V Chrome 76 byla díra v implementaci FileSystem API, která umožňuje zjistit z webové aplikace použití režimu inkognito. Od Chrome 76 místo blokování přístupu k FileSystem API, které se používalo jako znak aktivity režimu inkognito, prohlížeč přestal omezovat FileSystem API, ale vymazal provedené změny po relaci. Jak se ukázalo, nová implementace nedostatky, které opět umožňují určit aktivitu režimu inkognito.
Podstata problému spočívá v tom, že relace s FileSystem API v režimu inkognito je dočasná a data se neukládají na disk, ale jsou uchovávána v operační paměti. Proto, času ukládání dat prostřednictvím FileSystem API a vznikajících odchylek (při ukládání do RAM se zaznamenávají trvalé charakteristiky, zatímco při zápisu na disk se latence mění) lze s dostatečnou jistotou posoudit, zda je stránka zobrazována v režimu inkognito, nebo ne. Nedostatkem metody je poměrně dlouhý proces měření odchylek, který může trvat asi minutu ().
Mezitím v Chrome 76 zůstává neopraven jedna další , která umožňuje posuzovat aktivitu režimu inkognito na základě hodnocení uplatněných omezení prostřednictvím API . Pro dočasné úložiště používané v režimu inkognito se nastavují jiná omezení než při úplném ukládání na disk.
Připomeňme, že na určení režimu inkognito mají zájem stránky, které fungují na modelu plného přístupu na základě placeného předplatného (paywall). Pro přilákání nové audience tyto stránky poskytují novým uživatelům na určitou dobu demonstrační plný přístup, což je aktivně využíváno k obcházení paywall. Nejjednodušší způsob, jak získat přístup k placenému obsahu v takových systémech, je použití režimu inkognito, při kterém stránka považuje, že uživatel otevřel stránku poprvé. Taktéž u vydavatelů takové chování není uspokojivé, a proto aktivně využívali související s FileSystem API díru k tomu, aby vynutili vypnutí režimu inkognito pro pokračování prohlížení.
Zdroj: opennet.ru
