14新的XS泄漏（跨站点泄漏）攻击影响所有现代Web浏览器

研究人员发现了14种新的跨站点数据泄漏攻击，这些攻击针对许多现代网络浏览器，包括Tor浏览器、Mozilla Firefox、Google Chrome、Microsoft Edge、Apple Safari和Opera等。

这些浏览器漏洞统称为“XS泄密”，使恶意网站能够在后台与其他网站交互时，在目标不知情的情况下，从访问者那里获取个人数据。这些发现是波鸿鲁尔大学（RUB）和尼德莱因大学（Niederrhein University）的一组学者对跨站点攻击进行的综合研究的结果。

研究人员在一份声明中说：“XS泄密绕过了所谓的同源策略，这是浏览器抵御各种类型攻击的主要防御措施之一。”。“同源策略的目的是防止从受信任的网站窃取信息。在XS泄露的情况下，攻击者仍然可以识别网站的个人小细节。如果这些细节与个人数据相关，则这些数据可能会被泄露。”

这些跨站点漏洞源于web平台内置的副通道，允许攻击者从跨源HTTP资源收集这些数据，影响了一系列流行浏览器，如Tor、Chrome、Edge、Opera、Safari Firefox、三星互联网，跨越不同的操作系统Windows、macOS、Android和iOS。

这类新的漏洞也不同于跨站点请求伪造（CSRF）攻击，因为后者利用web应用程序对浏览器客户端的信任来代表用户执行非预期的操作，与后者不同，它们可以被武器化以推断有关用户的信息。

研究人员解释说：“这是对互联网隐私的重大威胁，因为仅仅访问一个网页就可能发现受害者是否吸毒或泄露性取向。”。“XS泄密利用了网站互动过程中暴露出来的小部分信息[…；]披露有关用户的敏感信息，例如他们在其他web应用程序中的数据、他们的本地环境或他们所连接的内部网络的详细信息。"

其核心思想是，虽然由于同一来源的限制，网站不允许直接访问其他网站上的数据（即读取服务器响应），但流氓在线门户可以尝试从网站（例如，网上银行网站）加载特定资源或API端点，并推断受害者的交易历史。或者，泄漏的来源可能是基于时间的侧通道，或者是熔毁和幽灵等投机性执行攻击。

作为缓解措施，研究人员建议拒绝所有事件处理程序消息，最小化错误消息的发生，应用全局限制，并在发生重定向时创建新的历史属性。在最终用户端，在Firefox中启用第一方隔离以及增强的跟踪预防功能可以降低XS泄漏的适用性。Safari中的智能跟踪预防功能默认会阻止第三方cookie，还可以防止所有不基于弹出窗口的泄漏。

“大多数XS泄漏的根本原因是网络设计固有的，”研究人员说。“通常情况下，应用程序在没有做错任何事情的情况下容易受到一些跨站点信息泄漏的攻击。在浏览器级别修复XS泄漏的根本原因是一项挑战，因为在许多情况下，这样做会破坏现有网站。”