SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

Stel je het internet voor als een enorme, bruisende stad waar websites als populaire winkels fungeren. In deze stad is er een speciaal soort winkel die een Progressive Web App (PWA) wordt genoemd. Denk aan een PWA als een magische etalage die er precies hetzelfde uitziet en aanvoelt als een speciale app die je uit een app store downloadt, maar die volledig in je webbrowser leeft. Je hoeft het niet te installeren; je bezoekt gewoon de website, en het gedraagt zich als een native app, zelfs wanneer je offline bent of meldingen ontvangt. Om deze webwinkels nog meer als echte gebouwen te laten voelen, gebruiken ontwikkelaars een hulpmiddel genaamd Trusted Web Activity (TWA). Dit is als een speciale "glazen tunnel" die het je mogelijk maakt om rechtstreeks vanaf het startscherm van je telefoon naar de PWA te lopen zonder de adresbalk van de browser te zien, wat de ervaring naadloos en veilig maakt.

Echter, net als in een echte stad, is niet iedereen een goede burger. Sommige boelmakers willen nepeversies van deze populaire winkels bouwen. Ze kunnen het adres van een echte PWA nemen, deze in een nep-app verpakken en aan gebruikers verkopen. Eenmaal binnen kunnen de slechteriken hun eigen advertenties insluipen om geld te verdienen, je persoonlijke gegevens te stelen of je zelfs te misleiden om naar gevaarlijke plaatsen te gaan. Dit is het probleem van "ongeautoriseerde replicatie". De grote vraag waar onderzoekers zich mee bezighouden is: Hoe stoppen we deze kopieerders die onze favoriete webwinkels proberen te stelen, zonder het te ingewikkeld te maken voor de echte eigenaren?

Dit is waar het artikel "SPARE - STARE" om de hoek komt kijken. De auteurs, een team van onderzoekers van George Washington University en Northern Illinois University, stellen een slim beveiligingsbewaker-systeem voor om deze Progressive Web Apps te beschermen. Ze merkten op dat hoewel er bestaande manieren zijn om tussen de telefoon en de website te communiceren (zoals een tweerichtings-portofoon genaamd PostMessage), die methoden vaak te zwaar, ingewikkeld en gevoelig voor fouten zijn. In plaats daarvan besloten ze een lichtere, eenvoudigere aanpak te proberen met een eenrichtingsberichtensysteem.

Hun oplossing, genaamd SPARE-STARE, werkt een beetje als een dynamisch, versleuteld ticket. Hier is hoe het functioneert in hun simulatie:

1. Het Ticket: Wanneer een gebruiker de legitieme app opent, stuurt de telefoon niet zomaar een eenvoudige link. Het creëert een speciale URL (een webadres) die aan het einde een geheim, versleuteld "ticket" bevat. Dit ticket bevat twee zeer belangrijke stukjes informatie: een timestamp (de exacte tijd waarop de link is gemaakt) en een Device ID (een unieke vingerafdruk van de specifieke telefoon).
2. De Bewaker: De website fungeert als een uitsmijter. Wanneer een verzoek binnenkomt, controleert de uitsmijter het ticket. Eerst kijkt hij naar de tijd. Als het ticket te oud is (ouder dan een ingestelde limiet, die zij in hun casestudies op 1 uur hebben getest), zegt de uitsmijter: "Nee, dat ticket is verlopen!" Dit voorkomt dat boelmakers simpelweg een link kopiëren en deze later gebruiken.
3. De Vingerafdruk: Vervolgens controleert de uitsmijter de Device ID. Als dezelfde telefoon hetzelfde ticket te vaak probeert te gebruiken, of als de uitsmijter een vloedgolf aan verzoeken ziet komen van dezelfde device ID tegelijkertijd, weet hij dat er iets verdachts aan de hand is. Hij blokkeert het dan.

De onderzoekers testten dit idee door een gesimuleerde stad te creëren. Ze bouwden een dataset die nabootste hoe echte mensen apps gebruiken, waarbij gebruikers tussen de 25 en 45 verzoeken per dag doen. Ze zetten hun beveiligingssysteem vervolgens af tegen verschillende soorten "boelmakers" in hun computersimulaties:

• De Amateur: Probeerde alleen de website-adres te kopiëren. Dit mislukte onmiddellijk omdat de link het geheime ticket miste.
• De Standaard: Probeerde een gestolen ticket te gebruiken die ze in hun browsergeschiedenis hadden gevonden. Dit mislukte omdat het ticket snel verloor (binnen de 1-uursperiode) of omdat de server zag dat dezelfde Device ID de link meerdere keren probeerde te gebruiken.
• De Verfijnde: Dit was de lastige variant. De boelmaker gebruikte meerdere apparaten (tot 30 in hun tests) om constant verse tickets te genereren en verdeelde deze aan hun nep-app gebruikers via een "round-robin"-methode (het rondsturen van de tickets zodat geen enkel apparaat verdacht lijkt).

Zelfs tegen deze slimme aanvallers hield het SPARE-STARE systeem stand. In hun simulaties, toen de boelmakers probeerden een groot aantal apparaten te gebruiken om het systeem te omzeilen, slaagde de beveiligingsbewaker er nog steeds in om een enorme hoeveelheid van het kwaadaardige verkeer af te wijzen. In een scenario met 300 gebruikers en 30 aanvalstoestellen, blokkeerde het systeem bijvoorbeeld tussen de 88% en 97% van de kwaadaardige verzoeken, afhankelijk van hoe strikt de regels waren ingesteld.

Het artikel suggereert dat deze methode een veelbelovende, lichtgewicht manier is om PWAs te beveiligen. Het vereist niet de zware, complexe opzet van andere methoden en werkt goed, zelfs wanneer aanvallers slim proberen te zijn met meerdere apparaten. De auteurs waarschuwen echter dat dit gebaseerd is op simulaties en prototypes, en nog niet op een wereldwijde implementatie op miljoenen telefoons. Ze wijzen er ook op dat als een aanvaller een enorm leger aan fysieke apparaten heeft, ze nog steeds manieren kunnen vinden om erdoorheen te glippen, en dat het systeem zorgvuldig moet worden afgesteld zodat het niet per ongeluk echte, eerlijke gebruikers blokkeert die toevallig veel van hun app gebruiken.

Kortom, SPARE-STARE suggereert dat door elke weblink een unieke, tijdsgevoelige en apparaatspecifieke "ID-kaart" te geven, we het veel moeilijker kunnen maken voor kopieerders om onze apps te stelen, waardoor de digitale stad veilig blijft voor iedereen.