Purtroppo sono molti i soggetti che vogliono identificare e tracciare gli utenti sul web: dagli inserzionisti agli operatori di marketing, dai criminali informatici ai produttori di spyware sostenuti dai governi.
Esiste una quantità impressionante di infrastrutture in grado di perseguire tale obiettivo e recentemente il New Jersey Institute of Technology (Njit) ha segnalato una tecnica innovativa, che potrebbe essere utilizzata per risalire all’identità dei visitatori dei siti web e (potenzialmente) ottenere informazioni legate alla vita digitale. Secondo il Njit un aggressore che si avvale della nuova tecnica è in grado di determinare se l’utente spiato gestisce, per esempio, un indirizzo e-mail o un account sui social media. In questo modo è possibile associare il soggetto a dati anche personali.
Quando visitiamo un sito web, la pagina che visualizziamo è in grado di registrare il nostro indirizzo ip, ma non è detto che fornisca al proprietario del sito informazioni sufficienti per identificarci. La tecnica individuata dai ricercatori del Njit, tuttavia, analizza caratteristiche legate all’attività del potenziale bersaglio all’interno di un browser per determinare se è collegato a un account di servizi (come YouTube, Dropbox, Twitter, Facebook, TikTok). Tale violazione sarebbe eseguibile su tutti i principali browser.
Reza Curtmola, uno degli autori dello studio e professore di informatica presso il Njit, spiega: «Se siete un utente medio di internet, è possibile che non pensiate troppo alla vostra privacy quando visitate un sito web Ma ci sono alcune categorie di utenti di internet che potrebbero subire ripercussioni più serie, come le persone che organizzano e partecipano a proteste politiche, i giornalisti e le persone che si collegano in rete con altri membri della minoranza di cui fanno parte. L’aspetto che rende pericolosi questi tipi di attacchi è che sono molto furtivi. È sufficiente visitare il sito web e non ci si accorge di essere stati esposti».
Spiegare il funzionamento di questo tipo attacco è difficile, ma si puo’ iniziare a comprenderne le basi una volta fissati gli elementi fondamentali. Chi esegue l’attacco ha bisogno di: un sito web che controlla, un elenco di account legati a persone che vuole identificare come visitatori e dei contenuti pubblicati sulle piattaforme dagli account nella sua lista di bersagli (tali contenuti consentono o bloccano la visualizzazione, ma l’attacco funziona in entrambi i casi). In seguito, l’aggressore embedda il contenuto nel sito web e aspetta di vedere chi clicca. Se una persona che fa parte della lista degli obiettivi visita il sito, l’aggressore riesce a risalire alla sua identità analizzando quali utenti possono (o non possono) visualizzare il contenuto incorporato.
L’attacco, quindi, sfrutta una serie di fattori a cui la maggior parte delle persone non presta attenzione. Molti servizi, come YouTube o Dropbox, permettono agli utenti di ospitare contenuti multimediali e incorporarli in un altro sito; i bersagli di questi attacchi, di solito, possiedono un account su presso questi servizi, a cui spesso rimangono connessi tramite il cellulare o il computer. Le funzioni “bloccare” o “consentire” la visualizzazione dei contenuti rappresentano il nodo della questione. Nella versione dell’attacco in cui i bersagli visualizzano i contenuti, per esempio, i criminali informatici possono condividere con un indirizzo Gmail di potenziale bersaglio una foto su Google Drive, embeddando poi la foto nella pagina web dannosa e attirandovi l’obiettivo. Quando il browser dei visitatori tentano di caricare la foto tramite Google Drive, gli aggressori possono dedurre se l’utente è autorizzato ad accedere al contenuto, e quindi se ha il controllo dell’indirizzo e-mail in questione.
Grazie alle misure per la tutela della privacy di cui si servono le principali piattaforme, un aggressore non è in grado di verificare direttamente se il visitatore del sito è stato in grado di caricare il contenuto. Tuttavia i ricercatori dell’Njit hanno scoperto di poter analizzare le informazioni accessibili sul browser dell’obiettivo e il comportamento del suo processore durante la richiesta, così da capire se questa fosse stata consentita o negata.
Per quanto sembrai complessa, i ricercatori dell’Njit avvertono che la tecnica è semplice da mettere in pratica una volta svolto il lavoro di preparazione e per un utente è virtualmente impossibile rilevare la violazione.
I ricercatori hanno realizzato un’estensione del browser in grado di contrastare questi attacchi, disponibile per Chrome e Firefox, ma con un possibile impatto negativo sulle prestazioni.
Attraverso un passa-parola che ha coinvolto diversi servizi web, browser e organismi che si occupano degli standard del web, i ricercatori hanno dato inizio ad una discussione più ampia su come affrontare il problema di sicurezza. Secondo Curtmola una collaborazione all’interno del World Wide Web Consortium o di altri forum potrebbe trovare una soluzione efficace.