SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der Websites wie beliebte Geschäfte sind. In dieser Stadt gibt es eine besondere Art von Geschäft, die man eine Progressive Web App (PWA) nennt. Denken Sie an eine PWA als an ein magisches Schaufenster, das genau wie eine dedizierte App aussieht und sich wie eine anfühlt, die man in einem Store herunterlädt, aber es lebt vollständig in Ihrem Webbrowser. Sie müssen sie nicht installieren; Sie besuchen einfach die Website, und sie agiert wie eine native App, die selbst dann funktioniert, wenn Sie offline sind oder Benachrichtigungen erhalten. Um diese Web-Shops noch mehr wie echte Gebäude wirken zu lassen, verwenden Entwickler ein Werkzeug namens Trusted Web Activity (TWA). Dies ist wie ein spezieller „Glastunnel“, der es Ihnen ermöglicht, direkt von der Startseite Ihres Telefons in die PWA zu spazieren, ohne die Adressleiste Ihres Browsers zu sehen, was das Erlebnis nahtlos und sicher macht.

Doch genau wie in einer echten Stadt sind nicht alle Bürger gut. Unruhestifter wollen gefälschte Versionen dieser beliebten Geschäfte bauen. Sie können die Adresse einer echten PWA nehmen, sie in eine gefälschte App einpacken und sie an Nutzer verkaufen. Einmal im Inneren angekommen, können die Bösewichte ihre eigenen Anzeigen einschleusen, um Geld zu verdienen, Ihre persönlichen Daten zu stehlen oder Sie sogar dazu zu verleiten, gefährliche Orte zu besuchen. Dies ist das Problem der „unbefugten Replikation“. Die große Frage, die Forscher aufwerfen, lautet: Wie stoppen wir diese Kopierer, die unsere Lieblings-Web-Shops stehlen, ohne es den echten Eigentümern zu kompliziert zu machen?

Hier kommt das Paper „SPARE - STARE“ ins Spiel. Die Autoren, ein Team von Forschern der George Washington University und der Northern Illinois University, schlagen ein cleveres Sicherheitswächter-System vor, um diese Progressive Web Apps zu schützen. Sie stellten fest, dass es zwar einige bestehende Wege gibt, um zwischen dem Telefon und der Website zu kommunizieren (wie ein zweiseitiges Walkie-Talkie namens PostMessage), diese Methoden jedoch oft zu schwerfällig, kompliziert und anfällig für Fehler sind. Stattdessen entschieden sie sich für einen leichteren, einfacheren Ansatz unter Verwendung eines einseitigen Nachrichtensystems.

Ihre Lösung, genannt SPARE-STARE, funktioniert ein wenig wie ein dynamisches, verschlüsseltes Ticket. So funktioniert sie in ihrer Simulation:

1. Das Ticket: Wenn ein Nutzer die legitime App öffnet, sendet das Telefon nicht einfach nur einen einfachen Link. Es erstellt eine spezielle URL (eine Webadresse), die am Ende ein geheimes, verschlüsseltes „Ticket“ enthält. Dieses Ticket enthält zwei sehr wichtige Informationen: einen Zeitstempel (die exakte Zeit, zu der der Link erstellt wurde) und eine Geräte-ID (einen einzigartigen Fingerabdruck des spezifischen Telefons).
2. Der Wächter: Die Website fungiert als Türsteher. Wenn eine Anfrage eingeht, prüft der Türsteher das Ticket. Zuerst prüft er die Zeit. Wenn das Ticket zu alt ist (älter als ein festgelegtes Limit, das sie in ihren Fallstudien auf 1 Stunde getestet haben), sagt der Türsteher: „Nö, dieses Ticket ist abgelaufen!“ Dies verhindert, dass Bösewichte einfach einen Link kopieren und ihn später verwenden.
3. Der Fingerabdruck: Als Nächstes prüft der Türsteher die Geräte-ID. Wenn dasselbe Telefon versucht, dasselbe Ticket zu oft zu verwenden, oder wenn der Türsteher sieht, dass eine Flut von Anfragen von derselben Geräte-ID gleichzeitig eingeht, weiß er, dass etwas faul ist. Er blockiert es.

Die Forscher testeten diese Idee, indem sie eine simulierte Stadt erschufen. Sie bauten einen Datensatz, der nachahmte, wie echte Menschen Apps nutzen, wobei die Nutzer zwischen 25 und 45 Anfragen pro Tag machten. Sie stellten dann ihr Sicherheitssystem verschiedenen Arten von „Bösewichten“ in ihren Computersimulationen gegenüber:

• Der Amateur: Versuchte, einfach die Website-Adresse zu kopieren. Dies scheiterte sofort, da der Link das geheime Ticket nicht enthielt.
• Der Standard-Angreifer: Versuchte, ein gestohlenes Ticket zu verwenden, das er im Browserverlauf gefunden hatte. Dies scheiterte, weil das Ticket schnell ablief (innerhalb des **1-Stunden-Fensters) oder weil der Server sah, dass dieselbe Geräte-ID denselben Link mehrmals verwendete.
• Der Sophistierte: Dies war der knifflige Teil. Der Bösewicht verwendete mehrere Geräte (bis zu 30 in ihren Tests), um ständig neue Tickets zu generieren, und verteilte diese mittels einer „Round-Robin“-Methode (die Tickets werden hin und her gereicht, damit kein einzelnes Gerät verdächtig erscheint) an seine Nutzer der gefälschten App.

Selbst gegen diese klugen Angreifer hielt das SPARE-STARE-System stand. In ihren Simulationen, als die Bösewichte versuchten, mit einer großen Anzahl von Geräten das System zu umgehen, gelang es dem Sicherheitswächter dennoch, einen massiven Teil des bösartigen Verkehrs abzulehnen. Beispielsweise blockierte das System in einem Szenario mit 300 Nutzern und 30 Angriffsgeräten erfolgreich zwischen 88 % und 97 % der böswilligen Anfragen, je nachdem, wie streng die Regeln eingestellt waren.

Das Paper legt nahe, dass diese Methode ein vielversprechender, leichtgewichtiger Weg ist, um PWAs zu sichern. Sie erfordert nicht den schweren, komplexen Aufbau anderer Methoden und funktioniert gut, selbst wenn Angreifer versuchen, mit mehreren Geräten clever zu sein. Die Autoren weisen jedoch vorsorglich darauf hin, dass dies auf Simulationen und Prototypen basiert und noch nicht auf Millionen von Telefonen in der realen Welt eingesetzt wird. Sie weisen auch darauf hin, dass, falls ein Angreifer über eine riesige Armee physischer Geräte verfügt, er dennoch Wege finden könnte, durchzuschlüpfen, und dass das System sorgfältig abgestimmt werden muss, damit es nicht versehentlich ehrliche Nutzer blockiert, die ihre App einfach sehr häufig nutzen.

Kurz gesagt: SPARE-STARE deutet darauf an, dass wir durch die Vergabe einer für jeden Web-Link einer einzigartigen, zeitlich begrenzten und gerätespezifischen „ID-Karte“ es viel schwieriger machen können, dass Kopierer unsere Apps stehlen, um die digitale Stadt für alle sicher zu halten.