30% от хилядите най-големи сайтове използват скриптове за скрита идентификация

Екип от изследователи от Mozilla, Университета на Айова и Университета на Калифорния публикувано резултати от проучване на използването на код в уебсайтове за скрита идентификация на потребителите. Скритата идентификация се отнася до генерирането на идентификатори въз основа на косвени данни за работата на браузъра, като напр Резолюция на екрана, списък на поддържаните типове MIME, специфични параметри в заглавките (HTTP / 2 и HTTPS), анализ на инсталираните добавки и шрифтове, наличие на определени уеб API, специфични за видеокарти Удобства изобразяване с помощта на WebGL и Платно, манипулация с CSS, като се вземат предвид стойностите по подразбиране, сканиране мрежови портове, анализ на характеристиките на работа с мишка и клавиатура.

Проучване на 100 хиляди най-популярни сайтове според рейтинга на Alexa показа, че 9040 от тях (10.18%) използват код за тайна идентификация на посетителите. Освен това, ако вземем предвид хилядата най-популярни сайтове, тогава такъв код е открит в 30.60% от случаите (266 сайта), а сред сайтовете, заемащи места в класацията от хилядна до десет хилядна, в 24.45% от случаите (2010 сайтове) . Скритата идентификация се използва главно в скриптове, предоставени от външни услуги за борба с измамите и отсяване на ботове, както и рекламни мрежи и системи за проследяване на движението на потребителите.

За идентифициране на кода, който извършва скрита идентификация, беше разработен инструментариум FP-инспектор, чийто код предложено под лиценз на MIT. Инструментариумът използва техники за машинно обучение в комбинация със статичен и динамичен анализ на JavaScript код. Твърди се, че използването на машинно обучение е увеличило значително точността на идентифициране на код за скрита идентификация и е идентифицирало 26% повече проблемни скриптове
в сравнение с ръчно зададени евристики.

Много от идентифицираните идентификационни скриптове не са включени в типичните списъци за блокиране. Прекъсване, Adsafe,DuckDuckGo, Justuno и EasyPrivacy.
След изпращане известия Разработчиците на списъка за блокиране на EasyPrivacy бяха създаден отделен раздел за скрити идентификационни скриптове. В допълнение, FP-Inspector ни позволи да идентифицираме някои нови начини за използване на Web API за идентификация, които не са били срещани преди в практиката.

Например беше открито, че информацията за подредбата на клавиатурата (getLayoutMap), остатъчните данни в кеша са използвани за идентифициране на информация (с помощта на API за производителност се анализират закъсненията в доставката на данни, което дава възможност да се определи дали потребителят е осъществил достъп до определен домейн или не, както и дали страницата е била отваряна преди това), разрешения, зададени в браузъра (информация за достъп до Notification, Geolocation и Camera API), наличие на специализирани периферни устройства и редки сензори (геймпадове, каски за виртуална реалност, сензори за близост). В допълнение, при идентифициране на наличието на API, специализирани за определени браузъри и разлики в поведението на API (AudioWorklet, setTimeout, mozRTCSessionDescription), както и използването на API на AudioContext за определяне на характеристиките на звуковата система, беше записано.

Проучването също така разгледа въпроса за нарушаване на стандартната функционалност на сайтовете в случай на използване на методи за защита срещу скрита идентификация, което води до блокиране на мрежови заявки или ограничаване на достъпа до API. Доказано е, че селективното ограничаване на API само до скриптове, идентифицирани от FP-Inspector, води до по-малко смущения, отколкото Brave и Tor Browser, използвайки по-строги общи ограничения за API извиквания, което потенциално води до изтичане на данни.

Източник: opennet.ru