Quick evaluation on the current status of fingerprinting resistance between vanilla Mozilla Firefox and the Tor Browser (OWASP Saitama MTG #12, talk #1)

1. TICKET TO THE DARK WORLD
OWASP SAITAMA MTG #12, TALK #1

2. TEXT
SESSION FLAGS
▸ 録画・録音・公開: OK
Image by Nico Kaiser on flickr, CC-BY 2.0

3. TEXT
WHO I AM
▸ Takahiro Yoshimura (@alterakey)
https://keybase.io/alterakey
▸ Monolith Works Inc.
Co-founder, CTO
Security researcher
▸ 明治大学サイバーセキュリティ研究所
客員研究員

4. TEXT
WHAT I DO
▸ Security research and development
▸ iOS/Android Apps
→Financial, Games, IoT related, etc. (>200)
→trueseeing: Non-decompiling Android Application
Vulnerability Scanner [2017]
▸ Windows/Mac/Web/HTML5 Apps
→POS, RAD tools etc.
▸ Network/Web penetration testing
→PCI-DSS etc.
▸ Search engine reconnaissance
(aka. Google Hacking)
▸ Whitebox testing
▸ Forensic analysis

5. TEXT
WHAT I DO
▸ CTF
▸ Enemy10, Sutegoma2
▸ METI CTFCJ 2012 Qual.: Won
▸ METI CTFCJ 2012: 3rd
▸ DEF CON 21 CTF: 6th
▸ DEF CON 22 OpenCTF: 4th
▸ 発表・講演など
DEF CON 25 Demo Labs (2017)
DEF CON 27 AI Village (2019)
CODE BLUE (2017, 2019)
CYDEF (2020) etc.
Image by Wiyre Media on flickr, CC-BY 2.0

6. TEXT
BACKGROUND
▸ Tor -- The Onion Router
→ダークウェブの一種
（匿名性の高いWeb空間）
▸ 特性
▸ 接続先ごとに経路を変える
▸ 概ね10分ごとに経路を再構築
▸ bridgeも使用可能
▸ 接続はtorproxy (SOCKS5)
Image by The Tor Project, CC BY 3.0 US

7. TEXT
BACKGROUND
▸ Tor Browser
▸ Firefox ESRとtorproxyのバンドル
▸ bridgeなども直接使用可能
▸ 今使っている経路は常に確認可能
▸ 再構築可能
▸ 事実上専用のブラウザ

8. TEXT
BACKGROUND
▸ 普通の
fi
refoxでも繋げるのでは？
▸ もちろん繋がるしかも速い
▸ 経路は確認できないがSIGHUPで再構築可

9. TEXT
BACKGROUND
▸ 公式のTor Browser
▸ Firefoxに比較して安全性を強化している
▸ 安全性とは？
▸ 今においても使う意味があるのか？

10. TEXT
TAILORED TO THE DARK WEB?
▸ 公式のTor Browser
▸ TrackingとSurveillanceを念頭に置いている
▸ Block Trackers
▸ Defend Against Surveillance
▸ Resist Fingerprinting
▸ Multi-layered Encryption

11. TEXT
PILLARS OF PRIVACY
▸ 2本の大筋 [1]
https://2019.www.torproject.org/projects/
torbrowser/design/
▸ Cross-Origin Identi
fi
er Unlinkability
▸ 識別子を持ち回れないように
▸ Cross-Origin Fingerprinting Unlinkability
▸ 自己同一性を持ち回れないように

12. TEXT
PILLARS OF PRIVACY
▸
fi
ngerprintされると…
▸ 行動が特定される可能性
▸ 物理的場所が特定される可能性
（e.g. 機器の流通経路などから）
▸ プライバシーにとっては脅威
Image by Andrew Gustar on flickr, CC-BY-ND 2.0

13. TEXT
CROSS-ORIGIN IDENTITFIER UNLINKABILITY
▸ First-party Isolation
privacy.
fi
rstparty.isolate = true
▸ Cookie/Storage/Cache entryなどにも
Origin (→1p) でスコープ化、環境ごと分離する
▸ 既にSOP規定があるものについてもスコープ化
→double keying
Image by gufm on flickr, CC-BY-NC-ND 2.0

14. TEXT
CROSS-ORIGIN IDENTITFIER UNLINKABILITY
▸ ... Cookie, Cache, Storage, Authorization,
TLS session ID, Shared Workers, HTTP/2※,
redirectの強制, window.name, auto
fi
ll, HSTS/
HPKP, broadcast, OCSP, favicon, media source,
prefetch, permissions API
※HTTP/2は今のビルドでは効いている
Image by gufm on flickr, CC-BY-NC-ND 2.0

15. TEXT
CROSS-ORIGIN IDENTITFIER UNLINKABILITY
▸ 問題点: social loginなどができない
→対処を提供しているが、ダメなものもある
privacy.
fi
rstparty.restrict_opener_access,
privacy.
fi
rstparty.block_post_message etc.
▸ 実質的にtorでは使われない
Image by jason wilson on flickr, CC-BY-SA 2.0

16. TEXT
CROSS-ORIGIN FINGERPRINTING UNLINKABILITY
▸ Resist Fingerprinting
privacy.resistFingerprinting = true
▸ 同質化することでFingerprintingへ抵抗する
▸ 以下制約:
canvasデータ精度, timer精度, performance API, 描
画領域 (letterboxing)※, gamepad API, TZ0, ネット
ワーク情報, センサ類, Geolocation API etc.
▸ ※ウィンドウも正方形になる
（スクリーンサイズの保護）
Image by Tricia on flickr, CC-BY 2.0

17. TEXT
CROSS-ORIGIN FINGERPRINTING UNLINKABILITY
▸ randomizeではダメなのか？
→弊害: 互換性の破壊・攻撃可能性の助長 etc.
Image by Tricia on flickr, CC-BY 2.0

18. TEXT
UPLIFTING
▸ 前はTor Browserが独自に実装していたが…
パッチ管理が面倒になってupstreamへ
▸ Project Tor Uplift [M1/M2/M3]
→Firefox 52..59でほぼマージされた
(Tom Ritter et al.)

19. TEXT
UPLIFTED!
▸ First Party Isolation (>=52)
privacy.
fi
rstparty.isolate = true
→Enhanced Tracking Protection Strict Mode
(>=86) … 設定値は残っているので若干疑問。
→ https://developer.mozilla.org/en-US/docs/
Web/Privacy/State_Partitioning
▸ Resist Fingerprinting (>=59)
privacy.resistFingerprinting = true
→ウィンドウは正方形になるがletterboxingは…
→ https://wiki.mozilla.org/Security/
Fingerprinting
Image by Frans on flickr, CC-BY-NC-ND 2.0

20. TEXT
UPLIFTED! .. WITH OTHER SETUP
▸ 他の設定…
▸ Permanent Private Browsing
▸ Extension: NoScript, uBlock Origin, Decentraleyes
▸ 以下設定:
- Home: Blank
- Search engine: DuckDuckGo
- 有効化: HTTPS Only Mode（全域）
- 無効化: Search suggestions, Safe browsing, OCSP query,
Firefox Data Collection and Use系,
Spellcheck, DRM, auto updates, extensions/feature
recommendation, breached passwords reminder
Image by Frans on flickr, CC-BY-NC-ND 2.0

21. TEXT
READY TO ENTER THE DARK WORLD?
▸ これでtorと同等の保護が提供されているのか？
Image by Antonino SCIMECA on flickr, CC-BY 2.0

22. TEXT
READY TO ENTER THE DARK WORLD?
▸ tor browserは
fi
ngerprintに強いのか？
▸ 現代のFPI+RFPと比べてどうか？
▸ ad-blockerなどはいらないのか？
（入れるなとも言っている）
▸ 検証しましょう
Image by Tim Cummins on flickr, CC-BY-NC-ND 2.0

23. TEXT
TEST (NON-JS)
▸ Am I Unique?
amiunique.org
▸
fi
ngerprintと合致するデータ数を出力する
→定性的には多い方が良い
→torと比較しているので同数がゴール

24. TEXT
FINDINGS (NON-JS)
▸ Tor Browser
▸ No (~7200)

25. TEXT
FINDINGS (NON-JS)
▸ Firefox 111.0b6 + FPI + RFP
▸ Almost (~6)
▸ User-Agent
▸ DNT: 1

26. TEXT
FINDINGS (NON-JS) - PATCH
▸ Firefox 111.0b6 + FPI + RFP
▸ Almost (~6)
▸ User-Agent
→extension: Custom User-Agent String
(Mozilla/5.0 (Windows NT 10.0; rv:102.0)
Gecko/20100101 Firefox/102.0)
▸ DNT: 1
→extension: Modify Header Value
(DNTを削除)

27. TEXT
FINDINGS (NON-JS) - PATCHED?
▸ Firefox 111.0b8 + FPI + RFP + Header Tweaks
▸ No (~7200) : tor browserと同等…？

28. TEXT
FINDINGS (NON-JS) - PATCH, II
▸ telemetry!!!
▸ 以下を "data:;" に
▸ browser.newtabpage.activity-
stream.telemetry.structuredIngestion.endpoi
nt
▸ toolkit.telemetry.server

29. TEXT
FINDINGS (NON-JS) - PATCHED
▸ Firefox 111.0b8 + FPI + RFP + Header Tweaks
▸ No (~7200) : tor browserと同等
→非JS環境では多分問題ない

30. TEXT
TESTING (JS)
▸ Am I Unique?
amiunique.org
▸ TorZillaPrint
https://arkenfox.github.io/TZP/index.html
(Gecko系に特化した
fi
ngerprinting)

31. TEXT
FINDINGS (JS)
▸ Tor Browser
▸ amiunique: Yes!!!
▸ Canvas Extractionをブロックしたノイズ
→予定調和; ランダムなので特に問題なし
▸ その他は…
useragent (JS): プラットフォーム（！）
フォント数, navigatorプロパティ数,
screenWidth, screenHeight etc.

32. TEXT
FINDINGS (JS)
▸ Firefox 111.0b8 + FPI + RFP + Header Tweaks
▸ amiunique: Yes!!!
▸ Canvas Extractionをブロックしたノイズ
▸ useragent (JS): 違う値（！）
フォント数: 実際の値（！）
screenWidth: 実際の値（！）
screenHeight: 実際の値（！）
navigatorプロパティ数: CredentialManager類
permission: WebMIDIなどの存在
media-devices: ハードウェア構成（！）
WebGL系: そこそこのハードウェア構成（！※） etc.

33. TEXT
FINDINGS (JS) - PATCH
▸ screenWidth/screenHeight
privacy.resistFingerprinting.letterboxing = true
※追加の必要あり
▸ WebGL系 (出てくる場合)
webgl.disabled = true
webgl.enable-webgl2 = false

34. TEXT
FINDINGS (JS) - PATCHED
▸ Firefox 111.0b8 + FPI + RFP + Header Tweaks
▸ amiunique: Yes!!!
▸ Canvas Extractionをブロックしたノイズ
▸ useragent (JS): 違う値（！）
フォント数: 実際の値（！）
navigatorプロパティ数: CredentialMan.類
permission: WebMIDIなどの存在
media-devices: ハードウェア構成（！）

35. TEXT
FINDINGS (JS) - PATCHED
▸ Firefox 111.0b8 + FPI + RFP + Header Tweaks
▸ amiunique: Yes (防御しきれない)
→JS環境で使用するのは推奨しない

36. TEXT
FINDINGS (JS, 2)
▸ Tor Browser
▸ TZP: Gecko, Firefox 102, build switch (?)

37. TEXT
FINDINGS (JS, 2)
▸ Firefox 111.0b6 + FPI + RFP + Header Tweaks
▸ TZP: Gecko, Firefox 111 (!), build switch (!)

38. TEXT
FINDINGS (JS, MISC)
▸ Letterboxing bypass: #1450401 et al.
▸ 全画面モードでスクリーンサイズが取れる
(NB: Tor Browserにも有効！)
https://bugzilla.mozilla.org/
show_bug.cgi?id=1450401

39. TEXT
TAKEAWAYS
▸ 現状のFirefoxでもFPI + RFPである程度気をつけ
て組めば非JS環境においては多分問題ない
▸ JS環境では通用しない; Tor Browserが必須
※uBlock Originなどは多分あったほうが良い;
わざわざ踏まなくても良いものは回避したい
▸ JSには注意
SafestモードやNoScript有効が基本
Image by jakes_brick_hoard on flickr, CC-BY-NC-ND 2.0

40. TEXT
TAKEAWAYS
▸ 多分このくらいは分かる
CPU arch（ARM/x86/x86_64？）, Platform
（Mac/Linux/Windows）, Base build, 手製だと
build switchからCPUの世代 etc. ※Gentooerは
特に注意
▸ ＋スクリーンサイズで機種特定の可能性上昇
→ 全画面モードには重ねて注意
▸ amiunique: RFP影響下ではuniqueは普通
Image by jakes_brick_hoard on flickr, CC-BY-NC-ND 2.0

41. ONE MORE THING..
Image by Chris Pirillo on flickr, CC-BY-NC-ND 2.0

42. TEXT
GUARD NODE?
▸ Guard nodeは安全なのか？
→安全ではないと思う
▸ なぜなら:
▸ public relay listから速度と安定性を元に選定
運用はコミュニティの自浄作用（ 相互監視/密告）
▸ relayには誰もが登録できる; 審査などは特にない
→人海戦術が有効！※たまにある
▸ 自前あるいは信頼できるbridgeによる自衛が必要

43. STAY SAFE!
Image by KaCey97078 on flickr, CC-BY-NC 2.0

44. FIN.
28.2.2023 TAKAHIRO YOSHIMURA (@ALTERAKEY)
Image by Andrew on flickr, CC-BY-NC-ND 2.0