- Una técnica de rastreo que usa la caché de favicon para asignar un identificador único a los visitantes de un sitio web, y la información de identificación se mantiene incluso si el usuario borra la caché o las cookies
- Este método funciona incluso cuando se usa modo incógnito, VPN y bloqueadores de anuncios, y persiste después de reiniciar el navegador o el sistema
- Genera un número de identificación único mediante la combinación de patrones de cuándo el navegador solicita el favicon o lo carga desde la caché
- Chrome, Firefox, Safari, Edge y otros navegadores principales, además de navegadores móviles, están afectados por esta vulnerabilidad
- Desde la perspectiva de seguridad del navegador y privacidad, se destaca la importancia de administrar la caché de favicons
Resumen de Supercookie
- Supercookie es una técnica para identificar usuarios usando la caché de favicons (F-Cache)
- El favicon es el pequeño ícono de un sitio web que aparece en la barra de direcciones del navegador o en la lista de marcadores
- Los navegadores lo guardan en una base de datos local separada (F-Cache) para mostrarlo rápidamente
- La F-Cache incluye información de URL visitada, ID del favicon y TTL (tiempo de vida)
- Si se explota esta estructura, es posible crear un patrón único del navegador combinando si se solicita o no el favicon en rutas URL específicas
Modelo de amenaza
- El servidor web puede determinar si ya se visitó antes según si el navegador vuelve a solicitar el favicon o no
- Si el favicon no está en caché, se genera una solicitud GET al servidor; si sí está, la solicitud se omite
- Al combinar el estado de las solicitudes de favicon en varias rutas, se puede generar un número de identificación único por navegador
- Este identificador no se ve afectado por medidas tradicionales contra el rastreo como borrar cookies, limpiar caché, usar VPN o manipular encabezados
Comparación con las cookies tradicionales
- Según la tabla, Supercookie tiene una precisión de identificación del 100% y además permite:
- Detección del modo incógnito, persistencia incluso después de borrar caché y cookies, identificación entre múltiples ventanas y evasión de software antirrastreo
- En cambio, las cookies normales no ofrecen estas capacidades
Navegadores afectados
- Chrome, Safari, Edge y Firefox, entre otros navegadores principales, son vulnerables
- Chrome: afectado en Windows, macOS, Linux y Android
- Safari: afectado en macOS e iOS
- Edge: afectado en Windows, macOS y Android
- Firefox: en algunas plataformas genera una huella distinta en modo incógnito
- Brave: en las versiones más recientes está bloqueado en la mayoría de los casos
- Las versiones anteriores de Brave (1.14.0) y Firefox (<84.0) son vulnerables a este ataque
Escalabilidad y rendimiento
- Ajustando la cantidad de rutas de redirección (N), es posible distinguir hasta 2^N usuarios únicos
- A medida que aumenta la cantidad de usuarios distinguibles, también aumenta el tiempo de lectura y escritura
- La longitud de N puede ajustarse dinámicamente para minimizar la cantidad de redirecciones
Métodos de defensa
- La forma más segura es desactivar por completo la caché de favicons o eliminarla manualmente
- Chrome(macOS): eliminar
~/Library/Application Support/Google/Chrome/Default/Favicons y Favicons-journal
- Chrome(Windows): eliminar
C:\Users\username\AppData\Local\Google\Chrome\User Data\Default
- Safari(macOS): eliminar el contenido de
~/Library/Safari/Favicon Cache
- Edge(macOS): eliminar
~/Library/Application Support/Microsoft Edge/Default/Favicon y Favicons-journal
Objetivo y contexto del proyecto
- Este repositorio fue creado con fines educativos y de demostración, y su objetivo es aumentar la conciencia de seguridad sobre la posibilidad de rastreo mediante favicons
- La inspiración provino de un artículo de investigación de la University of Illinois Chicago y de un artículo de heise.de
- El proyecto incluye un portal de demostración implementado en 2 días como parte de una investigación personal
Otros
- El desarrollador es un estudiante alemán de 20 años con interés en diseño de software y seguridad informática
- El proyecto está publicado en GitHub y puede ejecutarse en un entorno Docker o Node.js
- Medios importantes como Vice, Gizmodo, TechRadar y Schneier.com han cubierto el tema
1 comentarios
Opiniones de Hacker News
Por ejemplo, en Reddit aparece el favicon de Ars Technica
Sigue igual incluso después de actualizar iOS, y también persiste en el perfil y en modo incógnito
Para forzar una actualización hay que adelantar el reloj del sistema varios años
Lleva años así en mi MacBook, así que ya me rendí
En Safari de iOS entra en un bucle infinito donde el contador va del 1 al 18 y luego vuelve a redirigir
Es un comportamiento no deseado, así que estoy pensando en borrar los favoritos o guardarlos como HTML
Uso sobre todo ventanas privadas, y me di cuenta de esto gracias a Little Snitch
con qemu + cage + firefox, y la imagen se elimina al salir
Es lento, pero me da tranquilidad por seguridad. También se podría contenerizar, pero me inquieta que el navegador tenga acceso al kernel del host
Intentar controlarlo con políticas eBPF también es complicado, así que simplemente lo aíslo con una VM
Por ejemplo, detectan rasgos como el renderizador SwiftShader o la falta de fuentes
Aunque uno intente ocultarlo, cosas como la manipulación de ruido en canvas se detectan rápido. Si tienes alguna solución, me gustaría que la compartieras
Sentí que desperdicié como 20 segundos