FOSSBYTES TECH SIMPLIFIED LOGO
sayaPada artikel ini, saya akan bercerita tentang Sniffly. Ini adalah serangan yang menyalahgunakan HTTP Strict Transport Security and Content Security Policy untuk memungkinkan situs web mengendus riwayat browser pengguna sebelumnya.

Saat ini, melacak pengguna web adalah sesuatu yang sangat sering dilakukan oleh pemilik situs web menggunakan injeksi malware, cookie, penerapan paywall, dan skrip iklan berbahaya. Nah, ada teknik baru menggunakan sidik jari browser di kota ini. Dalam demonstrasi di ToorCon 2015, Yan Zhu, seorang insinyur privasi, menunjukkan bagaimana melakukan ini dan cara kerja serangan Sniffly.

Untuk memamerkan demo tersebut, Yan telah membuat halaman web https://zyan.scripts.mit.edu/sniffly/. Anda dapat mengunjunginya di Firefox/Chrome/Opera dengan HTTPS di mana-mana dan melihat bagaimana Sniffly menggali riwayat penelusuran Anda di kolom kiri.

Inilah cara kerja Sniffly:

Saat Anda mengunjungi halaman Sniffly, browser web Anda mencoba memuat gambar dari berbagai domain HSTS melalui HTTP. Secara diam-diam menyetel kebijakan CSP yang membatasi gambar ke HTTP, sehingga sumber gambar dialihkan ke HTTPS.

Baca juga: Apa itu Sidik Jari Lalu Lintas dan Bagaimana Digunakan untuk Menyerang Jaringan Tor

Saat gambar diblokir oleh CSP, waktu yang dibutuhkan gambar untuk dialihkan dari HTTP ke HTTPS dihitung. Jika waktunya dalam urutan milidetik, itu berarti tidak ada permintaan jaringan yang dibuat dan itu adalah pengalihan HSTS. Ini menyiratkan bahwa pengguna sebelumnya telah mengunjungi domain ini.

Namun, jika waktu yang dibutuhkan untuk mengalihkan permintaan adalah dalam urutan 100 milidetik, itu berarti pengguna belum mengunjungi domain sebelumnya karena permintaan jaringan mungkin terjadi.

Serangan Sniffly diperbolehkan jika Anda mengunjungi situs yang mendukung HSTS, ia dapat mengendus riwayat penelusuran Anda dengan mengukur waktu pengalihan.

Untuk mengetahui lebih banyak tentang serangan Sniffly, kunjungi Yan’s GitHub halaman.

Dapatkan Paket Peretas Keamanan White Hat

This post is also available in: Spanish German Vietnamese Italian Indonesia

LEAVE A REPLY

Please enter your comment!
Please enter your name here