Un equip d'investigadors de Mozilla, la Universitat d'Iowa i la Universitat de Califòrnia resultats de l'estudi de l'ús del codi en llocs web per a la identificació oculta d'usuaris. La identificació oculta fa referència a la generació d'identificadors a partir de dades indirectes sobre el funcionament del navegador, com ara , llista de tipus MIME admesos, paràmetres específics a les capçaleres ( и ), anàlisi d'instal·lats , disponibilitat de determinades API web, específiques de les targetes de vídeo renderització mitjançant WebGL i , amb CSS, , ports de xarxa, anàlisi de les característiques de treballar amb и .
Un estudi dels 100 mil llocs més populars segons les puntuacions d'Alexa va mostrar que 9040 d'ells (10.18%) utilitzen un codi per identificar en secret els visitants. A més, si tenim en compte els mil llocs més populars, aquest codi es va detectar en el 30.60% dels casos (266 llocs), i entre els llocs que ocupaven llocs en el rànquing des de la mil·lèsima fins a la deu mil·lèsima, en el 24.45% dels casos (llocs de 2010) . La identificació oculta s'utilitza principalment en els scripts proporcionats per serveis externs i eliminació de bots, així com xarxes de publicitat i sistemes de seguiment del moviment dels usuaris.
Per identificar el codi que duu a terme la identificació oculta, es va desenvolupar un conjunt d'eines , el codi de la qual sota llicència MIT. El conjunt d'eines utilitza tècniques d'aprenentatge automàtic en combinació amb l'anàlisi estàtica i dinàmica del codi JavaScript. S'afirma que l'ús de l'aprenentatge automàtic ha augmentat significativament la precisió del codi d'identificació per a la identificació oculta i ha identificat un 26% més d'scripts problemàtics.
en comparació amb les heurístiques especificades manualment.
Molts dels scripts d'identificació identificats no es van incloure a les llistes de bloqueig típiques. , , DuckDuckGo, и .
Després d'enviar Els desenvolupadors de la llista de bloqueig EasyPrivacy eren una secció separada per als scripts d'identificació ocults. A més, FP-Inspector ens va permetre identificar algunes noves maneres d'utilitzar l'API Web per a la identificació que no es trobaven anteriorment a la pràctica.
Per exemple, es va descobrir que la informació sobre la disposició del teclat (getLayoutMap), les dades residuals de la memòria cau s'utilitzava per identificar la informació (utilitzant l'API de rendiment, s'analitzen els retards en l'entrega de dades, la qual cosa permet determinar si l'usuari va accedir a un determinat domini o no, així com si la pàgina s'ha obert prèviament), els permisos establerts al navegador (informació sobre l'accés a l'API de notificació, geolocalització i càmera), la presència de dispositius perifèrics especialitzats i sensors rars (gamepads, cascos de realitat virtual, etc.). sensors de proximitat). A més, en identificar la presència d'API especialitzades per a determinats navegadors i les diferències en el comportament de l'API (AudioWorklet, setTimeout, mozRTCSessionDescription), així com l'ús de l'API AudioContext per determinar les característiques del sistema de so, es va registrar.
L'estudi també va examinar el problema de la interrupció de la funcionalitat estàndard dels llocs en el cas d'utilitzar mètodes de protecció contra la identificació oculta, que condueixin al bloqueig de sol·licituds de xarxa o a la restricció de l'accés a l'API. S'ha demostrat que la restricció selectiva de l'API només als scripts identificats per FP-Inspector provoca menys interrupcions que Brave i Tor Browser mitjançant restriccions generals més estrictes a les trucades de l'API, la qual cosa pot provocar una fuga de dades.
Font: opennet.ru