GuardianPWA: Enhancing Security Throughout the Progressive Web App Installation Lifecycle
Dieses Paper stellt das GUARDIANPWA-Framework vor, welches die Installationsmechanismen von Progressive Web Apps im Hinblick auf die CIA-Sicherheitsprinzipien analysiert, um weit verbreitete Verstöße gegen die Compliance der Anbieter zu identifizieren, diese den Browserherstellern zu melden und Entwicklern Werkzeuge zur Verbesserung der Sicherheit und Privatsphäre von PWAs zur Verfügung zu stellen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, belebte Stadt vor. Jahrelang konnten Sie diese Stadt nur durch ein Fenster besuchen (Ihren Webbrowser). Sie konnten herausschauen, aber Sie konnten dort nicht wirklich leben. Dann kamen Progressive Web Apps (PWAs). Denken Sie bei PWAs an „digitale Apartments“, die Sie direkt durch das Fenster der Stadt mieten können. Sie sehen aus und fühlen sich an wie native Apps (wie jene, die Sie aus einem App Store herunterladen), aber sie leben im Web.
Das Paper „GuardianPWA“ ist wie ein Team von Sicherheitsinspektoren, die beschlossen haben, die Sicherheit des gesamten Prozesses zu prüfen, ein solches digitales Apartment zu mieten – vom Moment an, in dem Sie das „Zu vermieten“-Schild sehen, bis zum Tag, an dem Sie ausziehen. Sie fanden heraus, dass das Konzept zwar großartig ist, der Installationsprozess jedoch voller Löcher ist, durch die böswillige Akteure Sie täuschen oder Ihre Privatsphäre stehlen könnten.
Hier ist eine Aufschlüsselung ihrer Erkenntnisse unter Verwendung einfacher Analogien:
1. Das Kernproblem: Das „CIA“ der Sicherheit
Die Forscher verwendeten eine Standard-Sicherheitscheckliste namens CIA:
- Confidentiality (Vertraulichkeit): Ihre Geheimnisse (wie Passwörter) geheim halten.
- Integrity (Integrität): Sicherstellen, dass das, was Sie sehen, auch wirklich das ist, was es vorgibt zu sein (keine gefälschten Schilder).
- Availability (Verfügbarkeit): Sicherstellen, dass der Dienst da ist, wenn Sie ihn brauchen.
Sie fanden 203 verschiedene Wege, auf denen Browser (wie Chrome, Firefox, Samsung Internet) versagen, diese Regeln während des PWA-Installationsprozesses einzuhalten.
2. Die vier Phasen des „Einzugsprozesses“
Das Paper unterteilt den PWA-Lebenszyklus in vier Phasen und findet Fehler in jeder einzelnen:
A. Pre-Installation (Die „Besichtigung“)
Noch bevor Sie den Mietvertrag unterschreiben, geht bereits etwas schief.
- Die „Privater Modus“-Illusion: Stellen Sie sich vor, Sie besuchen ein Haus im „Privaten Modus“ und denken, der Besitzer wird sich nicht an Sie erinnern. In einigen Browsern (wie Firefox auf Android) erinnert sich der Besitzer jedoch an Sie. Er bewahrt Ihre „Cookies“ (digitalen Fußabdrücke) und Ihren Verlauf selbst dann auf, wenn Sie die private Sitzung verlassen haben. Es ist, als dächte man, man sei durch eine Geistertür geschritten, aber der Besitzer hat tatsächlich ein Foto von einem gemacht.
- Das „Namensspiel“ (Phishing): Böswillige Akteure können ein gefälschtes Apartment mit exakt demselben Namen und Logo wie ein echtes erstellen (z. B. eine gefälschte „Starbucks“-App). Da viele Entwickler Vorlagen kopieren und einfügen, teilen sich tausende Apps denselben generischen Namen. Wenn Sie nicht vorsichtig sind, installieren Sie vielleicht das gefälschte, in dem Glauben, es sei das echte.
- Die „Versteckte Weiterleitung“: Die Adresse auf dem Mietvertrag (
start_url) mag sicher aussehen, könnte aber eine versteckte Falltür besitzen, die Sie sofort auf eine andere, bösartige Website umleitet.
B. Installation (Das „Unterschreiben des Mietvertrags“)
Dies ist der Moment, in dem Sie auf „Installieren“ klicken.
- Die „Pop-up-Falle“: Stellen Sie sich vor, ein Sicherheitswächter (ein Alert-Fenster) blockiert Ihre Sicht auf den Mietvertrag. Wenn Sie zu schnell klicken, um den Wächter loszuwerden, unterschreiben Sie vielleicht versehentlich den Vertrag, ohne es zu merken. Auf Desktop-Computern können diese Pop-ups die Installationsschaltfläche überlagern und Sie dazu verleiten, eine App zu installieren, die Sie gar nicht wollten.
- Die „Unsichtbare Adresse“: Wenn Sie eine App in einigen Android-Browsern (wie Samsung Internet) installieren, zeigt der Browser in der Vollbildansicht nicht die Adresse (URL) der Website an. Es ist, als würden Sie einen Mietvertrag in einem dunklen Raum unterschreiben, in dem Sie den Namen des Vermieters nicht sehen können. Wenn die App Sie dann auf eine Drittanbieter-Seite führt, haben Sie keine Ahnung, dass Sie das ursprüngliche Gebäude verlassen haben.
C. Post-Installation (Leben im Apartment)
Sobald die App installiert ist, läuft sie im Vollbildmodus und blendet die Adresszeile des Browsers aus.
- Das „Chamäleon“-Update: Manchmal ändert die App ihren „Namen“ oder ihr „Aussehen“, ohne Sie zu fragen. Wenn eine bösartige App ihren Namen ändert, um wie eine vertrauenswürdige Bank auszusehen, bemerken Sie es vielleicht nicht, weil das Update lautlos im Hintergrund abläuft.
- Das „Hängende“ Update: Manchmal bleibt die App im „Nur Cache“-Modus hängen. Es ist wie ein Fernseher, der nur alte Wiederholungen spielt, weil er sich weigert, die neue Folge herunterzuladen. Wenn die alte Folge einen Sicherheitsfehler hat, sind Sie darauf festgesetzt, bis Sie den Cache manuell leeren.
D. Uninstallation (Der Auszug)
Wenn Sie sich entscheiden zu gehen, ist der Prozess unordentlich.
- Der „Geistermieter“: Wenn Sie eine PWA löschen, werden oft nicht alle Daten gelöscht. Es ist, als würde man die Möbel wegwerfen, aber die Schlüssel unter der Matte liegen lassen. Die App kann Ihnen immer noch Benachrichtigungen senden oder Ihre Login-Daten behalten, was es einem böswilligen Akteur ermöglicht, später wieder einzuschleichen.
- Die „Profil-Verwirrung“: Wenn Sie mehrere Benutzerprofile auf Ihrem Computer haben (z. B. ein „Arbeitsprofil“ und ein „Privatprofil“), kann das Löschen der App in einem Profil versehentlich das andere beeinflussen oder Daten in dem Profil hinterlassen, aus dem Sie nicht ausgezogen sind.
3. Die Lösung: GuardianPWA
Die Forscher entwickelten ein Tool namens GuardianPWA, um diese Probleme zu lösen. Betrachten Sie dies als einen „Smarten Inspektor“, der in zwei Versionen kommt:
- Für Entwickler (Der Architekt): Bevor sie das Apartment bauen, prüft dieses Tool ihre Baupläne (den Code). Es sagt: „Hey, Sie haben denselben Namen wie 6.000 andere Gebäude verwendet! Ändern Sie das, damit die Leute nicht verwirrt werden“, oder „Ihre Adresse führt in eine andere Stadt! Reparieren Sie das!“
- Für Nutzer (Der Mieter): Dieses Tool hilft Ihnen, das Apartment zu prüfen, bevor Sie einziehen. Es sucht nach überlappenden Pop-ups, prüft, ob die Adresse sicher ist, und sagt Ihnen genau, wie Sie sich vollständig entfernen können, falls Sie sich jemals entscheiden sollten, auszuziehen.
4. Die Ergebnisse
Die Forscher haben ihre Ergebnisse an die Browser-Unternehmen (die Vermieter) gemeldet.
- Firefox gab vier Probleme zu, hat eines behoben und plant, zwei weitere zu beheben.
- Chrome hat das Problem mit der „Pop-up-Falle“ anerkannt.
- Samsung Internet wurde über das Problem der „unsichtbaren Adresse“ informiert, hat es aber bisher nicht behoben.
Das Fazit
Das Paper kommt zu dem Schluss, dass wir trotz der Tatsache, dass PWAs eine fantastische Technologie sind, den Browser-Anbietern (den Vermietern) nicht blind vertrauen können, um uns während des Installationsprozesses zu schützen. Die „Vermieter“ (Browser) sind oft inkonsistent, und auch die „Architekten“ (Entwickler) machen oft Fehler.
Die Autoren argumentieren, dass Nutzer Tools wie GuardianPWA benötigen, um die Sicherheit ihrer digitalen Apartments doppelt zu prüfen, bis Browser die Regeln von Vertraulichkeit, Integrität und Verfügbarkeit strikt befolgen. Sie reparieren nicht nur Code; sie versuchen, das digitale Äquivalent eines „Lockvogel-Betrugs“ zu verhindern.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.