Les chercheurs de FingerPrint ont déclaré qu’une vulnérabilité nommée Scheme flooding vise à accéder aux informations sur les activités de navigation des utilisateurs. Les navigateurs ciblés sont Google Chrome, Mozilla Firefox, Microsoft, Safari et même le navigateur Web du fournisseur de session anonyme Tor.
Les fournisseurs de sécurité ont déclaré que cette technique permet aux acteurs malveillants de voir les sites que les utilisateurs visitent lorsqu’ils changent d’application et lorsque le VPN ou le mode incognito est utilisé.
De telles activités peuvent mal se terminer. Par exemple, «un site peut être en mesure de détecter un gouvernement ou un responsable militaire sur Internet en fonction de leurs applications installées et d’associer un historique de navigation destiné à être anonyme».
La vulnérabilité permet de suivre les personnes lorsqu’elles changent de navigateur Web, ainsi toutes leurs réponses peuvent être enregistrées et même une nouvelle peut être créée dans la liste. Le suivi à travers les applications et voir le chemin complet des activités en ligne peut même être possible.
Au cours d’une recherche anti-fraude, il a été remarqué que la version de bureau de Tor, Safari, Chrome et Firefox étaient affectées par ce bogue. Cette faille utilise les informations sur les applications installées sur le système. Il attribue une identité permanente à l’utilisateur même lorsqu’il change de navigateur, utilise le VPN ou le mode incognito pendant la session.
L’exploitation de ce bogue se fait par étapes qui incluent la préparation des schémas d’URL, l’ajout d’un script du site Web particulier, la création d’un identifiant permanent et unique entre les navigateurs et l’utilisation d’algorithmes qui peuvent utiliser les données des applications installées et deviner l’occupation, l’intérêt et l’âge du utilisateur.
Le bogue profile l’utilisateur en fonction des applications installées sur le système. Par conséquent, le système d’inondation peut cibler les utilisateurs avec des publicités sans autorisation. Vos habitudes, votre profession et votre âge peuvent être utilisés par des acteurs malveillants et même des criminels.
Les chercheurs déclarent qu’ils étaient conscients de la faille et prévoient de corriger le bogue. Quelques jours avant la révélation de la vulnérabilité, Google a ajouté des mesures de prévention pour les utilisateurs afin d’éviter le suivi des utilisateurs en isolant le contenu intégré de l’interaction avec le site Web.
Konstantin Darutkin, le chercheur qui a analysé l’inondation du Scheme a déclaré à propos de Chrome:
Seul le navigateur Chrome disposait d’une forme de protection contre les inondations, ce qui représentait un défi à contourner. Il empêche de lancer une application à moins que cela ne soit demandé par un geste de l’utilisateur, comme un clic de souris.
Cependant, il est possible d’utiliser des extensions Chrome et de contourner le schéma de protection contre les inondations, car une faille dans la faille entre en conflit avec les politiques d’extension particulières.
L’utilisation de ce bogue varie généralement d’un navigateur à l’autre. Cependant, le résultat est le même. L’exploit d’identification unique est couramment pratiqué. Vous pouvez utiliser un ordinateur différent et espérer que la faille sera bientôt corrigée.
