Обнаружена уязвимость: веб-сайты и приложения могут снимать цифровой отпечаток устройств через данные калибровки

[DOMINUS_EDEM]

22 мая специалисты Кембриджского университета сообщили о новой разновидности кибератаки, которая может быть применена к большинству мобильных устройств Apple и некоторым моделям смартфонов Google. Уязвимость заключается в том, что система автоматически передает вебсайтам и приложениям данные с датчиков движения. Этого объема информации достаточно, чтобы создать уникальный идентификатор устройства и отслеживать действия его владельца в Сети.

Снятие цифровых отпечатков – стандартная практика, которую применяют как веб-аналитики, чтобы точнее таргетировать клиентов, так и мошенники. Наибольшая опасность кроется в тех методах, которые позволяют собирать данные о стабильных характеристиках устройства незаметно от пользователя.

Атака SensorID, которую исследователи успешно провели в рамках эксперимента, использует информацию о заводской калибровке датчиков телефона. В iOS-устройствах данные собираются с гироскопа и магнитометра, в Android-устройствах – с гироскопа, магнитометра и акселерометра. Совокупность этих сведений составляет уникальный отпечаток устройства, с помощью которого лица, проводящие атаку, могут получать информацию о дальнейших перемещениях пользователя в онлайн-среде и в библиотеке приложений. Процесс передачи данных занимает меньше секунды.

Видео: https://youtu.be/w95SiRYaMx0

Пользователь никак не может защитить себя от атаки: сайту не нужно отсылать запрос на получение информации о калибровке, изменить же отпечаток невозможно даже путем сброса настроек. Использование защищенных браузеров (Brave, Firefox Focus) с переходом в режим защиты от снятия отпечатков также не оказало должного эффекта. По словам авторов исследования, безопасность пользователя зависит исключительно от того, встроены ли заводские настройки в прошивку. Для телефонов Apple ответ всегда утвердительный, однако многие моделей Android находятся вне группы риска. Пока точно установлено, что угроза актуальна для смартфонов Google Pixel 2 и Pixel 3.

Исследователи передали информацию об уязвимости компании Apple в марте, задолго до публикации результатов исследования, поэтому прошивку 12.2 уже защищена от атаки SensorID. Решением стало введение произвольных шумов в данные с аналого-цифрового преобразователя и ограничение доступа к данным датчиков для браузера Mobile Safari. Компания Google также в курсе ситуации, однако пока не предприняла шагов по устранению уязвимости, заявив, что намерена собрать дополнительную информацию.