Fingerprint des Browsers: Was ist das, wie funktioniert es, verstößt es gegen das Gesetz und wie schützt man sich. Teil 2

Von Selectel: das ist der zweite Teil der Übersetzung des Artikels über Browser-Fingerabdrücke (hier kann man den ersten lesen). Heute sprechen wir über die Rechtmäßigkeit der Erfassung von Browser-Fingerabdrücken verschiedener Nutzer durch Dritte und Webseiten und darüber, wie man sich gegen die Erfassung von Informationen schützen kann.

Was sagt uns die Rechtmäßigkeit der Erfassung von Browser-Fingerabdrücken?

Wir haben dieses Thema ausführlich untersucht, konnten aber keine konkreten Gesetze finden (es geht um die Gesetzgebung der USA – Anm. d. Red.). Wenn Sie Artikel aus Gesetzen nennen können, die die Erfassung von Browser-Fingerabdrücken in Ihrem Land regeln, lassen Sie es uns bitte wissen.

Dagegen gibt es in der Europäischen Union Gesetze und Richtlinien (insbesondere die DSGVO und die ePrivacy-Richtlinie), die die Nutzung von Browser-Fingerabdrücken regeln. Das ist durchaus rechtmäßig, aber nur, wenn die Organisation die Notwendigkeit für diese Tätigkeit nachweisen kann.

Außerdem ist die Zustimmung des Nutzers erforderlich, um Informationen zu verwenden. Allerdings gibt es zwei Ausnahmen von dieser Regel:

• Wenn der Browser-Fingerabdruck erforderlich ist für "den einzigen Zweck der Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz".
• Wenn die Erfassung von Browser-Fingerabdrücken erforderlich ist, um die Benutzeroberfläche eines bestimmten Geräts anzupassen. Zum Beispiel, wenn Sie mit einem mobilen Gerät im Internet surfen, kommt die Technik zur Erfassung und Analyse des Browser-Fingerabdrucks zum Einsatz, damit Sie eine angepasste Version erhalten.

Wahrscheinlich gibt es ähnliche Gesetze auch in anderen Ländern. Der entscheidende Punkt hier ist, dass der Dienst oder die Webseite die Zustimmung des Nutzers benötigt, um mit Browser-Fingerabdrücken zu arbeiten.

Aber es gibt ein Problem – es ist nicht immer eindeutig. Meistens sieht der Nutzer nur ein Banner mit "Ich stimme den Nutzungsbedingungen zu". Ja, im Banner gibt es immer einen Link zu den Bedingungen selbst. Aber wer liest die schon?

Daher gibt der Nutzer in der Regel selbst die Erlaubnis zur Erfassung von Browser-Fingerabdrücken und zur Analyse dieser Informationen, wenn er auf die Schaltfläche "einverstanden" klickt.

Test des Fingerabdrucks Ihres Browsers

Okay, oben haben wir besprochen, welche Daten gesammelt werden können. Aber wie sieht es mit der konkreten Situation – Ihrem eigenen Browser – aus?

Um zu verstehen, welche Informationen damit gesammelt werden können, ist es am einfachsten, die Ressource zu nutzen Device InfoEr wird zeigen, was ein externer Beobachter aus Ihrem Browser erhalten kann.

Sehen Sie diese Liste links? Das ist bei weitem nicht alles, der Rest der Liste wird beim Scrollen der Seite angezeigt. Stadt und Region auf dem Screenshot werden wegen der Verwendung eines VPN durch die Autoren nicht angezeigt.

Es gibt auch einige andere Websites, die helfen, einen Browser-Fingerabdruck-Test durchzuführen. Das sind Panopticlick von EFF und AmIUnique, einer Open-Source-Webseite.

Was ist die Entropie eines Browser-Fingerabdrucks?

Das ist eine Bewertung der Einzigartigkeit Ihres Browser-Fingerabdrucks. Je höher der Entropiewert, desto einzigartiger ist der Browser.

Die Entropie eines Browser-Fingerabdrucks wird in Bits gemessen. Sie können diesen Wert auf der Webseite Panopticlick überprüfen.

Wie genau sind diese Tests?

Im Allgemeinen kann man ihnen vertrauen, da sie genau die gleichen Daten sammeln wie externe Ressourcen. So könnte man die Datensammlung punktuell bewerten.

Wenn es jedoch um die Bewertung der Einzigartigkeit geht, sieht es hier nicht so gut aus, und das aus folgenden Gründen:

• Test-Websites berücksichtigen keine zufälligen Fingerabdrücke, die man beispielsweise mit Brave Nightly erhalten kann.
• Websites wie Panopticlick und AmIUnique haben riesige Datenarchive, in denen Informationen über alte und veraltete Browser enthalten sind, deren Benutzer den Test absolviert haben. Wenn Sie also den Test mit einem neuen Browser durchführen, erhalten Sie wahrscheinlich eine hohe Bewertung für die Einzigartigkeit Ihres Fingerabdrucks, obwohl Hunderte anderer Benutzer denselben Browser in derselben Version verwenden.
• Schließlich berücksichtigen sie nicht die Bildschirmauflösung oder Änderungen der Fenstergröße des Browsers. Zum Beispiel kann die Schriftart zu groß oder zu klein sein oder die Farbe könnte das Lesen des Textes erschweren. Was auch immer der Grund sein mag, Tests berücksichtigen dies nicht.

Insgesamt sind Tests zur Einzigartigkeit von Fingerabdrücken nicht nutzlos. Sie sollten ausprobiert werden, um Ihr Entropie-Niveau zu erfahren. Am besten ist es jedoch, einfach zu bewerten, welche Informationen Sie "nach außen" geben.

Wie man sich vor der Erfassung von Browser-Fingerabdrücken schützt (einfache Methoden)

Es sollte sofort gesagt werden, dass es nicht möglich ist, die Erstellung und Erfassung eines Browser-Fingerabdrucks vollständig zu blockieren — das ist eine grundlegende Technologie. Wenn Sie sich zu 100 % schützen möchten, sollten Sie einfach das Internet nicht nutzen.

Aber die Menge an Informationen, die von externen Diensten und Ressourcen gesammelt wird, lässt sich reduzieren. Hierbei können solche Werkzeuge helfen.

Der Browser Firefox mit modifizierten Einstellungen

Dieser Browser ist nicht schlecht, wenn es um den Schutz personenbezogener Daten geht. Kürzlich haben die Entwickler die Benutzer von Firefox vor dem Sammeln von Fingerabdrücken durch Dritte geschützt.

Aber das Schutzniveau kann erhöht werden. Dazu müssen die Einstellungen des Browsers aufgerufen werden, indem in die Adresszeile „about:config“ eingegeben wird. Dann wählen wir die folgenden Optionen aus und ändern sie:

• webgl.disabled — wählen Sie „true“.
• geo.enabled — wählen Sie „false“.
• privacy.resistFingerprinting — wählen Sie „true“. Diese Option bietet einen grundlegenden Schutz gegen das Sammeln von Browser-Fingerabdrücken. Am effektivsten ist sie in Kombination mit anderen Optionen aus der Liste.
• privacy.firstparty.isolate — ändern auf „true“. Diese Option ermöglicht es, Cookies von First-Party-Domänen zu blockieren.
• media.peerconnection.enabled — optionale Option, aber falls Sie mit VPN arbeiten, sollten Sie sie wählen. Sie ermöglicht es, WebRTC-Lecks und die Anzeige Ihrer IP-Adresse zu verhindern.

Der Browser Brave

Ein weiterer benutzerfreundlicher Browser, der ernsthaften Schutz der personenbezogenen Daten bietet. Der Browser blockiert verschiedene Arten von Trackern, verwendet überall HTTPS, wo es möglich ist, und blockiert Skripte.

Darüber hinaus bietet Brave die Möglichkeit, einen Großteil der Werkzeuge zum Sammeln von Browser-Fingerabdrücken zu blockieren.

Wir haben Panopticlick verwendet, um das Entropie-Niveau zu bewerten. Im Vergleich zu Opera ergab sich 16,31 Bit statt 17,89. Der Unterschied ist nicht enorm, aber er ist dennoch vorhanden.

Die Benutzer von Brave haben zahlreiche Möglichkeiten zum Schutz vor dem Sammeln von Browser-Fingerabdrücken vorgeschlagen. Es gibt so viele Details, dass sie in einem Artikel nicht aufgelistet werden können. Alle Einzelheiten sind auf der Github-Seite des Projekts verfügbar..

Spezialisierte Browsererweiterungen

Erweiterungen sind ein heikles Thema, da sie manchmal die Einzigartigkeit des Browser-Fingerabdrucks erhöhen. Ob sie verwendet werden oder nicht, ist die Wahl des Benutzers.

Hier sind einige Empfehlungen:

• Chameleon — ändert die Werte des user-agent. Sie können beispielsweise eine Häufigkeit von „alle 10 Minuten“ einstellen.
• Trace — Schutz vor verschiedenen Varianten des Sammelns von Fingerabdrücken.
• User-Agent Switcher — macht ungefähr dasselbe wie Chameleon.
• Canvasblocker — Schutz vor dem Sammeln digitaler Fingerabdrücke über das Canvas.

Verwenden Sie besser eine einzelne Erweiterung, anstatt sofort alle.

Tor-Browser ohne Tor Netzwerk

Auf Habr ist es nicht notwendig zu erklären, was der Tor-Browser ist. Standardmäßig bietet er eine Reihe von Werkzeugen zum Schutz personenbezogener Daten:

• HTTPS überall.
• NoScript.
• Blockierung von WebGl.
• Blockierung der Extraktion von Canvas-Bildern.
• Änderung der Betriebssystemversion.
• Sperrung von Informationen über Zeitzone und Spracheinstellungen.
• Alle weiteren Funktionen zur Blockierung von Überwachungswerkzeugen.

Aber das Tor-Netzwerk beeindruckt nicht so sehr wie der Browser selbst. Der Grund dafür ist:

• Es funktioniert langsam. Das liegt daran, dass es etwa 6.000 Server gibt, aber rund 2 Millionen Nutzer.
• Viele Websites blockieren Tor-Traffic – zum Beispiel Netflix.
• Es kann zu Lecks persönlicher Informationen kommen, eines der schwerwiegendsten ereignete sich im Jahr 2017.
• Tor hat ein seltsames Verhältnis zur US-Regierung – man könnte es als enge Zusammenarbeit bezeichnen. Außerdem unterstützt die Regierung finanziell Tor.
• Es ist möglich, sich mit dem Knoten eines Angreifers.

generell kann der Tor-Browser ohne das Tor-Netzwerk verwendet werden. Das zu tun ist nicht einfach, aber der Weg ist durchaus machbar. Die Aufgabe besteht darin, zwei Dateien zu erstellen, die das Tor-Netzwerk deaktivieren.

Am besten geht das in Notepad++. Öffnen Sie es und fügen Sie in den ersten Tab folgende Zeilen hinzu:

pref(‘general.config.filename’, ‘firefox.cfg’);
pref(‘general.config.obscure_value’, 0);

Dann gehen wir zu Bearbeiten — EOL-Konvertierung, wählen Unix (LF) und speichern die Datei als autoconfig.js im Verzeichnis Tor Browser/defaults/pref.

Dann öffnen wir einen neuen Tab und kopieren diese Zeilen:

//
lockPref(‘network.proxy.type’, 0);
lockPref(‘network.proxy.socks_remote_dns’, false);
lockPref(‘extensions.torlauncher.start_tor’, false);

Der Dateiname lautet firefox.cfg, er muss im Tor Browser/Browser gespeichert werden.

Jetzt ist alles bereit. Nach dem Start zeigt der Browser einen Fehler an, aber darauf kann man getrost verzichten.

Und ja, die Deaktivierung des Netzwerks hat keinen Einfluss auf den Fingerabdruck des Browsers. Panopticlick zeigt ein Entropie-Level von 10,3 Bit an, das ist deutlich weniger als mit dem Brave-Browser (da waren es 16,31 Bit).

Die oben genannten Dateien können heruntergeladen werden. von hier.

Im dritten und letzten Teil sprechen wir über härtere Methoden zur Deaktivierung von Überwachung. Zudem besprechen wir den Schutz persönlicher Daten und anderer Informationen mittels VPN.

Quelle: habr.com