Eine Gruppe von Forschern von Mozilla, der Universität Iowa und der Universität Kalifornien. Die Ergebnisse der Untersuchung zur Anwendung von Code für die versteckte Identifikation von Nutzern auf Websites. Versteckte Identifikation bedeutet die Generierung von Identifikatoren basierend auf indirekten Daten über das Verhalten des Browsers, wie zum Beispiel , einer Liste unterstützter MIME-Typen, spezifischen Parametern in den Headern ( und ), der Analyse installierter , der Verfügbarkeit bestimmter Web-APIs, die spezifisch für Grafikkarten sind Rendern mithilfe von WebGL und , mit CSS, , von Netzwerkports, Analyse von Verhaltensmerkmalen. und .
Eine Untersuchung von 100.000 der beliebtesten Websites laut Alexa-Ranking hat ergeben, dass auf 9.040 von ihnen (10,18 %) Code zur versteckten Identifikation von Besuchern verwendet wird. Wenn man sich die 1.000 beliebtesten Websites ansieht, wurde dieser Code in 30,60 % der Fälle (266 Websites) entdeckt, während darunter die Websites, die im Ranking von der 1.000 bis zur 10.000 Position liegen, in 24,45 % der Fälle (2.010 Websites) betroffen sind. Im Wesentlichen wird versteckte Identifikation in Skripten verwendet, die von externen Diensten bereitgestellt werden, um zu bekämpfen und Bots auszuschließen sowie von Werbenetzwerken und Benutzerverfolgungssystemen.
Um den Code zur versteckten Identifikation zu identifizieren, wurde ein Set von Tools entwickelt , der under der MIT-Lizenz veröffentlicht wurde. Im Toolkit werden Methoden des maschinellen Lernens in Kombination mit statischer und dynamischer Analyse von JavaScript-Code verwendet. Es wird behauptet, dass der Einsatz von maschinellem Lernen die Genauigkeit der Identifikation des Codes zur versteckten Identifikation erheblich verbessert und 26% mehr problematische Skripte identifiziert hat
im Vergleich zu manuell festgelegten Heuristiken.
Viele der identifizierten Identifikationsskripte fehlten auf den typischen Blocklisten , , DuckDuckGo, und .
Nach der Einreichung von den Entwicklern der Blockliste EasyPrivacy wurde ein separater Abschnitt für Skripte zur versteckten Identifikation erstellt. Darüber hinaus ermöglichten es die FP-Inspector, einige neue Möglichkeiten zur Nutzung von Web-APIs für die Identifikation zu identifizieren, die zuvor in der Praxis nicht vorkamen.
Zum Beispiel wurde festgestellt, dass Informationen zur Identifizierung der Tastaturbelegung (getLayoutMap), Cache-Restdaten (über die Performance API werden Verzögerungen bei der Datenübermittlung analysiert, was ermöglicht zu bestimmen, ob ein Benutzer auf eine bestimmte Domain zugegriffen hat oder nicht, sowie ob eine Seite zuvor geöffnet wurde), im Browser festgelegte Berechtigungen (Zugriffsinformationen zu Notification, Geolocation und Camera API), sowie das Vorhandensein spezialisierter Peripheriegeräte und seltener Sensoren (Gamepads, Virtual-Reality-Headsets, Annäherungssensoren) erfasst wurden. Zudem wurde beim Identifizieren von spezialisierten APIs für bestimmte Browser und deren Verhaltensunterschiede (AudioWorklet, setTimeout, mozRTCSessionDescription) sowie das Nutzen der API AudioContext zur Bestimmung der Merkmale des Audiosystems berücksichtigt.
Im Rahmen der Untersuchung wurde auch die Frage der Beeinträchtigung der normalen Funktionalität von Websites betrachtet, wenn Methoden zum Schutz gegen versteckte Identifizierung angewendet werden, die zu einer Blockierung von Netzwerkrequests oder einer Einschränkung des Zugangs zu APIs führen. Es wurde gezeigt, dass eine gezielte Einschränkung von APIs nur für von FP-Inspector identifizierte Scripts zu weniger Funktionsstörungen führt als bei der Anwendung strenger allgemeiner Einschränkungen von API-Calls in Brave und Tor Browser, die potenziell zu Datenlecks führen können.
Quelle: opennet.ru
