SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

Imaginez l'internet comme une ville immense et bouillonnante où les sites web sont comme des boutiques populaires. Dans cette ville, il existe un type spécial de boutique appelé Progressive Web App (PWA). Considérez une PWA comme une vitrine magique qui ressemble et se comporte exactement comme une application dédiée que vous téléchargeriez depuis un magasin, mais qui vit entièrement à l'intérieur de votre navigateur web. Vous n'avez pas besoin de l'installer ; il vous suffit de visiter le site web, et il agit comme une application native, fonctionnant même lorsque vous êtes hors ligne ou en vous envoyant des notifications. Pour que ces boutiques web ressemblent encore plus à de vrais bâtiments, les développeurs utilisent un outil appelé Trusted Web Activity (TWA). C'est comme un « tunnel de verre » spécial qui vous permet de passer de l'écran d'accueil de votre téléphone directement à la PWA sans voir la barre d'adresse du navigateur, rendant l'expérience fluide et sécurisée.

Cependant, tout comme dans une vraie ville, tout le monde n'est pas un bon citoyen. Des fauteurs de troubles veulent construire des versions contrefaites de ces boutiques populaires. Ils peuvent prendre l'adresse d'une véritable PWA, l'envelopper dans une fausse application et la vendre aux utilisateurs. Une fois à l'intérieur, les méchants peuvent y glisser leurs propres publicités pour gagner de l'argent, voler vos informations personnelles ou même vous inciter à visiter des endroits dangereux. C'est le problème de la « réplication non autorisée ». La grande question que se posent les chercheurs est la suivante : Comment pouvons-nous arrêter ces imitateurs qui volent nos boutiques web préférées sans rendre les choses trop compliquées pour les véritables propriétaires ?

C'est ici qu'intervient le document « SPARE - STARE ». Les auteurs, une équipe de chercheurs de l'Université George Washington et de l'Université du Nord de l'Illinois, proposent un système de garde intelligent pour protéger ces Progressive Web Apps. Ils ont remarqué que, bien qu'il existe certains moyens existants pour communiquer entre le téléphone et le site web (comme un talkie-talkie bidirectionnel appelé PostMessage), ces méthodes sont souvent trop lourdes, compliquées et sujettes aux pannes. Au lieu de cela, ils ont décidé d'essayer une approche plus légère et plus simple utilisant un système de messagerie unidirectionnel.

Leur solution, nommée SPARE-STARE, fonctionne un peu comme un ticket crypté dynamique. Voici comment elle fonctionne dans leur simulation :

1. Le Ticket : Lorsque l'utilisateur ouvre l'application légitime, le téléphone ne se contente pas d'envoyer un lien simple. Il crée une URL spéciale (une adresse web) qui inclut un « ticket » secret et crypté à la fin. Ce ticket contient deux informations très importantes : un horodatage (l'heure exacte de la création du lien) et un ID de l'appareil (une empreinte digitale unique du téléphone spécifique).
2. Le Gardien : Le site web agit comme un videur. Lorsqu'une requête arrive, le videur vérifie le ticket. D'abord, il regarde l'heure. Si le ticket est trop vieux (plus ancien qu'une limite fixée, qu'ils ont testée à 1 heure dans leurs études de cas), le videur dit : « Non, ce ticket est expiré ! » Cela empêche les méchants de simplement copier un lien et de l'utiliser plus tard.
3. L'Empreinte Digitale : Ensuite, le videur vérifie l'ID de l'appareil. Si le même téléphone essaie d'utiliser le même ticket trop de fois, ou si le videur voit un flux de requêtes provenant du même ID d'appareil en même temps, il sait que quelque chose de suspect se produit. Il le bloque.

Les chercheurs ont testé cette idée en créant une ville simulée. Ils ont construit un ensemble de données qui imitait la façon dont les gens réels utilisent les applications, avec des utilisateurs effectuant entre 25 et 45 requêtes par jour. Ils ont ensuite opposé leur système de sécurité à différents types de « méchants » dans leurs simulations informatiques :

• L'Amateur : A essayé de simplement copier l'adresse du site web. Cela a échoué immédiatement car le lien ne contenait pas le ticket secret.
• Le Standard : A essayé d'utiliser un ticket volé trouvé dans son historique de navigation. Cela a échoué car le ticket expirait rapidement (dans la fenêtre de 1 heure) ou parce que le serveur a vu le même ID d'appareil utiliser plusieurs fois le même lien.
• Le Sophistiqué : C'était le plus délicat. Le méchant a utilisé plusieurs appareils (jusqu'à 30 dans leurs tests) pour générer constamment de nouveaux tickets et les a distribués à ses utilisateurs d'applications frauduleuses en utilisant une méthode « round-robin » (faire circuler les tickets pour qu'aucun appareil ne paraisse suspect).

Même face à ces attaquants intelligents, le système SPARE-STARE a tenu bon. Dans leurs simulations, lorsque les méchants ont essayé d'utiliser un grand nombre d'appareils pour contourner le système, le garde de sécurité a tout de même réussi à rejeter une part massive du trafic malveillant. Par exemple, dans un scénario avec 300 utilisateurs et 30 appareils d'attaque, le système a réussi à bloquer entre 88 % et 97 % des requêtes malveillantes, selon la rigueur des règles établies.

Le document suggère que cette méthode est une façon prometteuse et légère de sécuriser les PWA. Elle ne nécessite pas la configuration lourde et complexe d'autres méthodes et fonctionne bien même lorsque les attaquants tentent d'être astucieux avec plusieurs appareils. Cependant, les auteurs précisent avec prudence que cela est basé sur des simulations et des prototypes, et non sur un déploiement réel sur des millions de téléphones pour le moment. Ils soulignent également que si un attaquant possède une armée massive d'appareils physiques, il pourrait encore trouver des moyens de s'infiltrer, et que le système doit être réglé avec soin pour ne pas bloquer accidentellement des utilisateurs réels et honnêtes qui utilisent simplement beaucoup leur application.

En résumé, SPARE-STARE suggère qu'en donnant à chaque lien web une « carte d'identité » unique, sensible au temps et spécifique à l'appareil, nous pouvons rendre beaucoup plus difficile pour les imitateurs de voler nos applications, gardant ainsi la ville numérique sûre pour tout le monde.