Mitarbeiter der Firma Mozilla Die Ergebnisse einer Studie zur Möglichkeit der Identifizierung von Nutzern auf der Grundlage von Browserbesuchsprofilen, die Dritten und Websites sichtbar sein können. Die Analyse von 52.000 Besuchenprofilen, die von Firefox-Nutzern bereitgestellt wurden, die an dem Experiment teilgenommen haben, zeigt, dass die Vorlieben bei den Webseitenbesuchen für jeden Nutzer charakteristisch und stabil sind. Die Einzigartigkeit der gewonnenen Besuchshistorien betrug 99%. Dabei bleibt die hohe Einzigartigkeit der Profile auch erhalten, wenn die Auswahl auf nur hundert beliebte Websites eingegrenzt wird.
Die Überprüfung der Möglichkeit der Wiederidentifizierung wurde im Rahmen eines zweiwöchigen Experiments durchgeführt – die Besuchsdaten aus der ersten Woche wurden mit den Daten aus der zweiten Woche verglichen. Es stellte sich heraus, dass 50% der Nutzer, die 50 oder mehr verschiedene Domains besucht hatten, wiederidentifiziert werden konnten. Bei Besuch von 150 oder mehr verschiedenen Domains stieg die Wiederidentifizierungsrate auf 80%. Die Überprüfung erfolgte anhand einer Stichprobe von 10.000 Websites, um Daten zu simulieren, die große Inhaltsanbieter erhalten können (zum Beispiel kann Google auf die Aufrufe von 9823 Websites aus diesen 10000 zugreifen, Facebook auf 7348, Verizon auf 5500).
Diese Besonderheit ermöglicht es großen Betreibern beliebter Ressourcen mit einer ziemlich hohen Wahrscheinlichkeit, Nutzer zu identifizieren. Beispielsweise können Unternehmen wie Google, Facebook und Twitter, deren Widgets auf Drittanbieter-Websites platziert sind, theoretisch etwa 80% der Nutzer wiederidentifizieren.
Die zuvor geöffneten Websites können auch mit indirekten Methoden bestimmt werden, beispielsweise durch das Durchsuchen des Codes in JavaScript nach beliebten Domains und die Bewertung der Latenzunterschiede beim Laden von Ressourcen – wenn die Website kürzlich vom Benutzer geöffnet wurde, wird die Ressource nahezu sofort aus dem Browser-Cache bereitgestellt. Früher wurden zur Bestimmung der geöffneten Seiten Caching-Einstellungen für HSTS verwendet (bei der Öffnung einer Website mit HSTS wurde die HTTP-Anfrage sofort auf HTTPS umgeleitet, ohne einen Versuch über HTTP zu machen) und den Status der CSS-Eigenschaft „visited“.
Ähnliche Methoden zur Bestimmung des Besuchsverlaufs basierend auf CSS wurden in einer ähnlichen Studie verwendet, 2009 bis 2011 durchgeführt wurde. Diese Forscher zeigten die Möglichkeit, 42 % der Benutzer zu identifizieren, wenn 50 Seiten überprüft wurden, und 70 % bei der Überprüfung von 500 Seiten. Die Mozilla-Studie und präzisierte die Ergebnisse der vorherigen Veröffentlichung, wobei die Genauigkeit der Bestimmung des Besuchsverlaufs erheblich erhöht wurde und der Umfang der überprüften Domains von 6000 auf 10000 erweitert wurde (insgesamt wurden Daten über 660000 Domains gesammelt, aber bei der Bewertung der Identifizierung wurde eine Stichprobe der 10000 beliebtesten Domains verwendet).
Quelle: opennet.ru
