Alle modernen web-Browser Leck Erweiterung von Informationen auf Websites, wenn die Seiten das ausführen von Skripts ziehen Sie die Informationen. Wir Sprachen über die Ergebnisse der Forschung Laufzeit, veröffentlichte seine Ergebnisse vor kurzem in einem Papier.
Wenn Skripte blockiert werden, Websites können Skripts ausführen, überprüfen Sie die Reaktionszeit des Browsers, als es ist anders, wenn die Prüfungen gemacht werden, gefälschte Erweiterungen und gefälschte Ressourcen und vorhandenen extensions und fake-Ressourcen.
Firefox die situation ist eine Besondere, da es unterstützt die älteren add-on-system und die neue WebExtensions system. Die Forscher testeten die browser-legacy-add-on-system nur, sondern schlug vor, dass Firefox das neue system soll auch anfällig sein.
Ein anonymer Leser darauf hingewiesen, dass Firefox die WebExtensions system verwendet zufällige IDs, und dass dies bedeutete, dass die Methode zum auflisten Erweiterungen nicht funktionieren würde, in diesem Fall (im Gegensatz zu Chrome und anderen Chromium basierten Browsern).
Das ist zwar richtig, Mozillas Implementierung stellt eine neue Frage, die es ermöglicht, auf Websites, die Benutzer zu identifizieren, wenn WebExtensions aussetzen von Inhalten für Websites als die random-IDs sind permanent.
“… insbesondere, dass Sie [Mozilla] verändert die ursprüngliche Regelung (moz-extension://[extID]/[Pfad]) auf moz-extension://[random-UUID]/[Pfad]. Leider, während diese Veränderung macht in der Tat schwieriger auflisten Benutzer-Erweiterungen, es wird ein viel Gefährlicheres problem. In der Tat, die random-UUID token kann nun verwendet werden, um genau Fingerabdruck-Benutzer, wenn es zugespielt wird von einem extensions. Eine website kann diese abrufen der UUID und es verwenden, um den Nutzer eindeutig zu identifizieren, sobald es generiert wird, die Zufalls-ID ändert sich nie. Wir berichteten dieses design-bezogenen Fehler zu Firefox-Entwickler.”
Wenn eine Website es schafft, die ID, kann es zu verfolgen die Firefox-installation so, dass die ID ändert sich nie.
Lesen Sie auch: Der Tod von Classic Theme Restorer für Firefox
Dies ist nicht nur eine Theorie; Erdmann, einer der Betreuer der Firefox-Ghacks user.js Datei, erstellt einen proof-of-concept, dass die highlights ein Leck in Firefox die native Screenshot-tool.
Während dieses spezielle Beispiel erfordert, dass Benutzer klicken Sie auf den screenshot-button in der Firefox-Oberfläche stellen Sie die eindeutige ID zur Verfügung, um die Website, andere Erweiterungen setzen Inhalte ohne Benutzer-Interaktion.
Apples Safari verwendet eine zufällige UUID-system als gut, und die Forscher entdeckten, dass Sie könnte aufzählen über 40% aller extensions wie Ihre Umsetzung ist fehlerhaft.
Wenn die WebExtension stellt Inhalte auf Websites, weil Sie die Umsetzung Mängel, Seiten können Fingerabdruck-Benutzer basierend auf der eindeutigen ID bekommt ausgesetzt in den Prozess.
Schlusswort
Mozilla muss Nacharbeit der Umsetzung zum Schutz der Nutzer des Browsers aus. Auch wenn Sie nicht WebExtensions an alle, Sie können anfällig sein, um das als Firefox-Schiffe mit mehreren system-add-ons, setzen Sie die ID auf Websites. (Dank Hose und Earthling)