As atividades online podem ser monitoradas em detalhes simplesmente analisando as flutuações de latência na conexão com a internet, descobriram pesquisadores da Universidade de Tecnologia de Graz. O ataque funciona sem código malicioso ou acesso ao tráfego de dados.
Usuários da internet deixam muitos rastros em sites e serviços online. Medidas como firewalls, conexões VPN e modos de privacidade do navegador estão em vigor para garantir um certo nível de proteção de dados. No entanto, uma falha de segurança recém-descoberta permite contornar todas essas medidas de proteção: cientistas da computação do Instituto de Processamento de Informações Aplicadas e Tecnologia de Comunicação (IAIK) da Universidade de Tecnologia de Graz (TU Graz) conseguiram rastrear as atividades online dos usuários em detalhes simplesmente monitorando as flutuações na velocidade de sua conexão com a internet. Nenhum código malicioso é necessário para explorar essa vulnerabilidade, conhecida como „SnailLoad“, e o tráfego de dados não precisa ser interceptado. Todos os tipos de dispositivos finais e conexões de internet são afetados.
Atacantes rastreiam flutuações de latência na conexão com a internet via transferência de arquivos
A vítima só precisa ter um único contato direto com o atacante – por exemplo, ao visitar um site ou assistir a um vídeo promocional – para baixar um arquivo essencialmente inofensivo sem ser notada. Como este arquivo não contém nenhum código malicioso, ele não é reconhecido pelo software de segurança. A transferência deste arquivo é extremamente lenta, fornecendo ao atacante informações contínuas sobre a variação de latência da conexão com a internet da vítima. Em etapas posteriores, essas informações são usadas para reconstruir a atividade online da vítima.
„SnailLoad“ combina dados de latência com a impressão digital do conteúdo online
„Quando a vítima acessa um site, assiste a um vídeo online ou fala com alguém por vídeo, a latência da conexão com a internet flutua em um padrão específico que depende do conteúdo específico que está sendo usado“, diz Stefan Gast, do IAIK. Isso ocorre porque todo conteúdo online tem uma „impressão digital“ única: para transmissão eficiente, o conteúdo online é dividido em pequenos pacotes de dados que são enviados um após o outro do servidor host para o usuário. O padrão do número e tamanho desses pacotes de dados é único para cada peça de conteúdo online – como uma impressão digital humana.
Os pesquisadores coletaram as impressões digitais de um número limitado de vídeos do YouTube e sites populares com antecedência para fins de teste. Quando os sujeitos de teste usaram esses vídeos e sites, os pesquisadores conseguiram reconhecer isso através das flutuações de latência correspondentes. „No entanto, o ataque também funcionaria ao contrário“, diz Daniel Gruss, do IAIK: „Os atacantes primeiro medem o padrão de flutuações de latência quando uma vítima está online e, em seguida, procuram conteúdo online com a impressão digital correspondente.“
Conexões de internet lentas facilitam o trabalho dos atacantes.
Ao espionar os participantes do teste que assistiam a vídeos, os pesquisadores alcançaram uma taxa de sucesso de até 98%. „Quanto maior o volume de dados dos vídeos e mais lenta a conexão com a internet das vítimas, melhor a taxa de sucesso“, diz Daniel Gruss. Consequentemente, a taxa de sucesso ao espionar sites básicos caiu para cerca de 63%. „No entanto, se os atacantes alimentarem seus modelos de aprendizado de máquina com mais dados do que fizemos em nosso teste, esses valores certamente aumentarão“, diz Daniel Gruss.
Brecha virtualmente impossível de fechar
„Fechar essa brecha de segurança é difícil. A única opção seria os provedores desacelerarem artificialmente as conexões de internet de seus clientes de forma aleatória“, diz Daniel Gruss. No entanto, isso levaria a atrasos perceptíveis em aplicativos críticos em termos de tempo, como videoconferências, transmissões ao vivo ou jogos online.
A equipe liderada por Stefan Gast e Daniel Gruss criou um site descrevendo o SnailLoad em detalhes: https://www.snailload.com/
Eles apresentarão o artigo científico sobre a brecha nas conferências Black Hat USA 2024 e USENIX Security Symposium.
