SPARE - STARE: Securing Progressive Web Apps - Trusted Web Activity Against Unauthorized Replications

Imagine a internet como uma cidade gigante e movimentada, onde os sites são como lojas populares. Nesta cidade, existe um tipo especial de loja chamada Progressive Web App (PWA). Pense em um PWA como uma vitrine mágica que parece e se sente exatamente como um aplicativo dedicado que você baixaria de uma loja, mas que vive inteiramente dentro do seu navegador web. Você não precisa instalá-lo; basta visitar o site, e ele age como um aplicativo nativo, funcionando mesmo quando você está offline ou enviando notificações para você. Para fazer essas lojas web parecerem ainda mais com edifícios reais, os desenvolvedores usam uma ferramenta chamada Trusted Web Activity (TWA). Isso é como um "túnel de vidro" especial que permite que você caminhe da tela inicial do seu telefone diretamente para o PWA sem ver a barra de endereços do navegador, tornando a experiência fluida e segura.

No entanto, assim como em uma cidade real, nem todos são bons cidadãos. Alguns encrenqueiros querem construir versões falsas dessas lojas populares. Eles podem pegar o endereço de um PWA real, envolvê-lo dentro de um aplicativo falso e vendê-lo aos usuários. Uma vez dentro, os vilões podem introduzir seus próprios anúncios para ganhar dinheiro, roubar suas informações pessoais ou até mesmo enganá-lo para visitar lugares perigosos. Este é o problema da "replicação não autorizada". A grande questão que os pesquisadores estão fazendo é: Como podemos deter esses imitadores de roubarem nossas lojas web favoritas sem tornar as coisas complicadas demais para os proprietários reais?

É aqui que o artigo "SPARE - STARE" entra em cena. Os autores, uma equipe de pesquisadores da George Washington University e da Northern Illinois University, propõem um sistema de segurança inteligente para proteger esses Progressive Web Apps. Eles notaram que, embora existam algumas formas existentes de comunicação entre o telefone e o site (como um walkie-talkie de duas vias chamado PostMessage), esses métodos são frequentemente muito pesados, complicados e propensos a falhas. Em vez disso, eles decidiram tentar uma abordagem mais leve e simples usando um sistema de mensagens de uma via.

A solução deles, chamada SPARE-STARE, funciona um pouco como um ingresso dinâmico e criptografado. Veja como ela funciona em sua simulação:

1. O Ingresso: Quando um usuário abre o aplicativo legítimo, o telefone não envia apenas um link simples. Ele cria uma URL especial (um endereço web) que inclui um "ingresso" secreto e criptografado ao final. Este ingresso contém duas informações muito importantes: um timestamp (o momento exato em que o link foi criado) e um Device ID (uma impressão digital única do telefone específico).
2. O Guarda: O site atua como um segurança. Quando uma requisição chega, o segurança verifica o ingresso. Primeiro, eles olham o tempo. Se o ingresso for muito antigo (mais velho que um limite definido, que eles testaram em 1 hora em seus estudos de caso), o segurança diz: "Não, esse ingresso expirou!" Isso impede que os vilões simplesmente copiem um link e o utilizem mais tarde.
3. A Impressão Digital: Em seguida, o segurança verifica o Device ID. Se o mesmo telefone tentar usar o mesmo ingresso muitas vezes, ou se o segurança vir uma enxurrada de requisições vindo do mesmo Device ID de uma só vez, eles sabem que algo está suspeito. Eles bloqueiam a ação.

Os pesquisadores testaram essa ideia criando uma cidade simulada. Eles construíram um conjunto de dados que imitava como as pessoas reais usam aplicativos, com usuários fazendo entre 25 e 45 requisições por dia. Eles então colocaram seu sistema de segurança contra diferentes tipos de "vilões" em suas simulações de computador:

• O Amador: Tentou apenas copiar o endereço do site. Isso falhou imediatamente porque o link carecia do ingresso secreto.
• O Padrão: Tentou usar um ingresso roubado que encontrou no histórico do navegador. Isso falhou porque o ingresso expirou rapidamente (dentro da janela de 1 hora) ou porque o servidor viu o mesmo Device ID tentando usar o mesmo link múltipl vezes.
• O Sofisticado: Este foi o difícil. O vilão usou múltiplos dispositivos (até 30 em seus testes) para gerar ingressos novos constantemente e os distribuiu para seus usuários do aplicativo falso usando um método "round-robin" (passando os ingressos de um para outro para que nenhum dispositivo individual parecesse suspeito).

Mesmo contra esses atacantes inteligentes, o sistema SPARE-STARE manteve-se firme. Em suas simulações, quando os vilões tentaram usar um grande número de dispositivos para contornar o sistema, o segurança ainda assim conseguiu rejeitar uma enorme parte do tráfego malicioso. Por exemplo, em um cenário com 300 usuários e 30 dispositivos de ataque, o sistema bloqueou com sucesso entre 88% e 97% das requisições maliciosas, dependendo de quão rigorosas as regras foram definidas.

O artigo sugere que este método é uma forma promissora e leve de proteger os PWAs. Ele não requer a configuração pesada e complexa de outros métodos e funciona bem mesmo quando os atacantes tentam ser espertos com múltiplos dispositivos. No entanto, os autores fazem questão de notar que isso é baseado em simulações e protótipos, não em uma implementação no mundo real em milhões de telefones ainda. Eles também apontam que, se um atacante tiver um exército enorme de dispositivos físicos, eles ainda podem encontrar maneiras de passar pelo sistema, e o sistema precisa ser ajustado cuidadosamente para não bloquear acidentalmente usuários reais e honestos que apenas usam muito o seu aplicativo.

Em resumo, o SPARE-STARE sugere que, ao dar a cada link web um "cartão de identidade" único, sensível ao tempo e específico para o dispositivo, podemos tornar muito mais difícil para os imitadores roubarem nossos aplicativos, mantendo a cidade digital segura para todos.