È stato trovato un metodo per rilevare la navigazione in modalità incognito in Chrome 76

In Chrome 76 è stata chiusa una falla nell'implementazione del FileSystem API, che consentiva di determinare da un'applicazione web l'uso della modalità in incognito. A partire da Chrome 76, invece di bloccare l'accesso al FileSystem API, che era utilizzato come indicatore di attività in modalità in incognito, il browser ha smesso di limitare il FileSystem API, ma ha ripulito le modifiche apportate al termine della sessione. Come si è rivelato, la nuova implementazione presenta svantaggi che permettono, come prima, di determinare l'attività della modalità in incognito.

Il problema è che la sessione con il FileSystem API in modalità in incognito è temporanea e i dati non vengono salvati su disco, rimanendo in memoria volatile. Pertanto, misurando il tempo di salvataggio dei dati tramite il FileSystem API e le deviazioni che si verificano (quando si salva in RAM vengono registrate caratteristiche costanti, mentre durante la scrittura su disco le latenze cambiano) è possibile giudicare con sufficiente certezza se la pagina visualizzata è in modalità in incognito o meno. Un difetto del metodo è rappresentato dal processo di misurazione delle deviazioni, che può durare circa un minuto (dimostrazione).

Inoltre, in Chrome 76 persiste un'altra falla il problema, che consente di valutare l'attività della modalità in incognito sulla base delle limitazioni imposte tramite l'API Quota Management. Per lo storage temporaneo utilizzato in modalità in incognito vengono imposti limiti differenti rispetto a quelli di un normale storage su disco.

Ricordiamo che le modalità in incognito interessano i siti che operano secondo un modello di accesso totale a pagamento (paywall). Per attrarre un nuovo pubblico, tali siti offrono ai nuovi utenti un accesso completo dimostrativo per un certo periodo, cosa che viene sfruttata attivamente per aggirare il paywall. Il modo più semplice per accedere ai contenuti a pagamento in tali sistemi è utilizzare la modalità in incognito, in cui il sito considera che l'utente abbia aperto la pagina per la prima volta. Questo comportamento non soddisfa gli editori, pertanto hanno utilizzato attivamente la falla associata al FileSystem API per richiedere di disattivare la modalità in incognito per continuare la visualizzazione.

Fonte: opennet.ru