Skupina výzkumníků z Mozilly, Iowské univerzity a Kalifornské univerzity závěry studie o použití kódu na webech pro skrytou identifikaci uživatelů. Skrytou identifikací se rozumí generování identifikátorů na základě nepřímých údajů o chování prohlížeče, jako jsou , seznam podporovaných MIME typů, specifické parametry v hlavičkách ( a ), analýza nainstalovaných , dostupnost určitého Web API specifického pro grafické karty vykreslování pomocí WebGL a , s CSS, , síťových portů, analýza zvláštností práce s a .
Studie 100 tisíc nejpopulárnějších webů podle žebříčku Alexa ukázala, že na 9040 z nich (10,18%) se používá kód pro skrytou identifikaci návštěvníků. Přitom, pokud zohledníme tisíc nejpopulárnějších webů, byl podobný kód zjištěn ve 30,60% případů (266 webů), a mezi weby, které se umisťují v žebříčku na pozicích od tisící do desátého tisíce, ve 24,45% případů (2010 webů). Většinou se skrytá identifikace používá v skriptech poskytovaných externími službami pro a filtrování botů, jakož i reklamními sítěmi a systémy sledování pohybu uživatelů.
Pro identifikaci kódu, který provádí skrytou identifikaci, byl vyvinut nástroj , jehož kód je licencován pod MIT. V nástroji se používají metody strojového učení v kombinaci se statickou a dynamickou analýzou JavaScriptového kódu. Tvrdí se, že použití strojového učení umožnilo výrazně zvýšit přesnost detekce kódu pro skrytou identifikaci a odhalit o 26% více problematických skriptu
ve srovnání s ručně zadanou heuristikou.
Mnoho ze zjištěných skriptů identifikace chybělo v standardních blokovacích seznamech , , DuckDuckGo, a .
Po zaslání vývojáři seznamu blokování EasyPrivacy byl vyhrazený oddíl pro skripty skryté identifikace. Kromě toho FP-Inspector umožnil odhalit některé nové způsoby použití Web API pro identifikaci, které dříve nebyly v praxi zaznamenány.
Například bylo zjištěno použití pro identifikaci informací o rozložení klávesnice (getLayoutMap), zbytkových dat v cache (pomocí API Performance se analyzují zpoždění při přenosu dat, což umožňuje určit, zda si uživatel zavolal konkrétní doménu, nebo zda byla dříve stránka otevřena), udělených v prohlížeči oprávnění (informace o přístupu k Notification, Geolocation a Camera API), přítomnosti specializovaných periferních zařízení a vzácných senzorů (herní ovladače, helmice virtuální reality, senzory přiblížení). Dále byly zaznamenány okolnosti identifikace přítomnosti specializovaných API pro určité prohlížeče a rozdíly v chování API (AudioWorklet, setTimeout, mozRTCSessionDescription), jakož i použití API AudioContext pro určení vlastností zvukového systému.
V průběhu výzkumu byla rovněž zkoumána otázka porušování standardní funkčnosti webových stránek v případě použití metod ochrany proti skryté identifikaci, vedoucích k blokování síťových požadavků nebo omezení přístupu k API. Bylo prokázáno, že selektivní omezení API pouze pro skripty nalezené FP-Inspectorem vede k menším porušením v chodu než při použití v Brave a Tor Browser přísnějších obecných omezení volání API, potenciálně vedoucích k úniku dat.
Zdroj: opennet.ru
