Los investigadores de seguridad de la Universidad de Illinois en Chicago han descubierto un nuevo método para rastrear a los usuarios de Internet que es persistente en las sesiones, incluso si los usuarios borran las cookies y el caché de navegación.
El trabajo de investigación Tales of F A V I C O N S y cachés: seguimiento persistente en los navegadores modernos destaca que los favicons se pueden usar junto con técnicas de huellas digitales para rastrear a los usuarios.
Los sitios utilizan favicons para mostrar un pequeño icono de sitio, p. Ej. en la barra de direcciones de los navegadores que lo admiten, pero también en otros lugares, p. ej. en los marcadores o pestañas. Los favicons son almacenados en caché por el navegador, pero se almacenan independientemente de otros elementos almacenados en caché, como archivos HTML o imágenes de sitios.
A los usuarios que utilicen la funcionalidad incorporada para borrar la caché se les quitarán estos archivos almacenados en caché del almacenamiento, pero no los favicons. En otras palabras: los favicons persisten durante las sesiones de navegación incluso si el usuario borra la memoria caché, y son accesibles incluso en sesiones de navegación privada o en modo incógnito.
Los navegadores detectan y almacenan en caché los favicons de los sitios automáticamente, y los sitios pueden usar una sola línea de código para especificar su favicon.
Un solo favicon no es suficiente para identificar a los usuarios basándose en él, pero los investigadores descubrieron una forma de colocar varios favicons en la caché de favicon. El sitio realiza una serie de redireccionamientos a través de varios subdominios para guardar varios favicons diferentes en el caché. Cada favicon guardado crea su propia entrada en la caché, y todos juntos se pueden usar para identificar a los usuarios siempre que se guarden suficientes favicons usando la metodología.
Los redireccionamientos ocurren sin ninguna interacción del usuario, ya que todo está controlado por el sitio en cuestión.
Los investigadores probaron el ataque contra los navegadores basados en Chromium Google Chrome, Brave, Safari y Microsoft Edge, y los encontraron a todos vulnerables al ataque. Intentaron el ataque en Firefox, pero encontraron un error que impedía que el navegador leyera las entradas de favicon almacenadas en caché. Una vez reparado, es probable que Firefox también sea vulnerable al ataque.
El ataque lleva un poco de tiempo según el artículo de investigación, pero debería ser posible mejorar el rendimiento con optimizaciones.
Descubrimos que la combinación de nuestra técnica de seguimiento basada en favicon con atributos inmutables de huellas dactilares del navegador que no cambian con el tiempo permite que un sitio web reconstruya un identificador de seguimiento de 32 bits en 2 segundos.
Los investigadores sugieren varias opciones de mitigación y contramedidas, todas las cuales requieren que los fabricantes de navegadores cambien la funcionalidad relacionada con el favicon.
Ahora tu: ¿Cuál es su opinión sobre este nuevo método de seguimiento?