Tracking-Schwachstelle kann browserübergreifend über Apps (App-Abfrage) ausgenutzt werden

Bestimmte Anwendungen, die auch auf das Internet zugreifen, können benutzerdefinierte URL-Schemata anlegen, die der Browser dann nutzen kann. Kennen wir bspw. von Zoom, FeedbackHub, Steam und andere, die dann aus dem Browser heraus die App öffnet.

Jetzt wurde hier eine Schwachstelle gefunden, die es der Webseite ermöglicht, den Benutzer über verschiedene Browser auf dem Gerät zu verfolgen, indem die installierten Apps abgefragt werden. Das betrifft unter anderem den Google Chrome, Safari, Microsoft Edge und auch den Tor-Browser, der ja eigentlich für Anonymität sorgen soll.

Beim Tracking wird mithilfe des Scheme Flooding versucht über den URL-Handler die Eingabeaufforderung zu starten. Ist dies möglich, kann ein eindeutiges Profil angelegt werden. Somit kann eine Verfolgung stattfinden.

Sicherheitsforscher haben nun eine Möglichkeit entwickelt, um über die installierten Anwendungen auf verschiedenen Browsern zu testen, ob dies möglich ist, bzw. wäre. Das Ergebnis zeigt an, welche Apps installiert sind. Auf der GitHub-Seite ist ein Demo-Link über den ihr testen könnt, ob eine dieser Anwendungen installiert ist. Insgesamt werden 24 Anwendungen überprüft. Dabei kann es vorkommen, dass durch die gleiche Kombination von installierten Programmen eine identische Profil-ID für mehrere Benutzer ausgegeben wird.

Von den getesteten Browsern hat bisher nur der Google Chrome eine Abschwächungsmaßnahme in den Browser integriert, die aber wieder durch den Chrome PDF Viewer im Moment nutzlos wird. „Der eingebaute Chrome PDF Viewer ist eine Erweiterung, sodass jedes Mal, wenn der Browser eine PDF-Datei öffnet, das Schema Flood Protection Flag zurückgesetzt wird. Das Öffnen einer PDF-Datei vor dem Öffnen einer benutzerdefinierten URL macht den Exploit funktionsfähig“, erläutert Darutkin.

Microsoft und Google arbeiten derzeit an dem Problem. Mozilla hier.