安全与密码学2018arxiv.org
通过 TLS 会话恢复跨网站追踪用户
Tracking Users Across the Web via TLS Session Resumption
进阶 · 约 45 分钟读完前置知识：TLS 基础、Web 追踪与 Cookie、隐私侧信道
导读
论文研究 TLS 会话恢复（session resumption / TLS session ID）机制能否被网站用作跨站追踪用户的手段：服务器可以通过恢复的会话 ID 识别回访用户，即使 cookie 已被清除或禁用。作者测量了主流浏览器与平台在会话恢复有效时长上的差异，并讨论了这种侧信道带来的隐私风险及可能的缓解措施。
HN 关注点：HN 读者震惊于“清掉 cookie、开隐私模式也可能被认出来”，并热议各浏览器会话恢复时长的巨大差异以及由此衍生的计时侧信道攻击。
HN 评论精选
这几条评论里：补充 4
补充Nginx 可暴露 ssl_session_id 说明该追踪可能已在野外存在，且会话恢复还引入计时侧信道；Chrome 无痕模式有独立缓存，移动端情况不明。
哇，我完全不知道浏览器会把唯一标识符发回之前访问过的站点，即使 cookie 已清除或禁用。Nginx 可以把 $ssl_session_id 传给上游，所以这很可能已经在野外被用于追踪。好在 Chrome 无痕模式使用不同的 TLS 会话缓存，至少那里不漏。但移动浏览器的隐私模式是否使用独立 TLS 缓存还不清楚。除了论文描述的追踪，会话恢复的存在本身还带来有趣的计时攻击：恶意站点可以嵌入来自多个已知 RTT 相近站点（比如同一机房）的资源，通过哪些加载更快（因为复用了 TLS 会话）来概率性地判断用户是否访问过这些站点。恶意者可用于钓鱼，或用于勒索（尤其是那些小众、内容可疑的站点）。这正是我们不让 JavaScript 探测链接是否被访问过的原因。不妙。
btown查看英文原文
> To the best of our knowledge, we are the first to report on the applicability of TLS session resumption for user tracking. Whoa. I had no idea browsers were sending unique identifiers back to previously visited sites, even with cleared/disabled cookies. Nginx can pass $ssl_session_id upstream, so it's very possible that this is being used for tracking in the wild: http://nginx.org/en/docs/http/ngx_http_ssl_module.html#variables Luckily, it looks like Chrome incognito mode does have a different TLS session cache, so at least things aren't leaking there. https://bugs.chromium.org/p/chromium/issues/detail?id=30877 But it's unclear, for instance, whether mobile browsers use separate TLS caches for private browsing. On top of the tracking described in the OP, the very presence of session resumption introduces an interesting timing attack. Imagine a malicious site which attempts to embed assets from various sites, all of which are known to have a similar RTT (perhaps they're hosted from the same datacenter). By seeing which are fulfilled more quickly than others (by virtue of resuming TLS sessions), you could probabilistically know which sites the user has visited before. Malicious actors could use this for phishing, or to establish bona fides in extorting payments (particularly for obscure sites with questionable content). It's exactly why we don't allow Javascript to introspect whether a link is blue or purple. Not good.
补充对各浏览器会话恢复时长做了比较：iOS 统一 120 分钟（疑与内核限制有关），桌面 Firefox/Safari 长达一天，令人失望。
这很有意思也很令人不安（和很多追踪/画像研究一样），像是隐私与便利/性能之间永无止境的竞赛。让我失望的是 iOS 的会话恢复窗口长达 120 分钟。另外，iOS 上浏览器内核受限，是不是所有被测浏览器时长相同的原因？还是开发者根本没在 iOS 代码里处理过这个问题？桌面端看起来还不错：据我所知知名浏览器里只有 Brave 和 Opera 是 30 分钟，其余对我而言都不合格。桌面版 Firefox 和 Safari 都很糟，会话恢复时长是一天。读论文前我本以为这两家会是最好的或次好的。
newscracker查看英文原文
This is interesting and disturbing (like many other studies related to tracking/profiling). It looks like a never ending race between privacy and convenience/performance. I’m disappointed that iOS has longer windows (120 minutes) for session resumption. Also, is the browser engine restriction on iOS the reason why all the tested browsers support the same duration? Or is it that the browser developers haven’t yet looked at this in their iOS code? Even the desktop scene looks good, among well known browsers (to me), only for Brave and Opera, with a duration of 30 minutes. The others are subpar for me. Firefox and Safari on the desktop are both terrible, with a one day duration for session resumption. When I started reading this paper I expected these two to be the best or the second best.
补充补充：DoT/DoH 同样存在会话恢复带来的可关联性问题，dnscrypt-proxy 提供了关闭选项。
这事早就人尽皆知了，而且不只影响网站。DNS over TLS 也有同样问题，实际上它向 DNS 提供商泄露的信息比传统 DNS 更多。所以 dnscrypt-proxy 可以禁用 DoH 的会话恢复，或在 dnscrypt 协议下为每次查询使用新密钥。（Jigsaw 的 Intra 不允许禁用，显然是因为他们觉得用户都是白痴。）
jedisct1查看英文原文
This has been known forever, and it doesn't only affect websites. DNS over TLS has the same issue, and effectively gives more information to DNS providers than regular DNS. Which is why dnscrypt-proxy can disable session resumption for DoH, or can use a new key for each transaction when using the dnscrypt protocol. (Intra won't allow disabling it because apparently, users are idiots https://github.com/Jigsaw-Code/Intra/issues/101 )
补充读者想知道 Firefox 中是否有对应设置项可关闭会话恢复。
Firefox 里有可以改这个的设置吗？
settingsquest查看英文原文
Is there a setting to change this in firefox?
相关资源
从这篇论文所有 HN 讨论帖的全部评论里整理出来的链接。
历次讨论
- 2018Hacker News 讨论帖145 分 · 24 评
同领域还值得读
如何入侵一台已关机的电脑：在 Intel ME 中运行未签名代码
How to hack a turned-off computer, or running unsigned code in Intel ME
这篇 Black Hat 2017 白皮书讨论 Intel Management Engine（ME）的安全问题：如何在 ME 中运行未签名代码，以及攻破处于关机状态的电脑的相关…
安全与密码学2017 · 543 分 · 107 评专业 · 约 40 分钟编辑精选比特币：一种点对点的电子现金系统（2008）
Bitcoin: A Peer-to-Peer Electronic Cash System (2008)
中本聪 2008 年发表的比特币白皮书，提出了无需可信第三方的点对点电子现金系统。
安全与密码学2017 · 536 分 · 394 评入门 · 约 45 分钟编辑精选GPRS 加密算法 GEA-1 的密码分析表明存在故意弱点
Cryptanalysis of GPRS Encryption Algorithms GEA-1 suggest intentional weakness
首次公开了对 GPRS 加密算法 GEA-1 和 GEA-2 的密码分析攻击。
安全与密码学2021 · 487 分 · 107 评专业 · 约 90 分钟编辑精选Signal 消息协议的形式化安全分析
A Formal Security Analysis of the Signal Messaging Protocol
用形式化方法分析 Signal 消息协议（TextSecure）的安全性：作者在多阶段密钥交换模型下，借助自动化证明工具对协议的密钥协商与 Double Ratchet 密钥更新…
安全与密码学2016 · 353 分 · 230 评专业 · 约 120 分钟编辑精选A2：模拟恶意硬件
A2: Analog Malicious Hardware
论文研究如何在芯片设计阶段植入模拟电路形式的恶意硬件后门，使其难以被常规检测发现。
安全与密码学2016 · 315 分 · 94 评专业 · 约 75 分钟编辑精选