Identifikation von Benutzern anhand des Browserverlaufs

Mitarbeiter von Mozilla haben Ergebnisse einer Untersuchung über die Möglichkeit der Identifizierung von Nutzern anhand ihres Browser-Besuchsprofils, das von Dritten und Websites eingesehen werden kann. Die Analyse von 52.000 Besuchsprofilen, die von Firefox-Nutzern, die an dem Experiment teilgenommen haben, bereitgestellt wurden, zeigte, dass die Vorlieben beim Besuch von Websites für jeden Nutzer charakteristisch und konstant sind. Die Einzigartigkeit der erhaltenen Besuchsprofile betrug 99 %. Dabei bleibt der hohe Grad an Einzigartigkeit der Profile auch dann bestehen, wenn die Stichprobe auf nur hundert populäre Websites eingeschränkt wird.

Die Überprüfung der Möglichkeit einer Wiederidentifikation wurde im Rahmen eines zweiwöchigen Experiments durchgeführt – die Besuchsdaten der ersten Woche wurden mit den Daten der zweiten Woche abgeglichen. Es stellte sich heraus, dass 50 % der Nutzer, die 50 oder mehr verschiedene Domains besucht hatten, erneut identifiziert werden konnten. Bei einem Besuch von 150 oder mehr verschiedenen Domains stieg die Wiederidentifikationsrate auf 80 %. Die Überprüfung wurde an einer Stichprobe von 10.000 Websites durchgeführt, um Daten zu simulieren, die große Inhaltsanbieter erhalten können (zum Beispiel kann Google Anfragen an 9.823 Websites aus diesen 10.000 steuern, Facebook an 7.348, Verizon an 5.500).

Diese Eigenschaft ermöglicht es großen Eigentümern populärer Ressourcen mit hoher Wahrscheinlichkeit, Nutzer zu identifizieren. Beispielsweise können Unternehmen wie Google, Facebook und Twitter, deren Widgets auf externen Websites platziert sind, theoretisch etwa 80 % der Nutzer erneut identifizieren.

Frühere, geöffnete Websites können auch durch indirekte Methoden bestimmt werden, zum Beispiel durch das Durchsuchen des Codes in JavaScript nach beliebten Domains und die Bewertung der Variation der Ladeverzögerungen von Ressourcen – wenn eine Website kürzlich von einem Nutzer geöffnet wurde, wird die Ressource nahezu sofort aus dem Browser-Cache bereitgestellt. Zuvor wurden zur Identifizierung geöffneter Seiten auch Bewertung Caching von HSTS-Einstellungen (wenn eine Website mit HSTS geöffnet wurde, wurde die HTTP-Anfrage sofort ohne Versuch einer Verbindung über HTTP auf HTTPS umgeleitet) und 13. Alles liegt in Ihren Händen… der Zustand der CSS-Eigenschaft „visited“ verwendet.

Ähnliche Methoden zur Bestimmung der Besuchshistorie auf CSS-Basis wurden in einer vergleichbaren Studie verwendet, die durchgeführt wird Von 2009 bis 2011. Diese Forschung zeigte die Möglichkeit, 42 % der Nutzer bei der Überprüfung von 50 Seiten und 70 % bei der Überprüfung von 500 Seiten zu identifizieren. Die Mozilla-Studie bestätigte und präzisierte die Ergebnisse der vorherigen Veröffentlichung, wobei die Genauigkeit der Bestimmung des Verlaufes von Besuchen erheblich verbessert wurde und die Anzahl der überprüften Domains von 6000 auf 10000 erhöht wurde (insgesamt wurden Daten über 660000 Domains erhalten, aber bei der Bewertung der Identifikation wurde eine Stichprobe von 10.000 der beliebtesten Domains verwendet).

Quelle: opennet.ru