В uBlock Origin е добавена защита от нов метод за проследяване, манипулиращ имена в DNS.

Потребителите на uBlock Origin беше забелязано използване от рекламни мрежи и системи за уеб анализ на нова техника за проследяване на движения и подмяна на рекламни блокове, която не може да бъде блокирана в uBlock Origin и други добавки за филтриране на нежелано съдържание.

Същността на метода е, че собствениците на сайтове, които искат да разположат код за проследяване или реклами, създават отделен поддомен в DNS, който сочи към сървър на рекламната мрежа или уеб анализ (например, създава се CNAME запис f7ds.liberation.fr, сочещ към сървъра за проследяване liberation.eulerian.net). По този начин рекламният код формално се зарежда от същия основен домейн, от който е сайтът, и следователно не е подложен на блокиране. Името на поддомена се избира под формата на произволен идентификатор, което затруднява блокирането по маска, тъй като свързаният с рекламната мрежа поддомен е труден за различаване от поддомени за зареждане на други локални ресурси на страницата.

Разработчик на uBlock Origin предложи да се използва разрешаване на име в DNS за определяне на свързания чрез CNAME хост. Метод е реализиран започвайки от
експериментален релиз uBlock Origin 1.24.1b3 за Firefox. За активиране на проверка в разширените настройки е необходимо да се зададе стойност cnameAliasList на «*», в този случай всички проверки на черните списъци ще бъдат дублирани и за имена, определяни чрез CNAME. При актуализиране е необходимо да се предоставят разрешения за получаване на информация от DNS.

За Chrome проверката на CNAME не може да бъде добавена, тъй като API dns.resolve() е достъпен само за добавки в Firefox и не се поддържа в Chrome. От гледна точка на производителността, определянето на CNAME не трябва да доведе до допълнителни разходи, освен разходите за процесорни ресурси за повторно прилагане на правилата за друго име, тъй като при достъпа до ресурса браузърът вече е извършил разрешаване и стойността трябва да бъде кеширана. Методът за защита може да бъде заобиколен чрез директно свързване на името с IP без използване на CNAME, но такъв подход усложнява поддръжката (в случай на смяна на IP адреса на рекламната мрежа ще е необходимо да се погрижат данните на всички DNS сървъри на издателите) и може да бъде заобиколен чрез създаване на черен списък на IP адресите на тракери.

Източник: opennet.ru