SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

Immagina Internet come una città enorme e frenetica dove i siti web sono come negozi popolari. In questa città, esiste un tipo speciale di negozio chiamato Progressive Web App (PWA). Pensa a una PWA come a un negozio magico che appare e si comporta esattamente come un'app dedicata che scaricheresti da uno store, ma che vive interamente all'interno del tuo browser web. Non hai bisogno di installarla; ti basta visitare il sito web e essa agirà come un'app nativa, funzionando anche quando sei offline o inviandoti notifiche. Per far sì che questi negozi web sembrino ancora di più dei veri edifici, gli sviluppatori utilizzano uno strumento chiamato Trusted Web Activity (TWA). Questo è come un "tunnel di vetro" speciale che ti permette di camminare direttamente dalla schermata home del tuo telefono verso la PWA senza vedere la barra degli indirizzi del browser, rendendo l'esperienza fluida e sicura.

Tuttavia, proprio come in una vera città, non tutti sono buoni cittadini. Alcuni malintenzionati vogliono costruire versioni false di questi negozi popolari. Possono prendere l'indirizzo di una vera PWA, racchiuderla in una finta app e venderla agli utenti. Una volta all'interno, i cattivi possono infilare le proprie pubblicità per guadagnare denaro, rubare le tue informazioni personali o addirittura ingannarti portandoti a visitare luoghi pericolosi. Questo è il problema della "replicazione non autorizzata". La grande domanda che i ricercatori si pongono è: Come possiamo fermare questi imitatori che rubano i nostri negozi web preferiti senza rendere le cose troppo complicate per i veri proprietari?

È qui che entra in gioco il documento "SPARE - STARE". Gli autori, un team di ricercatori della George Washington University e della Northern Illinois University, propongono un astuto sistema di guardia per proteggere queste Progressive Web App. Hanno notato che, sebbene esistano già dei modi per comunicare tra il telefono e il sito web (come un walkie-talkie bidirezionale chiamato PostMessage), quei metodi sono spesso troppo pesanti, complicati e soggetti a guasti. Invece, hanno deciso di provare un approccio più leggero e semplice utilizzando un sistema di messaggistica unidirezionale.

La loro soluzione, chiamata SPARE-STARE, funziona un po' come un biglietto dinamico e criptato. Ecco come funziona nella loro simulazione:

1. Il Biglietto: Quando un utente apre l'app legittima, il telefono non si limita a inviare un semplice link. Crea un URL speciale (un indirizzo web) che include un "biglietto" segreto e criptato alla fine. Questo biglietto contiene due informazioni molto importanti: un timestamp (l'ora esatta in cui il link è stato creato) e un Device ID (un'impronta digitale unica del telefono specifico).
2. La Guardia: Il sito web agisce come un buttafuori. Quando arriva una richiesta, il buttafuori controlla il biglietto. Per prima cosa, controlla il tempo. Se il biglietto è troppo vecchio (più vecchio di un limite prestabilito, che hanno testato con 1 ora nei loro casi studio), il buttafuori dice: "No, questo biglietto è scaduto!". Questo impedisce ai malintenzionati di limitarsi a copiare un link e usarlo in seguito.
3. L'Impronta Digitale: Successivamente, il buttafuori controlla il Device ID. Se lo stesso telefono prova a usare lo stesso biglietto troppe volte, o se il buttafuori vede un'ondata di richieste provenienti dallo stesso Device ID tutte in una volta, capisce che c'è qualcosa di sospetto. Lo blocca.

I ricercatori hanno testato questa idea creando una città simulata. Hanno costruito un dataset che imitava il modo in cui le persone reali usano le app, con utenti che effettuano tra i 25 e i 45 messaggi/richieste al giorno. Hanno poi messo il loro sistema di sicurezza contro diversi tipi di "cattivi" nelle loro simulazioni al computer:

• L'Appassionato (Amateur): Ha cercato di limitarsi a copiare l'indirizzo del sito web. Questo è fallito immediatamente perché il link mancava del biglietto segreto.
• Lo Standard: Ha cercato di usare un biglietto rubato che ha trovato nella cronologia del browser. Questo è fallito perché il biglietto è scaduto rapidamente (entro la finestra di 1 ora) o perché il server ha visto lo stesso Device ID usare lo stesso link più volte.
• Il Sofisticato: Questo era il caso più difficile. Il cattivo ha utilizzato più dispositivi (fino a 30 nei loro test) per generare costantemente nuovi biglietti e li ha distribuiti ai suoi utenti dell'app falsa usando un metodo "round-robin" (passando i biglietti in modo che nessun singolo dispositivo sembrasse sospetto).

Anche contro questi attaccanti intelligenti, il sistema SPARE-STARE ha retto la prova. Nelle loro simulazioni, quando i cattivi hanno cercato di usare un gran numero di dispositivi per aggirare il sistema, la guardia di sicurezza è comunque riuscita a respingere una enorme fetta di traffico malevolo. Ad esempio, in uno scenario con 300 utenti e 30 dispositivi d'attacco, il sistema ha bloccato con successo tra l'88% e il 97% delle richieste malevole, a seconda di quanto fossero rigide le regole impostate.

Il documento suggerisce che questo metodo è un modo promettente e leggero per proteggere le PWA. Non richiede la configurazione pesante e complessa di altri metodi e funziona bene anche quando gli attaccanti cercano di essere astuti con più dispositivi. Tuttavia, gli autori sottolineano con cautela che questo si basa su simulazioni e prototipi, non su un dispiegamento nel mondo reale su milioni di telefoni. Segnalano inoltre che se un attaccante possiede un enorme esercito di dispositivi fisici, potrebbe comunque trovare modi per infiltrarsi, e il sistema deve essere calibrato con cura affinché non blocchi accidentalmente utenti reali e onesti che semplicemente usano molto la loro app.

In breve, SPARE-STARE suggerisce che dando a ogni link web una "carta d'identità" unica, sensibile al tempo e specifica per il dispositivo, possiamo rendere molto più difficile per gli imitatori rubare le nostre app, mantenendo la città digitale sicura per tutti.