Намерен е метод за определяне на преглед в режим инкогнито в Chrome 76

В Chrome 76 беше прикрита дупка в реализацията на FileSystem API, която позволява да се определи от уеб приложение прилагането на режим инкогнито. Започвайки от Chrome 76, вместо блокиране на достъпа до FileSystem API, което беше използвано като признак за активност в режим инкогнито, браузърът спря да ограничава FileSystem API, но очистваше направените промени след сесията. Както се оказа, новата реализация има недостатъци, които отново позволяват да се определи активността на режима инкогнито.

Същността на проблема е, че сесия с FileSystem API в режим инкогнито е временна, а данните не се запазват на диска и се съхраняват в оперативната памет. Съответно, измервайки времето за запазване на данни чрез FileSystem API и възникналите отклонения (при запазване в RAM се фиксират постоянни характеристики, докато при запис на диск закъсненията се променят) можем да судим достатъчно уверено дали страницата се разглежда в режим инкогнито или не. Недостатък на метода е доста продължителния процес на измерване на отклоненията, който може да отнеме около минута (демонстрация).

В същото време в Chrome 76 остава неизправена друга проблем, позволяваща да се съди за активността на режима инкогнито на база оценка на установените ограничения чрез API Quota Management. За използваното в режим инкогнито временно хранилище се установяват различни лимити в сравнение с пълноценото съхранение на диска.

Напомняме, че в определението на режима инкогнито са заинтересувани сайтове, работещи по модел, предоставящ пълен достъп по платена абонаментна схема (paywall). За привличане на нова аудитория, подобни сайтове предоставят на новите потребители за известно време демонстрационен пълен достъп, което активно се използва за заобикаляне на paywall. Най-простият начин да получите достъп до платено съдържание в такива системи е използването на режим инкогнито, при който сайтът счита, че потребителят е отворил страницата за първи път. Издателите не са доволни от такова поведение, затова активно използваха свързаната с FileSystem API дупка, за да изискват деактивиране на режима инкогнито за продължаване на прегледа.

Източник: opennet.ru