Browser-Fingerprinting: Was ist das, wie funktioniert es, verstößt es gegen das Gesetz und wie schützt man sich? Teil 1

Von Selectel: Dieser Artikel ist der erste in einer Reihe von Übersetzungen eines sehr detaillierten Artikels über Browser-Fingerabdrücke und wie die Technologie funktioniert. Hier finden Sie alles, was Sie über dieses Thema wissen wollten, aber nicht zu fragen wagten.

Was sind Browser-Fingerabdrücke?

Das ist eine Methode, die von Websites und Diensten genutzt wird, um Besucher zu verfolgen. Nutzern wird eine einzigartige Kennung (Fingerabdruck) zugewiesen. Diese enthält viele Informationen über die Einstellungen und Funktionen der Browser der Nutzer, die zur Identifizierung verwendet werden. Darüber hinaus ermöglicht der Browser-Fingerabdruck Websites, Verhaltensmuster zu verfolgen, um die Nutzer noch genauer zu identifizieren.

Die Einzigartigkeit ist ungefähr so hoch wie die von echten Fingerabdrücken. Letztere werden von der Polizei zur Suche nach Verdächtigen in Kriminalfällen gesammelt. Die Technologie der Browser-Fingerabdrücke hingegen wird keineswegs zur Verfolgung von Kriminellen eingesetzt. Denn wir sind hier schließlich keine Verbrecher, oder?

Welche Daten sammelt der Browser-Fingerabdruck?

Bereits zu den Anfängen des Internets wussten wir, dass man eine Person über die IP-Adresse verfolgen kann. In diesem Fall ist die Sache jedoch viel komplexer. Der Browser-Fingerabdruck umfasst die IP-Adresse, doch das ist längst nicht die wichtigste Information. Tatsächlich ist die IP nicht erforderlich, um Sie zu identifizieren.

Laut einer Studie der EFF (Electronic Frontier Foundation)umfasst der Browser-Fingerabdruck:

• User-Agent (der nicht nur den Browser, sondern auch die Versionsnummer des Betriebssystems, den Gerätetyp, die Spracheinstellungen, Toolbars usw. enthält).
• Zeitzone.
• Bildschirmauflösung und Farbtiefe.
• Supercookies.
• Cookie-Einstellungen.
• Systemschriftarten.
• Browser-Plugins und deren Versionen.
• Besuchshistorie.

Laut den Ergebnissen der EFF-Studie ist die Einzigartigkeit des Browser-Fingerabdrucks sehr hoch. Statistisch gesehen kommt es nur einmal in 286.777 Fällen zu einer vollständigen Übereinstimmung der Fingerabdrücke zweier unterschiedlicher Benutzer.

Laut einer weiteren Studie, die Genauigkeit der Benutzeridentifikation durch den Browser-Fingerabdruck beträgt 99,24 %. Eine Änderung eines der Browserparameter verringert die Genauigkeit der Benutzeridentifikation lediglich um 0,3 %. Es gibt Tests für den Browser-Fingerabdruck, die zeigen, wie viele Informationen gesammelt werden.

Wie funktioniert der Browser-Fingerabdruck?

Warum ist die Informationssammlung über den Browser überhaupt möglich? Ganz einfach – Ihr Browser tauscht Daten mit dem Webserver aus, wenn Sie eine Adresse anfordern. In der Regel weisen Websites und Dienste jedem Benutzer eine eindeutige Kennung zu.

Zum Beispiel „gh5d443ghjflr123ff556ggf“.

Diese Zeile aus zufälligen Buchstaben und Zahlen hilft dem Server, Sie zu erkennen und Ihren Browser sowie Ihre Präferenzen mit Ihnen zu verknüpfen. Aktionen, die Sie online ausführen, werden mit einem ähnlichen Code versehen.

Wenn Sie beispielsweise bei Twitter eingeloggt sind und dort Informationen über Sie vorhanden sind, werden all diese Daten automatisch mit der gleichen Kennung verknüpft.

Natürlich wird dieser Code nicht bis ans Ende Ihrer Tage mit Ihnen verbunden sein. Wenn Sie beginnen, von einem anderen Gerät oder Browser aus zu surfen, wird sich die Kennung wahrscheinlich ebenfalls ändern.

Wie sammeln Websites Nutzerdaten?

Dies ist ein zweistufiger Prozess, der sowohl auf der Server- als auch auf der Client-Seite funktioniert.

Auf der Serverseite

Zugriffsprotokolle der Website

In diesem Fall geht es um die Erfassung von Daten, die vom Browser gesendet werden. Mindestens sind dies:

• Angefordertes Protokoll.
• Angeforderte URL.
• Ihre IP.
• Referer.
• User-Agent.

Header

Webserver erhalten sie von Ihrem Browser. Die Header sind wichtig, da sie sicherstellen, dass die angeforderte Website mit Ihrem Browser kompatibel ist.

Zum Beispiel ermöglicht die Information im Header der Website zu erkennen, ob Sie einen PC oder ein Mobilgerät verwenden. Im letzteren Fall erfolgt eine Weiterleitung zur für mobile Geräte optimierten Version. Leider fließen diese Daten ebenfalls in Ihren Fingerabdruck ein.

Cookies

Hier ist alles klar. Webserver tauschen ständig Cookies mit Browsern aus. Wenn Sie in den Einstellungen angeben, dass Cookies verwendet werden dürfen, werden diese auf Ihrem Gerät gespeichert und an den Server gesendet, wann immer Sie eine Website besuchen, die Sie zuvor bereits besucht haben.

Cookies helfen, das Surfen komfortabler zu gestalten, sie öffnen jedoch auch zusätzliche Informationen über Sie.

Canvas-Fingerprinting

In dieser Methode wird das HTML5-Element Canvas verwendet, das auch von WebGL zur Visualisierung von 2D- und 3D-Grafiken im Browser genutzt wird.

Diese Methode "zwingt" den Browser normalerweise dazu, grafische Inhalte zu verarbeiten, einschließlich Bildern, Texten oder beidem gleichzeitig. Für Sie ist dieser Prozess unsichtbar, da alles im Hintergrund geschieht.

Sobald der Prozess abgeschlossen ist, wandelt das Canvas-Fingerprinting die Grafik in einen Hash um, der dann der einzigartige Identifikator wird, von dem wir vorher gesprochen haben.

Diese Methode ermöglicht das Sammeln der folgenden Informationen über Ihr Gerät:

• Grafikprozessor.
• Grafiktreiber.
• Prozessor (wenn kein dedizierter Grafikchip vorhanden ist).
• Installierte Schriftarten.

Clientseitiges Logging

Hierbei wird angenommen, dass Ihr Browser eine große Menge an Informationen austauscht, dank:

Adobe Flash und JavaScript

Laut FAQ AmIUnique, wenn JavaScript aktiviert ist, werden Ihre Plugin-Daten oder Hardware-Spezifikationen nach außen übermittelt.

Wenn Flash installiert und aktiviert ist, bietet dies einem externen "Beobachter" noch mehr Informationen, einschließlich:

• Ihre Zeitzone.
• Die Version des Betriebssystems.
• Die Bildschirmauflösung.
• Vollständige Liste der im System installierten Schriftarten.

Cookies

Sie spielen eine sehr wichtige Rolle beim Logging. In der Regel müssen Sie entscheiden, ob Sie dem Browser erlauben, Cookies zu verarbeiten, oder ob Sie sie vollständig entfernen möchten.

Im ersten Fall erhält der Webserver eine enorme Menge an Informationen über Ihr Gerät und Ihre Vorlieben. Wenn Sie die Verwendung von Cookies nicht genehmigen, erhält die Website dennoch einige Daten über Ihren Browser.

Warum wird die Technologie des Browser-Fingerprints benötigt?

Hauptsächlich, um dem Benutzer eine für sein Gerät optimierte Website bereitzustellen, ganz gleich, ob er mit einem Tablet oder einem Smartphone ins Internet geht.

Darüber hinaus wird die Technologie für Werbung verwendet. Sie ist ein ideales Werkzeug für Datenanalysen.

Auf diese Weise können Anbieter von Waren oder Dienstleistungen sehr präzise zielgerichtete Werbekampagnen mit Personalisierung erstellen. Die Genauigkeit des Targetings ist viel höher, als wenn nur IP-Adressen verwendet werden.

Beispielsweise können Werbetreibende Browser-Fingerabdrücke nutzen, um eine Liste von Website-Besuchern zu erhalten, deren Bildschirmauflösung als niedrig angesehen werden kann (z. B. 1300*768), die nach qualitativ hochwertigen Monitoren in dem Online-Shop des Verkäufers suchen. Oder von Nutzern, die einfach nur die Website durchstöbern, ohne etwas kaufen zu wollen.

Die gesammelten Informationen können dann verwendet werden, um gezielte Werbung für hochauflösende Monitore an Nutzer mit kleinen und veralteten Bildschirmen auszuspielen.

Darüber hinaus wird die Technologie des Browser-Fingerabdrucks auch für folgende Zwecke verwendet:

• Aufdeckung von Betrug und Botnetzen. Dies ist eine tatsächlich nützliche Funktion für Banken und Finanzinstitute. Sie ermöglicht es, das Verhalten von Nutzern von der Aktivität von Angreifern zu unterscheiden.
• Bestimmung von VPN- und Proxy-Nutzern. Geheimdienste können diese Methode verwenden, um Internetnutzer mit versteckten IP-Adressen zu verfolgen.

Letztendlich, selbst wenn Browser-Fingerabdrücke für legitime Zwecke verwendet werden, hat dies dennoch negative Auswirkungen auf die Privatsphäre der Nutzer, insbesondere wenn diese versuchen, sich mit einem VPN abzusichern.

Zudem können Browser-Fingerabdrücke das beste Werkzeug für Hacker sein. Wenn genaue Informationen über Ihr Gerät bekannt sind, können spezielle Exploits eingesetzt werden, um das Gerät zu hacken. Das ist nicht schwer — jeder Cyberkriminelle kann eine gefälschte Website mit einem Fingerabdruck-Script erstellen.

Wir erinnern daran, dass dieser Artikel nur der erste Teil ist, gefolgt von zwei weiteren. In diesen werden die rechtlichen Aspekte der Erhebung persönlicher Daten der Nutzer, die Nutzungsmöglichkeiten dieser Daten und Methoden zum Schutz vor zu aktiven "Sammlern" behandelt.

Quelle: habr.com