हज़ारों सबसे बड़ी साइटों में से 30% छिपी हुई पहचान के लिए स्क्रिप्ट का उपयोग करती हैं

मोज़िला, आयोवा विश्वविद्यालय और कैलिफोर्निया विश्वविद्यालय के शोधकर्ताओं की एक टीम प्रकाशित छिपी हुई उपयोगकर्ता पहचान के लिए वेबसाइटों पर कोड के उपयोग का अध्ययन करने के परिणाम। छिपी हुई पहचान ब्राउज़र के संचालन के बारे में अप्रत्यक्ष डेटा के आधार पर पहचानकर्ताओं की पीढ़ी को संदर्भित करती है, जैसे स्क्रीन संकल्प, समर्थित MIME प्रकारों की सूची, हेडर में विशिष्ट पैरामीटर (HTTP / 2 и HTTPS), स्थापित का विश्लेषण प्लगइन्स और फ़ॉन्ट्स, वीडियो कार्ड के लिए विशिष्ट कुछ वेब एपीआई की उपलब्धता विशेषताएं WebGL और का उपयोग करके प्रतिपादन कैनवास, चालाकी सीएसएस के साथ, डिफ़ॉल्ट मानों को ध्यान में रखते हुए, स्कैनिंग नेटवर्क पोर्ट, साथ काम करने की सुविधाओं का विश्लेषण चूहा и कुंजीपटल.

एलेक्सा रेटिंग के अनुसार 100 हजार सबसे लोकप्रिय साइटों के एक अध्ययन से पता चला है कि उनमें से 9040 (10.18%) आगंतुकों को गुप्त रूप से पहचानने के लिए एक कोड का उपयोग करते हैं। इसके अलावा, अगर हम हजार सबसे लोकप्रिय साइटों पर विचार करें, तो ऐसा कोड 30.60% मामलों (266 साइटों) में पाया गया था, और 24.45% मामलों (2010 साइटों) में हजारवें से दस हजारवें स्थान पर रैंकिंग में स्थान रखने वाली साइटों के बीच। . छिपी हुई पहचान का उपयोग मुख्य रूप से बाहरी सेवाओं द्वारा प्रदान की गई स्क्रिप्ट में किया जाता है एंटी फ्रॉड और बॉट्स, साथ ही विज्ञापन नेटवर्क और उपयोगकर्ता आंदोलन ट्रैकिंग सिस्टम की स्क्रीनिंग कर रहा है।

छिपी हुई पहचान करने वाले कोड की पहचान करने के लिए एक टूलकिट विकसित किया गया था एफपी-इंस्पेक्टर, जिसका कोड प्रस्तावित एमआईटी लाइसेंस के तहत. टूलकिट जावास्क्रिप्ट कोड के स्थिर और गतिशील विश्लेषण के संयोजन में मशीन लर्निंग तकनीकों का उपयोग करता है। यह दावा किया गया है कि मशीन लर्निंग के उपयोग ने छिपी हुई पहचान के लिए कोड की पहचान करने की सटीकता में काफी वृद्धि की है और 26% अधिक समस्याग्रस्त स्क्रिप्ट की पहचान की है
मैन्युअल रूप से निर्दिष्ट अनुमानों की तुलना में।

पहचानी गई कई पहचान स्क्रिप्टें विशिष्ट अवरोधन सूचियों में शामिल नहीं थीं। डिस्कनेक्ट, एडसेफ,डकडकगो, Justuno и आसान गोपनीयता.
भेजने के बाद नोटिस ईज़ीप्राइवेसी ब्लॉक सूची के डेवलपर थे द्वारा बनाया गया छिपी हुई पहचान स्क्रिप्ट के लिए एक अलग अनुभाग। इसके अलावा, एफपी-इंस्पेक्टर ने हमें पहचान के लिए वेब एपीआई का उपयोग करने के कुछ नए तरीकों की पहचान करने की अनुमति दी जो पहले व्यवहार में सामने नहीं आए थे।

उदाहरण के लिए, यह पाया गया कि कीबोर्ड लेआउट (getLayoutMap) के बारे में जानकारी, कैश में अवशिष्ट डेटा का उपयोग जानकारी की पहचान करने के लिए किया गया था (प्रदर्शन एपीआई का उपयोग करके, डेटा वितरण में देरी का विश्लेषण किया जाता है, जिससे यह निर्धारित करना संभव हो जाता है कि उपयोगकर्ता ने एक्सेस किया है या नहीं) निश्चित डोमेन है या नहीं, साथ ही पृष्ठ पहले खोला गया था या नहीं), ब्राउज़र में सेट अनुमतियाँ (अधिसूचना, जियोलोकेशन और कैमरा एपीआई तक पहुंच के बारे में जानकारी), विशेष परिधीय उपकरणों और दुर्लभ सेंसर (गेमपैड, आभासी वास्तविकता हेलमेट,) की उपस्थिति निकटता सेंसर)। इसके अलावा, जब कुछ ब्राउज़रों के लिए विशिष्ट एपीआई की उपस्थिति और एपीआई व्यवहार (ऑडियोवर्कलेट, सेटटाइमआउट, mozRTCSessionDescription) में अंतर की पहचान की गई, साथ ही ध्वनि प्रणाली की विशेषताओं को निर्धारित करने के लिए ऑडियोकॉन्टेक्स्ट एपीआई का उपयोग किया गया, तो इसे रिकॉर्ड किया गया।

अध्ययन में छिपी हुई पहचान के खिलाफ सुरक्षा के तरीकों का उपयोग करने के मामले में साइटों की मानक कार्यक्षमता में व्यवधान के मुद्दे की भी जांच की गई, जिससे नेटवर्क अनुरोधों को अवरुद्ध किया गया या एपीआई तक पहुंच को प्रतिबंधित किया गया। एपीआई को चुनिंदा रूप से केवल एफपी-इंस्पेक्टर द्वारा पहचानी गई स्क्रिप्ट तक सीमित करने से एपीआई कॉल पर अधिक कठोर सामान्य प्रतिबंधों का उपयोग करने वाले ब्रेव और टोर ब्राउज़र की तुलना में कम व्यवधान होता है, जिससे संभावित रूप से डेटा रिसाव होता है।

स्रोत: opennet.ru