A Mozilla, az Iowai Egyetem és a Kaliforniai Egyetem kutatóiból álló csapat
Az Alexa értékelése szerint 100 ezer legnépszerűbb oldalról készült tanulmány kimutatta, hogy közülük 9040 (10.18%) használ kódot a látogatók titkos azonosítására. Sőt, ha az ezer legnépszerűbb oldalt vesszük figyelembe, akkor az esetek 30.60%-ában (266 webhely), a rangsorban ezredtől tízezredikig terjedő helyeken pedig az esetek 24.45%-ában (2010-es oldal) észleltek ilyen kódot. . A rejtett azonosítást főként a külső szolgáltatások által biztosított szkriptekben használják
A rejtett azonosítást végző kód azonosítására eszköztárat fejlesztettek ki
a manuálisan megadott heurisztikához képest.
Az azonosított azonosító szkriptek közül sok nem szerepelt a tipikus blokkolási listákon.
Elküldés után
Felfedezték például, hogy a billentyűzetkiosztással (getLayoutMap), a gyorsítótárban lévő maradék adatokkal kapcsolatos információkat az információk azonosítására használták (a Performance API segítségével elemzik az adattovábbítási késéseket, ami lehetővé teszi annak meghatározását, hogy a felhasználó hozzáfér-e egy bizonyos domain vagy sem, valamint, hogy az oldal korábban megnyílt-e, a böngészőben beállított engedélyek (információk az értesítési, földrajzi helymeghatározási és kamera API-hoz való hozzáférésről), speciális perifériás eszközök és ritka érzékelők (játékvezérlők, virtuális valóság sisakok, közelségérzékelők). Ezenkívül rögzítésre került az egyes böngészőkre specializálódott API-k jelenlétének és az API-k viselkedésében mutatkozó különbségeknek (AudioWorklet, setTimeout, mozRTCSessionDescription), valamint az AudioContext API-nak a hangrendszer jellemzőinek meghatározására történő azonosításakor.
A tanulmány azt is megvizsgálta, hogy a rejtett azonosítás elleni védelmi módszerek alkalmazása esetén a webhelyek szabványos funkcionalitásában megszakadhat, ami a hálózati kérések blokkolásához vagy az API-hoz való hozzáférés korlátozásához vezet. Az API szelektív korlátozása csak az FP-Inspector által azonosított szkriptekre kisebb fennakadást eredményez, mint a Brave és a Tor Browser, amely szigorúbb általános korlátozásokat alkalmaz az API-hívásokra, ami adatszivárgáshoz vezethet.
Forrás: opennet.ru