30% van die duisend grootste webwerwe gebruik skrifte vir versteekte identifikasie

’n Span navorsers van Mozilla, die Universiteit van Iowa en die Universiteit van Kalifornië gepubliseer resultate van die bestudering van die gebruik van kode op webwerwe vir versteekte gebruikersidentifikasie. Versteekte identifikasie verwys na die generering van identifiseerders gebaseer op indirekte data oor die werking van die blaaier, soos skerm resolusie, lys van ondersteunde MIME-tipes, spesifieke parameters in kopskrifte (HTTP / 2 и HTTPS), ontleding van geïnstalleer plugins en lettertipes, beskikbaarheid van sekere Web API's, spesifiek vir videokaarte kenmerke lewering met behulp van WebGL en Canvas, manipulasie met CSS, met inagneming van verstekwaardes, skandering netwerkpoorte, ontleding van die kenmerke om mee te werk muis и 'n sleutelbord.

'n Studie van die 100 duisend gewildste werwe volgens Alexa-graderings het getoon dat 9040 10.18 van hulle (30.60%) 'n kode gebruik om besoekers in die geheim te identifiseer. Verder, as ons die duisend gewildste webwerwe in ag neem, is so 'n kode in 266% van die gevalle (24.45 webwerwe) opgespoor en onder webwerwe wat plekke in die rangorde van duisendste tot tienduisendste beklee, in 2010% van gevalle (XNUMX-werwe) . Versteekte identifikasie word hoofsaaklik gebruik in skrifte wat deur eksterne dienste verskaf word vir teen bedrog en bots uit te sif, sowel as advertensienetwerke en stelsels wat gebruikersbeweging dophou.

Om die kode te identifiseer wat verborge identifikasie uitvoer, is 'n gereedskapstel ontwikkel FP-inspekteur, wie se kode voorgestelde onder MIT-lisensie. Die gereedskapstel gebruik masjienleertegnieke in kombinasie met statiese en dinamiese ontleding van JavaScript-kode. Daar word beweer dat die gebruik van masjienleer die akkuraatheid van die identifisering van kode vir verborge identifikasie aansienlik verhoog het en 26% meer problematiese skrifte geïdentifiseer het.
in vergelyking met handgespesifiseerde heuristieke.

Baie van die geïdentifiseerde identifikasie-skrifte is nie by tipiese blokkeringslyste ingesluit nie. Ontkoppel, Adsafe,DuckDuckGo, Justuno и Maklik Privaatheid.
Na gestuur kennisgewings Die ontwikkelaars van die EasyPrivacy-bloklys was gestig 'n aparte afdeling vir versteekte identifikasie skrifte. Daarbenewens het FP-Inspector ons toegelaat om 'n paar nuwe maniere te identifiseer om die Web API vir identifikasie te gebruik wat nie voorheen in die praktyk teëgekom is nie.

Daar is byvoorbeeld ontdek dat inligting oor die sleutelborduitleg (getLayoutMap), oorblywende data in die kas gebruik is om inligting te identifiseer (met behulp van die Performance API word vertragings in datalewering ontleed, wat dit moontlik maak om te bepaal of die gebruiker toegang tot 'n sekere domein al dan nie, asook of die bladsy voorheen oopgemaak is), toestemmings wat in die blaaier gestel is (inligting oor toegang tot Kennisgewing, Geolocation en Camera API), die teenwoordigheid van gespesialiseerde randtoestelle en seldsame sensors (gamepads, virtuele realiteit helms, nabyheidsensors). Daarbenewens, wanneer die teenwoordigheid van API's wat vir sekere blaaiers gespesialiseer is en verskille in API-gedrag (AudioWorklet, setTimeout, mozRTCSessionDescription), sowel as die gebruik van die AudioContext API om die kenmerke van die klankstelsel te bepaal, geïdentifiseer is, is dit opgeneem.

Die studie het ook die kwessie van ontwrigting van die standaardfunksionaliteit van werwe ondersoek in die geval van die gebruik van metodes van beskerming teen verborge identifikasie, wat lei tot die blokkering van netwerkversoeke of die beperking van toegang tot die API. Om die API selektief te beperk tot slegs skrifte wat deur FP-Inspector geïdentifiseer is, het getoon dat dit minder ontwrigting tot gevolg het as Brave en Tor Browser deur strenger algemene beperkings op API-oproepe te gebruik, wat moontlik tot datalekkasie kan lei.

Bron: opennet.ru