30% от хиляда най-големи сайта използват скриптове за скрита идентификация

Група изследователи от Mozilla, Университета на Айова и Калифорнийския университет публикува обобщават изследването на приложението на код за скрита идентификация на потребителите в сайтовете. Под скритата идентификация се разбира генерирането на идентификатори на базата на косвени данни за работата на браузера, като например резолюцията на екрана, списък на поддържаните MIME типове, специфични параметри в заглавките (HTTP/2 и HTTPS), анализ на инсталираните плъгини и шрифтове, наличността на определени Web API, специфични за видео картите характеристики визуализации с WebGL и Canvas, манипулации с CSS, отчитане на стойности по подразбиране, сканиране на мрежови портове, анализ на особеностите на работата с мишка и клавиатура.

Изследването на 100 хиляди от най-популярните сайтове по рейтинга на Alexa показа, че на 9040 от тях (10.18%) се прилага код за скрита идентификация на посетителите. При това, ако се разглеждат хиляда от най-популярните сайтове, такъв код е установен в 30.60% от случаите (266 сайта), а сред сайтовете, заемащи места от хиляда до десет хиляди в рейтинга, в 24.45% от случаите (2010 сайта). Главно скритата идентификация се прилага в скриптове, предоставени от външни услуги за борба с измами и филтриране на ботове, както и рекламни мрежи и системи за проследяване на потребителите.

За идентифициране на кода, осъществяващ скритата идентификация, е разработен инструментариум FP-Inspector, чийто код е предложен е под лицензия MIT. В инструментариума се използват методи на машинно обучение в комбинация със статичен и динамичен анализ на JavaScript кода. Утвърдило се, че използването на машинно обучение е позволило значително да се повиши точността на идентифициране на кода за скрита идентификация и да се открият с 26% повече проблемни скриптове
в сравнение с ръчно зададената хевристика.

Много от идентифицираните скриптове за идентификация не присъстваха в стандартните списъци за блокиране Disconnect, Adsafe, DuckDuckGo, Justuno и EasyPrivacy.
След изпращането на уведомление от разработчиците на списъка за блокиране EasyPrivacy е създаден отделен раздел за скриптове за скрита идентификация. Освен това, FP-Inspector е позволил да се открият някои нови начини за използване на Web API за идентификация, които досега не са били наблюдавани на практика.

Например, разкрито е използването на информация за идентификация на разположението на клавиатурата (getLayoutMap), останки в кеша (чрез API Performance се анализират закъсненията при предаване на данни, което позволява да се определи дали потребителят е взаимодействал с определен домейн или не, както и дали е била отворена предишна страница), зададени в браузъра права (информация за достъпа до Notification, Geolocation и Camera API), наличието на специализирани периферни устройства и редки сензори (контролери, шлемове за виртуална реалност, сензори за приближаване). Освен това, наблюдавано е отчитането при идентификация на наличието на специализирани API за определени браузъри и различия в поведението на API (AudioWorklet, setTimeout, mozRTCSessionDescription), както и използването на API AudioContext за определяне на характеристиките на звуковата система.

В хода на изследването бе проучен въпросът за нарушаване на нормалната функционалност на сайтовете в случай на прилагане на методи за защита от скрито идентифициране, водещи до блокиране на мрежови заявки или ограничаване на достъпа до API. Показа се, че селективното ограничаване на API само за скриптове, открити от FP-Inspector, води до по-малко нарушения в работата, отколкото при използване в Brave и Tor Browser на по-строги общи ограничения на извикванията на API, които потенциално водят до изтичане на данни.

Източник: opennet.ru