Identification par analyse des gestionnaires de protocole externes dans le navigateur

Les développeurs de la bibliothèque fingerprintjs, qui permet de générer des identifiants de navigateur de manière passive sur la base d'indices indirects, tels que la résolution d'écran, les caractéristiques WebGL, les listes de plugins et de polices installés, ont présenté une nouvelle méthode d'identification, fondée sur l'évaluation des applications standard installées sur l'utilisateur et fonctionnant par vérification du support de gestionnaires de protocoles supplémentaires dans le navigateur. Le code du script réalisant la méthode a été publié sous licence MIT.

La vérification est effectuée sur la base de l'analyse de la liaison des gestionnaires à 32 applications populaires. Par exemple, en déterminant la présence dans le navigateur de gestionnaires d'URL tels que telegram://, slack:// et skype://, on peut conclure à la présence sur le système des applications telegram, slack et skype, et utiliser cette information comme indice lors de la génération de l'identifiant du système. Étant donné que la liste des gestionnaires est identique pour tous les navigateurs, l'identifiant ne change pas lors du changement de navigateur et peut être utilisé dans Chrome, Firefox, Safari, Brave, Yandex Browser, Edge et même dans Tor Browser.

La méthode permet de générer des identifiants de 32 bits, c'est-à-dire qu'elle n'offre pas une grande précision lorsqu'elle est utilisée seule, mais elle a du sens comme indice supplémentaire en combinaison avec d'autres paramètres. Un inconvénient notable de la méthode est la visibilité de la tentative d'identification pour l'utilisateur : lors de la génération de l'identifiant sur la page de démonstration proposée, une petite fenêtre apparaît en bas à droite, dans laquelle les gestionnaires sont parcourus pendant un certain temps. Cet inconvénient ne se manifeste pas dans Tor Browser, où l'identifiant peut être calculé discrètement.

Pour déterminer la présence d'une application, le script essaie d'ouvrir dans une fenêtre contextuelle un lien associé à un gestionnaire externe, après quoi le navigateur affiche une boîte de dialogue proposant d'ouvrir le contenu dans l'application associée, si l'application vérifiée est présente, ou affiche une page d'erreur si l'application n'est pas présente dans le système. Par un parcours séquentiel des gestionnaires externes standard et l'analyse du retour d'erreur, on peut conclure à la présence des programmes vérifiés dans le système.

Dans Chrome 90 pour Linux, la méthode n’a pas fonctionné et le navigateur a affiché une boîte de dialogue standard de confirmation de l’opération pour toutes les tentatives de vérification du gestionnaire (dans Chrome pour Windows et macOS, la méthode fonctionne). Dans Firefox 88 pour Linux, aussi bien en mode normal qu’en mode navigation privée, le script a détecté la présence d’applications supplémentaires installées à partir de la liste, avec une précision d’identification évaluée à 99,87 % (35 correspondances parmi 26 000 tests effectués). Dans le Tor Browser lancé sur le même système, un identifiant correspondant au test dans Firefox a été généré.

Il est intéressant de noter que la protection supplémentaire du Tor Browser a joué un tour et s'est transformée en une opportunité d'identification discrète pour l'utilisateur. En raison de la désactivation des boîtes de dialogue de confirmation dans le Tor Browser, les requêtes de vérification peuvent être ouvertes dans un iframe plutôt que dans une fenêtre popup (pour faire la distinction entre la présence et l'absence de gestionnaires, les règles same-origin bloquent l'accès aux pages avec des erreurs et autorisent l'accès aux pages about:blank). En raison de la protection contre le flood, la vérification dans le Tor Browser prend visiblement plus de temps (10 secondes par application).

Source : opennet.ru