Идентификация чрез анализ на външни обработчици на протоколи в браузера

Разработчиците на библиотеката fingerprintjs, която генерира идентификатори на браузера по пасивен начин на базата на косвени признаци като резолюцията на екрана, особеностите на WebGL, списъците на инсталирани плъгини и шрифтове, представиха нов метод за идентификация, базиран на оценка на инсталираните типови приложения от потребителя и работещ чрез проверка на поддръжката в браузера на допълнителни обработчици на протоколи. Кодът на скрипта с реализацията на метода е публикуван под лиценз MIT.

Проверка се извършва на базата на анализ на обвързването на обработчиците с 32 популярни приложения. Например, определяйки наличието на обработчици на URL схеми telegram://, slack:// и skype:// в браузера, можем да направим извод за наличието на приложенията telegram, slack и skype в системата и да използваме тази информация като признак при генериране на идентификатора на системата. Тъй като списъкът на обработчиците е еднакъв за всички браузъри, идентификаторът не се променя при смяна на браузера и може да се прилага в Chrome, Firefox, Safari, Brave, Yandex Browser, Edge и дори в Tor Browser.

Методът позволява генериране на 32-битни идентификатори, което поотделно не позволява постигане на висока точност, но има смисъл като допълнителен признак в комбинация с други параметри. Забележителен минус на метода е явността на опитите за идентификация за потребителя — при генериране на идентификатора на предложената демонстрационна страница в долния десен ъгъл се отваря малко, но явно видимо прозорче, в което се пробват обработчиците. Този минус не се проявява в Tor Browser, където идентификаторът може да бъде изчислен незабелязано.

За определяне наличието на приложение, скриптът се опитва да отвори в изскачащ прозорец линк, свързан с външен обработчик, след което браузърът извежда диалог с предложение за отваряне на съдържанието в свързаното приложение, ако проверяваното приложение присъства, или показва страница с грешка, ако приложението не е налично в системата. Чрез последователно пробване на типови външни обработчици и анализ на върнатата грешка можем да направим извод за наличието на проверяваните програми в системата.

В Chrome 90 за Linux метод не сработа и браузер на все попытки проверки обработчика открыл стандартный диалог подтверждения операции (в Chrome за Windows и macOS метод работает). В Firefox 88 за Linux, как в обычном режиме, так и в режиме инкогнито, скрипт определил наличие установленных дополнительных приложений из списка, а точность идентификации составила 99.87% (35 совпадений из 26 тысяч проведённых тестов). В запущенном на той же системе Tor Browser был сгенерирован идентификатор, совпадающий с тестом в Firefox.

Интересно, что дополнительная защита в Tor Browser сыграла злую шутку и обернулась возможностью провести идентификацию незаметно для пользователя. Из-за отключения в Tor Browser диалогов подтверждения использования внешних обработчиков проверочные запросы можно открывать в iframe, а не в popup-окне (для разделения наличия и отсутствия обработчиков используется то, что правила same-origin блокируют доступ к страницам с ошибкой и разрешают к страницам about:blank). Из-за защиты от флуда проверка в Tor Browser занимает заметно больше времени (10 секунд на приложение).

Източник: opennet.ru