SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

Imagina que el internet es una ciudad gigante y bulliciosa donde los sitios web son como tiendas populares. En esta ciudad, hay un tipo especial de tienda llamada Aplicación Web Progresiva (PWA). Piensa en una PWA como una tienda mágica que se ve y se siente exactamente como una aplicación dedicada que descargarías de una tienda, pero que vive enteramente dentro de tu navegador web. No necesitas instalarla; simplemente visitas el sitio web y actúa como una aplicación nativa, funcionando incluso cuando estás sin conexión o enviándote notificaciones. Para que estas tiendas web se sientan aún más como edificios reales, los desarrolladores utilizan una herramienta llamada Actividad Web Confiable (TWA). Esto es como un "túnel de cristal" especial que te permite caminar desde la pantalla de inicio de tu teléfono directamente hacia la PWA sin ver la barra de direcciones del navegador, haciendo que la experiencia sea fluida y segura.

Sin embargo, al igual que en una ciudad real, no todos son buenos ciudadanos. Algunos alborotadores quieren construir versiones falsas de estas tiendas populares. Pueden tomar la dirección de una PWA real, envolverla dentro de una aplicación falsa y vendérsela a los usuarios. Una vez dentro, los malhechores pueden introducir sus propios anuncios para ganar dinero, robar tu información personal o incluso engañarte para que visites lugares peligrosos. Este es el problema de la "replicación no autorizada". La gran pregunta que se hacen los investigadores es: ¿Cómo detenemos a estos imitadores que roban nuestras tiendas web favoritas sin complicar demasiado las cosas para los dueños reales?

Aquí es donde entra el artículo "SPARE - STARE". Los autores, un equipo de investigadores de la Universidad George Washington y la Universidad del Norte de Illinois, proponen un ingenioso sistema de guardia de seguridad para proteger estas Aplicaciones Web Progresivas. Notaron que, si bien existen algunas formas existentes para que el teléfono y el sitio web se comuniquen (como un walkie-talkie de dos vías llamado PostMessage), esos métodos suelen ser demasiado pesados, complicados y propensos a romperse. En su lugar, decidieron probar un enfoque más ligero y sencillo utilizando un sistema de mensajería de una sola vía.

Su solución, llamada SPARE-STARE, funciona de forma muy parecida a un ticket cifrado dinámico. Así es como funciona en su simulación:

1. El Ticket: Cuando un usuario abre la aplicación legítima, el teléfono no solo envía un enlace simple. Crea una URL especial (una dirección web) que incluye un "ticket" secreto y cifrado al final. Este ticket contiene dos piezas de información muy importantes: un timestamp (el momento exacto en que se creó el enlace) y un ID de Dispositivo (una huella digital única del teléfono específico).
2. El Guardia: El sitio web actúa como un portero. Cuando llega una solicitud, el portero revisa el ticket. Primero, revisa el tiempo. Si el ticket es demasiado viejo (más antiguo que un límite establecido, que probaron en 1 hora en sus estudios de caso), el portero dice: "¡No, ese ticket ha expirado!". Esto evita que los malhechores simplemente copien un enlace y lo usen más tarde.
3. La Huella Digital: A continuación, el portero revisa el ID de Dispositivo. Si el mismo teléfono intenta usar el mismo ticket demasiadas veces, o si el portero ve una inundación de solicitudes provenientes del mismo ID de dispositivo a la vez, sabe que algo es sospechoso. Entonces, lo bloquea.

Los investigadores probaron esta idea creando una ciudad simulada. Construyeron un conjunto de datos que imitaba cómo las personas reales usan las aplicaciones, con usuarios realizando entre 25 y 45 solicitudes al día. Luego, enfrentaron su sistema de seguridad contra diferentes tipos de "malhechores" en sus simulaciones por computadora:

• El Aficionado: Intentó simplemente copiar la dirección del sitio web. Esto falló inmediatamente porque al enlace le faltaba el ticket secreto.
• El Estándar: Intentó usar un ticket robado que encontró en su historial de navegación. Esto falló porque el ticket expiró rápidamente (dentro de la ventana de 1 hora) o porque el servidor vio al mismo ID de dispositivo intentando usar el mismo enlace múltiples veces.
• El Sofisticado: Este fue el complicado. El malhechor utilizó múltiples dispositivos (hasta 30 en sus pruebas) para generar tickets frescos constantemente y los distribuyó a los usuarios de su aplicación falsa mediante un método "round-robin" (pasando los tickets de un lado a otro para que ningún dispositivo único pareciera sospechoso).

Incluso contra estos atacantes inteligentes, el sistema SPARE-STARE se mantuvo firme. En sus simulaciones, cuando los malhechores intentaron usar una gran cantidad de dispositivos para evadir el sistema, el guardia de seguridad logró rechazar una enorme parte del tráfico malicioso. Por ejemplo, en un escenario con 300 usuarios y 30 dispositivos de ataque, el sistema bloqueó con éxito entre el 88% y el 97% de las solicitudes maliciosas, dependiendo de qué tan estrictas se configuraran las reglas.

El artículo sugiere que este método es una forma prometedora y ligera de asegurar las PWA. No requiere la configuración pesada y compleja de otros métodos y funciona bien incluso cuando los atacantes intentan ser astutos con múltiples dispositivos. Sin embargo, los autores advierten cuidadosamente que esto se basa en simulaciones y prototipos, no en un despliegue en el mundo real en millones de teléfonos todavía. También señalan que si un atacante tiene un ejército enorme de dispositivos físicos, aún podrían encontrar formas de colarse, y que el sistema necesita ser ajustado cuidadosamente para no bloquear accidentalmente a usuarios reales y honestos que simplemente usan mucho su aplicación.

En resumen, SPARE-STARE sugiere que al dar a cada enlace web una "tarjeta de identidad" única, sensible al tiempo y específica para cada dispositivo, podemos hacer mucho más difícil que los imitadores roben nuestras aplicaciones, manteniendo la ciudad digital segura para todos.