gốc, một trong những biện pháp bảo vệ chính của trình duyệt chống lại các loại tấn công khác nhau”. “Mục đích của chính sách cùng nguồn gốc là ngăn thông tin bị đánh cắp từ một trang web đáng tin cậy. Trong trường hợp XS-Leaks, những kẻ tấn công có thể nhận ra từng chi tiết nhỏ của trang web. Nếu những chi tiết này gắn liền với dữ liệu cá nhân, những dữ liệu đó có thể bị rò rỉ. “
Xuất phát từ các kênh phụ được tích hợp trong nền tảng web cho phép kẻ tấn công thu thập dữ liệu này từ tài nguyên HTTP nhiều nguồn gốc, các lỗi trên nhiều trang web ảnh hưởng đến một loạt các trình duyệt phổ biến như Tor, Chrome, Edge, Opera, Safari Firefox, samsung Internet, mở rộng trên các hệ điều hành khác nhau Windows, macOS, Android và iOS.
Loại lỗ hổng bảo mật mới cũng khác với cuộc tấn công giả mạo yêu cầu trên nhiều trang web (CSRF) ở chỗ không giống như loại tấn công thứ hai, khai thác sự tin tưởng của ứng dụng web vào ứng dụng khách trình duyệt để thực hiện các hành động không mong muốn thay mặt cho người dùng, chúng có thể được vũ khí hóa để suy ra thông tin về một người dùng.
Các nhà nghiên cứu giải thích: “Chúng là một mối đe dọa đáng kể đối với quyền riêng tư trên Internet vì chỉ cần truy cập một trang web có thể tiết lộ nạn nhân có phải là người nghiện ma túy hoặc có xu hướng tình dục hay không”. “XS-Leaks tận dụng các mẩu thông tin nhỏ được tiết lộ trong quá trình tương tác giữa các trang web […] để tiết lộ thông tin nhạy cảm về người dùng, chẳng hạn như dữ liệu của họ trong các ứng dụng web khác, thông tin chi tiết về môi trường cục bộ hoặc mạng nội bộ mà họ được kết nối. “
Ý tưởng cốt lõi là trong khi các trang web không được phép truy cập trực tiếp vào dữ liệu (tức là đọc phản hồi của máy chủ) trên các trang web khác do các ràng buộc về nguồn gốc giống nhau, thì một cổng trực tuyến giả mạo có thể cố gắng tải một tài nguyên cụ thể hoặc một điểm cuối API từ một trang web, giả sử, một trang web ngân hàng trực tuyến, trên trình duyệt của người dùng và đưa ra các suy luận về lịch sử giao dịch của nạn nhân. Ngoài ra, nguồn rò rỉ có thể là các kênh phụ dựa trên thời gian hoặc các cuộc tấn công thực thi đầu cơ như Meltdown và Spectre.
Để giảm thiểu, các nhà nghiên cứu khuyên bạn nên từ chối tất cả các thông báo xử lý sự kiện, giảm thiểu sự xuất hiện của thông báo lỗi, áp dụng các giới hạn tổng thể và tạo thuộc tính lịch sử mới khi xảy ra chuyển hướng. Ở phía người dùng cuối, việc bật chế độ cô lập của bên thứ nhất cũng như tính năng Ngăn chặn Theo dõi Nâng cao trong Firefox đã được phát hiện làm giảm khả năng ứng dụng của XS-Leaks. Ngăn chặn theo dõi thông minh trong Safari, chặn cookie của bên thứ ba theo mặc định, cũng ngăn chặn tất cả các rò rỉ không dựa trên cửa sổ bật lên.
Các nhà nghiên cứu cho biết: “Nguyên nhân gốc rễ của hầu hết các lỗi XS-Rò rỉ là do thiết kế của web. “Thông thường, các ứng dụng dễ bị rò rỉ thông tin trên nhiều trang web mà không làm gì sai. Việc khắc phục nguyên nhân gốc rễ của XS-Leaks ở cấp trình duyệt là một thách thức vì trong nhiều trường hợp, làm như vậy sẽ phá vỡ các trang web hiện có.”
.
