Звуковые маячки - угроза анонимности

Продолжая тему безопасности и анонимности в интернете, представляем материал, который может неприятно удивить многих пользователей Tor. Даже если вы используете Tails или Whonix, и соблюдаете все необходимые меры предосторожности работы в интернете, ваша личность может быть раскрыта.

Источник: bleepingcomputer.com

Ультразвук, испускаемый рекламой или Javascript-кодом, спрятанным на странице, просматриваемой через Tor Browser, может деанонимизировать пользователей Tor, заставляя близлежащие телефоны и компьютеры отправлять идентификационные сигналы рекламным компаниям. Эти данные содержат важную информацию, доступ к которой легко могут получить государственные органы.

Этот новый вид деанонимизации был впервые выявлен в конце 2016 года командой из шести исследователей, которая представила свои наработки на конференции по компьютерной безопасности Black Hat 2016 в Европе, проходившей в ноябре прошлого года, и на 33-м Chaos Communication Congress в январе 2017 года.

Основой атаки является ультразвуковое межустройственное отслеживание - uXDT: новая технология, которую современные рекламные платформы начали массово применять примерно в 2014 году.

Рекламные компании помещают в свои объявления ультразвуковые записи. Когда эта реклама проигрывается по телевизору или звучит по радио, или же когда на компьютере или мобильном устройстве выполняется заложенный в ней код, устройства издают ультразвук, который улавливается микрофонами находящихся поблизости ноутбуков, персональных компьютеров и смартфонов.

Те, в свою очередь, интерпретируют этот ультразвуковой сигнал и расшифровывают содержащиеся в нем скрытые инструкции по пересылке информации о данном устройстве на сервер рекламной компании.

Рекламщики используют uXDT для того, чтобы связать разные устройства с одним и тем же человеком, таким образом создавая более полный рекламный профиль, чтобы в будущем можно было показывать этому человеку более подстроенную под него таргетированную рекламу.

Как работает ультразвуковая деанонимизация пользователей Tor

Ультразвук может применяться для надежной деанонимизации пользователей Tor

Василиос Маврудис, один из исследователей, обнаруживших эту проблему, в своем выступлении на 33-м Chaos Communication Congress подробно описал метод деанонимизации пользователей Tor, который позволяет вычислить их настоящий IP-адрес и некоторую другую информацию.

Успех этого способа требует, чтобы пользователь Tor зашел на страницу, содержащую испускающую ультразвук рекламу, или же скрытый Javascript-код, который заставляет браузер делать то же самое через HTML5 Audio API.

Если телефон пользователя Tor находится где-то поблизости, и на нем установлены некоторые приложения, его телефон пошлет одной или более рекламной компании сообщение, содержащее информацию о его устройстве, чтобы рекламная компания могла дополнить имеющийся у нее профиль пользователя, связав его компьютер с его телефоном.

По словам Маврудиса, чтобы это сработало, на мобильном устройстве должно быть установлено приложение, в которое встроен один из множества рекламных комплектов для разработки программного обеспечения.

На данном этапе, любой государственный орган с соответствующими полномочиями может просто запросить те рекламные компании, которые имеют эту функцию, предоставить информацию о настоящей личности пользователя.

Во время своих опытов, Маврудису удалось перехватить часть информации, которой эти ультразвуковые маячки обмениваются через телефон. Она содержала такие подробности, как настоящий IP-адрес пользователя, геолокационные координаты, номер телефона, ID устройства Android, серийный номер IMEI и MAC-адрес устройства.

Данный способ деанонимизации может применяться с разных сторон. По словам Маврудиса, способы деанонимизации человека по данной методике не ограничиваются лишь тем, чтобы обманом заставить пользователей Tor посещать сайты, содержащие такие ультразвуковые маячки. Исследователи утверждают, что злоумышленники могут использовать уязвимости в XSS (межсайтовом скриптинге), чтобы вставить свой JavaScript-код на веб-страницу, подверженную взлому через XSS.

Также злоумышленники могут поддерживать свой выходной узел Tor и выполнять атаку типа «человек посередине», вставляя в сообщения вредоносный код, который разбрасывает маячки uXDT по всему трафику, проходящему через этот узел Tor.

Еще более простой способ - спрятать ультразвуковую запись, неразличимую для человеческого уха, в видео или аудио файлах, которые просматривают или прослушивают определенные пользователи Tor.

Иллюстрация подобной атаки на ноутбук, на котором запущен Tor Browser

Как бороться с рекламной слежкой через uXDT

В настоящий момент, uXDT никак не регулируется. Пока FTC (Федеральная торговая комиссия США) занимается оценкой воздействия, оказываемого рекламой с использованием uXDT, обнаружившая эту угрозу анонимности команда исследователей предложила ряд полумер, призванных хоть немного сузить тот широкий простор, которым сейчас пользуется этот тип рекламы.

Для начала, команда создала расширение для браузера Chrome под названием SilverDog, которое фильтрует все аудиозаписи, проигрываемые через HTML5, и убирает из них ультразвук. К несчастью, данное расширение никак не влияет на звук, проигрываемый через Flash, и не может защитить пользователей Tor Browser, поскольку тот основан на Firefox.

Исследователи также предложили временное решение в виде нового пункта в настройках безопасности для Android, который информирует пользователя о том, что данное приложение может принимать ультразвуковые сигналы. Такая настройка позволила бы пользователям отбирать эту возможность у уже установленных приложений, и не давать его новым приложениям, которые они собираются поставить на свой смартфон.

В качестве долгосрочного решения, исследователи предложили ввести стандартизированный формат для ультразвуковых рекламных маячков, и разработанный специально для обнаружения и обработки этих маячков API (интерфейс прикладного программирования) на уровне операционной системы.

Проект Tor был уведомлен ими о данной уязвимости еще несколько месяцев назад.

Что такое uXDT и как оно работает

Впервые спрятанные в рекламных объявлениях ультразвуковые сигналы привлекли к себе внимание общественности в 2015 году, но одна из первых компаний, SilverPush, на которую зарегистрировано существенное число патентов, связанных с этой технологией, была основана еще в 2012. Смысл технологии uXDT изначально заключался в том, чтобы как можно более полно отслеживать, какую рекламу просматривает тот или иной пользователь на любом из своих устройств, чтобы впоследствии показывать ему объявления на ту же тему. К примеру, пользователь посмотрел по телевизору рекламу, содержавшую подобный ультразвуковой маячок, и при этом опрометчиво оставил в пределах слышимости свой смартфон. В следующий раз, во время поисков в интернете или в качестве рекламной врезки в каком-нибудь приложении, он внезапно увидит рекламу того же товара, который ему буквально только что показывали по телевизору. Подобная постоянная и точечная обработка, подстраивающаяся под каждого отдельного человека и отправляемая на все связанные с ним устройства, даже если они формально никак на него не зарегистрированы, по мнению создателей должна многократно увеличить эффективность рекламных объявлений.

В основе технологии лежат ультразвуковые маячки - неслышные для человеческого уха короткие звуковые сигналы, в которых закодирована определенная последовательность символов. Согласно данным Маврудиса и его коллег, эти маячки оперируют в диапазоне от 18000 до 20000 герц, и их сигналы разделены на короткие импульсы примерно по 75 герц, каждый из которых обозначает один символ. Всего передача одного сигнала занимает около четырех секунд. Кодировка, используемая для передачи этого сигнала, очень разнообразна, поскольку никаких общепринятых стандартов в данной области не существует, и каждая предлагающая такие услуги компания придумывает что-то свое. Строго говоря, согласно научному определению ультразвук начинается с 20 килогерц, т.е. заявленный Маврудисом и коллегами диапазон еле-еле задевает его нижнюю границу. Но в оригинале статьи говорится именно об ультразвуке, и официально данная технология называется именно ультразвуковым межустройственным отслеживанием, так что мы оставили данное применение этого термина на совести исследователей.

Данный способ передачи сигнала очень надежен на дистанции до семи метров и отлично работает с компьютерными динамиками и микрофонами большинства существующих производителей. Однако у него есть и свои недостатки: он абсолютно не способен преодолевать серьезные препятствия, например, стены или двери. Ультразвук также слышен большинству домашних животных, и необычное поведение питомцев вполне может насторожить пользователя.

Помимо простого проведения таргетированных рекламных кампаний в Интернете, а также выяснения предпочтений телезрителей, ультразвуковое отслеживание может использоваться и вполне обычными магазинами. Достаточно лишь заключить договор с поставщиком данной услуги и развесить у входа и по торговому залу ультразвуковые динамики. Это позволяет как магазину, так и рекламщикам отслеживать поведение покупателя в магазине, то, какие магазины он вообще посещает, и показывать пользователю рекламу близлежащих магазинов в режиме реального времени.

Несмотря на то, что компания SilverPush была уличена в предоставлении подобного рода услуг еще в 2015 году, что вызвало бурю общественного негодования, из-за которого она подверглась давлению Федеральной торговой палаты США, это сочли малозначительным инцидентом и никаких мер регулирования в данной области принято так и не было. Вместе с тем, кроме SilverPush ультразвуковым отслеживанием пользователей в рекламных целях занимается еще как минимум десяток компаний, и эта отрасль бурно растет и развивается.

Примечательнее всего в этой истории тот факт, что столь хитрый способ слежки за людьми в обход довольно серьезных мер безопасности был придуман не АНБ, ЦРУ, БНД, ФБР и прочими трехбуквенными государственными службами, а рекламщиками, которые готовы пойти на всё для составления более полного рекламного профиля. И ради чего это делается? Ради того, чтобы повысить шансы продать человеку какую-нибудь ненужную ему ерунду.

Так и живем: с одной стороны - постоянное наблюдение со стороны государства во имя обеспечения безопасности и борьбы с терроризмом, а с другой - тотальная слежка со стороны никому не подотчетных коммерческих структур, озабоченных лишь собственными прибылями. Любые разговоры про «неприкосновенность частной жизни» в современных развитых странах при таких условиях могут вызвать только смех.

Тем же, кому дорога собственная анонимность и приватность, нужно извлечь из этой ситуации урок: по возможности не использовать современные «высокоинтеллектуальные» устройства там, где без них можно обойтись, даже если они пока не были замечены в слежке за собственными владельцами.