SnailLoad, l’attacco side-channel sfrutta i tempi di latenza per spiare le attività online

SnailLoad è una nuova tecnica di attacco side-channel che sfrutta le variazioni di latenza della rete per dedurre le attività web degli utenti senza richiedere l’accesso diretto al traffico di rete. Questo metodo è stato divulgato da un team di ricerca della Graz University of Technology in Austria.

Ricavare un’impronta digitale

L’attacco SnailLoad permette ad attaccanti remoti di spiare i siti web visitati e altri contenuti visualizzati precedentemente degli utenti, creando una sorta di impronta digitale attraverso misurazioni di latenza. A differenza di altri attacchi che richiedono un MitM o l’hacking della connessione wifi della vittima vicina, SnailLoad non necessita di tali condizioni.

Come avviene l’attacco

SnailLoad sfrutta un collo di bottiglia presente su tutte le connessioni Internet e per eseguirlo l’attore malevolo deve condurre misurazioni di latenza per ottenere i dati necessari a tracciare il traffico dell’utente. Questo processo viene eseguito caricando lentamente (“a passo di lumaca“) i contenuti da un server controllato per continuare a monitorare la latenza della connessione.

Successivamente è prevista una fase di elaborazione automatica tramite una rete neurale convoluzionale per ottenere l’inferenza con una buona precisione.

L’attacco si maschera da download di un file o di qualsiasi componente del sito web (come un foglio di stile, un carattere, un’immagine o un annuncio pubblicitario)“, spiegano i ricercatori.

Prova la demo

I ricercatori hanno pubblicato un esercizio demo per fare comprendere la correlazione tra latenza e il traffico di rete generato dalla riproduzione di un video o dall’apertura di un sito web.

Tuttavia, restano dei dubbi sull’accuratezza di questo metodo e non è chiaro se sia già stato sfruttato attivamente.

Su Salvatore Lombardo 258 Articoli
Ingegnere elettronico e socio Clusit, da qualche tempo, sposando il principio dell’educazione consapevole, scrive online per diversi magazine sull’Information Security. È inoltre autore del libro “La Gestione della Cyber Security nella Pubblica Amministrazione”. “Education improves Awareness” è il suo motto.