Το PayPal αναπτύσσει καινοτόμα μέθοδο για τον εντοπισμό κλεμμένων cookies

Η

PayPal

έχει καταθέσει αίτηση για δίπλωμα ευρεσιτεχνίας για

μι

α νέα μέθοδο που μπορεί να εντοπίσει πότε κλέβεται το “super-cookie”, η οποία θα μπορούσε να βελτιώσει τον μηχανισμό ελέγχου ταυτότητας που βασίζεται σε cookie και να περιορίσει τις επιθέσεις κατάληψης λογαριασμού.

Ο κίνδυνος που θέλει να αντιμετωπίσει το PayPal είναι αυτός των χάκερ που κλέβουν

cookies

που περιέχουν

διακριτικά ελέγχου ταυτότητας

για να συνδεθείτε σε λογαριασμούς θυμάτων χωρίς την ανάγκη έγκυρων διαπιστευτηρίων και παράκαμψης ελέγχου ταυτότητας δύο παραγόντων (2FA).

«Η κλοπή των cookies είναι μια εξελιγμένη μορφή κυβερνοεπίθεσης, όπου ένας εισβολέας κλέβει ή αντιγράφει cookies από τον υπολογιστή του θύματος στο πρόγραμμα περιήγησης ιστού του εισβολέα», λέει η PayPal στο

αίτηση διπλώματος ευρεσιτεχνίας

.

“Με κλεμμένα cookie που συχνά περιέχουν κατακερματισμένους κωδικούς πρόσβασης, ο εισβολέας μπορεί να χρησιμοποιήσει ένα πρόγραμμα περιήγησης στον υπολογιστή του εισβολέα για να μιμηθεί τον χρήστη (ή την πιστοποιημένη συσκευή του) και να αποκτήσει πρόσβαση σε ασφαλείς πληροφορίες που σχετίζονται με τον λογαριασμό του χρήστη χωρίς να χρειάζεται να συνδεθεί με μη αυτόματο τρόπο ή να παρέχει διαπιστευτήρια ελέγχου ταυτότητας », εξηγείται περαιτέρω.

Λεπτομέρειες συστήματος

Σε αντίθεση με τα τυπικά cookie που αποθηκεύονται τοπικά, τα υπερ-cookies (γνωστά και ως “cookies Flash”) είναι τοπικά κοινόχρηστα

αντικείμενα

(LSO) που εισάγονται σε επίπεδο δικτύου ως μοναδικές κεφαλίδες αναγνωριστικού (UIDH) από τον πάροχο υπηρεσιών διαδικτύου (ISP) του χρήστη.

Αυτά τα super-cookie χρησιμοποιούνται κυρίως για παρακολούθηση μεταξύ ιστότοπων, παρακολούθηση χρηστών σε διαφορετικά προγράμματα περιήγησης στην ίδια συσκευή, συλλογή δεδομένων σχετικά με τη δραστηριότητα περιήγησης και χρησιμεύουν ως μόνιμα “δαχτυλικά αποτυπώματα συσκευής”.

Τα super-cookies είναι πιο δύσκολο να εντοπιστούν και να διαγραφούν επειδή δεν αποθηκεύονται στην τυπική τοποθεσία αποθήκευσης cookie του προγράμματος περιήγησης.

Οι μηχανικοί του PayPal εντόπισαν μια μέθοδο για τον υπολογισμό της βαθμολογίας κινδύνου απάτης στον μηχανισμό ελέγχου ταυτότητας που βασίζεται σε cookie για τον εντοπισμό απατηλών προσπαθειών σύνδεσης στην πλατφόρμα ηλεκτρονικών πληρωμών.

Όταν ένα σύστημα λαμβάνει ένα αίτημα για έλεγχο ταυτότητας από τη συσκευή ενός χρήστη, προσδιορίζει τις διάφορες τοποθεσίες αποθήκευσης cookie στη συσκευή και τις ταξινομεί “με σειρά αύξησης του κινδύνου απάτης”.

“Μια τιμή cookie για κάθε θέση αποθήκευσης ανακτάται από τη συσκευή. Για κάθε θέση αποθήκευσης μετά τα πρώτα: υπολογίζεται μια αναμενόμενη τιμή cookie με βάση την τιμή cookie μιας προηγούμενης τοποθεσίας αποθήκευσης”, αναφέρεται στην περίληψη της αίτησης για δίπλωμα ευρεσιτεχνίας.

Στη συνέχεια, το σύστημα του PayPal αξιολογεί μια βαθμολογία κινδύνου συγκρίνοντας τις αναμενόμενες

τιμές

cookie με τις τιμές που έχουν εκχωρηθεί για τις τοποθεσίες αποθήκευσης της συσκευής.

“Το αίτημα ελέγχου ταυτότητας υποβάλλεται σε επεξεργασία με βάση το εάν η βαθμολογία που έχει εκχωρηθεί για τουλάχιστον μία από τις τοποθεσίες αποθήκευσης υπερβαίνει μια προκαθορισμένη ανοχή κινδύνου για τον εντοπισμό απάτης.”

Με βάση την αξιολόγηση κινδύνου, το σύστημα διαχειρίζεται τα αιτήματα ελέγχου ταυτότητας ανάλογα, αποδεχόμενο, απορρίπτοντας ή ενεργοποιώντας πρόσθετα μέτρα ασφαλείας για την έγκριση της προσπάθειας σύνδεσης.

Για να διασφαλιστεί η ασφάλεια έναντι παραβίασης, οι τιμές των cookie που ανακτώνται κρυπτογραφούνται χρησιμοποιώντας έναν κρυπτογραφικό αλγόριθμο δημόσιου κλειδιού.

Το δίπλωμα ευρεσιτεχνίας του PayPal περιγράφει μια μέθοδο που στοχεύει στην άμυνα έναντι των επιθέσεων στον κυβερνοχώρο διασφαλίζοντας ότι τα cookies χρησιμοποιούνται νόμιμα κατά τη διαδικασία ελέγχου ταυτότητας.

Ο γίγαντας ηλεκτρονικών πληρωμών κατέθεσε το δίπλωμα ευρεσιτεχνίας με τίτλο “Super-Cookie Identification for Stolen Cookie Detection” τον Ιούλιο του 2022 και δημοσιεύτηκε από το Γραφείο Ευρεσιτεχνιών και Εμπορικών Σημάτων των Ηνωμένων Πολιτειών νωρίτερα αυτόν τον μήνα.

Όπως συμβαίνει με όλα τα διπλώματα ευρεσιτεχνίας, δεν υπάρχει καμία εγγύηση ότι η τεχνολογία που περιγράφεται στο έγγραφο θα φτάσει στις πύλες των καταναλωτών, με αυτή ή την άλλη μορφή, αλλά δείχνει ότι τα κλεμμένα cookie ιστού για μη εξουσιοδοτημένες συνδέσεις είναι αρκετό πρόβλημα για να αξίζουν νέους μηχανισμούς προστασίας.