Обнаружен новый метод отслеживания пользователей Firefox

[Ринат200275 0]

Разработчики браузеров постоянно внедряют новый функционал, призванный улучшить производительность браузера или его совместимость с операционной системой. В некоторых случаях эти возможности могут использоваться в неблаговидных целях, например, для отслеживания пользователей. Исследователь безопасности Александр Клинк (Alexander Klink) описал метод, позволяющий отследить пользователей Mozilla Firefox.



Дело в том, что Firefox кэширует промежуточные сертификаты для ускорения загрузки web-сайтов тем самым позволяя третьим сторонам определить различную информацию о посетителях ресурсов. По словам Клинка, сторонние лица (например, рекламодатели) могут определить, какие сертификаты хранятся в кэше Firefox при помощи небольшого теста.



В частности, третья сторона незаметно может загрузить контент (такой как иконки сайта) с неправильно сконфигурированных HTTPS ресурсов. Поскольку большинство таких сайтов использует один и тот же промежуточный сертификат, некоторые будут загружаться корректно (так как сертификат сохранен в кэше браузера). Если при загрузке возникает сообщение об ошибке, значит, пользователь не заходил ни на один из сайтов, использующих определенный промежуточный сертификат. При помощи данного метода рекламодатели смогут определить, какие ресурсы посещал пользователь.



Используя данную технику, можно собрать только ограниченную информацию, такую как данные о местонахождении или о том, что и как просматривают пользователи. Методом могут воспользоваться не только рекламодатели, но и злоумышленники, в часности для того, чтобы определить, работает ли браузер в «виртуальной песочнице», а затем использовать полученную информацию для доставки различного контента, отметил Клинк.



Исследователь уже уведомил Mozilla о проблеме. Сейчас специалисты компании работают над внедрением системы телеметрии, которая позволит собрать данные об эффективности функции кэширования промежуточных сертификатов. Судя по всему, устранение проблемы займет у разработчиков довольно продолжительное время.