30% מאלף האתרים הגדולים משתמשים בסקריפטים לזיהוי נסתר

צוות חוקרים ממוזילה, אוניברסיטת איווה ואוניברסיטת קליפורניה опубликовала תוצאות של לימוד השימוש בקוד באתרי אינטרנט לצורך זיהוי משתמש נסתר. זיהוי נסתר מתייחס ליצירת מזהים על סמך נתונים עקיפים על פעולת הדפדפן, כגון רזולוציית מסך, רשימה של סוגי MIME נתמכים, פרמטרים ספציפיים בכותרות (HTTP / 2 и HTTPS), ניתוח של מותקן תוספים ופונטים, זמינות של ממשקי API מסוימים באינטרנט, ספציפיים לכרטיסי מסך תכונות עיבוד באמצעות WebGL ו בד, מָנִיפּוּלָצִיָה עם CSS, תוך התחשבות בערכי ברירת המחדל, סריקה יציאות רשת, ניתוח של תכונות העבודה איתן עכבר и מקלדת.

מחקר של 100 אלף האתרים הפופולריים ביותר לפי דירוג Alexa הראה כי 9040 מהם (10.18%) משתמשים בקוד כדי לזהות מבקרים בסתר. יתרה מכך, אם ניקח בחשבון את אלף האתרים הפופולריים ביותר, אז קוד כזה זוהה ב-30.60% מהמקרים (266 אתרים), ובין אתרים שתופסים מקומות בדירוג מהמקום האלפי עד העשרת אלפים, ב-24.45% מהמקרים (אתרי 2010) . זיהוי נסתר משמש בעיקר בסקריפטים המסופקים על ידי שירותים חיצוניים עבור נגד הונאה ומיון בוטים, כמו גם רשתות פרסום ומערכות מעקב אחר תנועת משתמשים.

כדי לזהות את הקוד שמבצע זיהוי נסתר, פותחה ערכת כלים FP-מפקח, שהקוד שלו מוּצָע תחת רישיון MIT. ערכת הכלים משתמשת בטכניקות למידת מכונה בשילוב עם ניתוח סטטי ודינאמי של קוד JavaScript. נטען כי השימוש בלמידת מכונה העלה משמעותית את דיוק הקוד המזהה לזיהוי נסתר וזיהה 26% יותר סקריפטים בעייתיים
בהשוואה להיוריסטיקה שצוינה באופן ידני.

רבים מתסריטי הזיהוי שזוהו לא נכללו ברשימות חסימה טיפוסיות. נתק, Adsafe,DuckDuckGo, ג'סטונו и EasyPrivacy.
לאחר השליחה התראות המפתחים של רשימת החסימות של EasyPrivacy היו נוצר קטע נפרד לתסריטי זיהוי נסתרים. בנוסף, FP-Inspector אפשרה לנו לזהות כמה דרכים חדשות להשתמש ב-Web API לצורך זיהוי שלא נתקלו בעבר בפועל.

לדוגמה, התגלה שמידע על פריסת המקלדת (getLayoutMap), נתונים שיוריים במטמון שימשו לזיהוי מידע (באמצעות ה-Performance API מנתחים עיכובים במסירת נתונים, מה שמאפשר לקבוע אם המשתמש ניגש ל- דומיין מסוים או לא, כמו גם אם הדף נפתח בעבר), הרשאות שהוגדרו בדפדפן (מידע על גישה ל-Notification, Geolocation ו-API של מצלמה), נוכחות של מכשירים היקפיים מיוחדים וחיישנים נדירים (משטחי משחק, קסדות מציאות מדומה, חיישני קרבה). בנוסף, בעת זיהוי נוכחות של ממשקי API המתמחים עבור דפדפנים מסוימים והבדלים בהתנהגות API (AudioWorklet, setTimeout, mozRTCSessionDescription), כמו גם השימוש ב-AudioContext API כדי לקבוע את התכונות של מערכת הקול, זה הוקלט.

המחקר בדק גם את נושא השיבוש בפונקציונליות הסטנדרטית של אתרים במקרה של שימוש בשיטות הגנה מפני זיהוי נסתר, המוביל לחסימת בקשות רשת או הגבלת גישה ל-API. הגבלה סלקטיבית של ה-API רק לסקריפטים שזוהו על ידי FP-Inspector הוכחה כגורמת להפרעות פחותות מאשר Brave ו-Tor Browser תוך שימוש בהגבלות כלליות מחמירות יותר על קריאות API, שעלולות להוביל לדליפת נתונים.

מקור: OpenNet.ru