נמצא שיטה לזיהוי גלישה בסתר ב-Chrome 76

לכרום 76 היה סמוי פרצה ביישום ה-API של FileSystem המאפשר לקבוע מתוך יישום אינטרנט את השימוש במצב גלישה בסתר. החל מ-Chrome 76, במקום לחסום את הגישה ל-FileSystem API, ששימש כסימן לפעילות במצב גלישה בסתר, הדפדפן כבר לא מגביל את ה-API של FileSystem, אלא מנקה שינויים שבוצעו לאחר ההפעלה. כפי שמתברר, היישום החדש יש לו חסרונות המאפשרים לקבוע את הפעילות של מצב גלישה בסתר כבעבר.

מהות הבעיה היא שההפעלה עם ה-API של FileSystem במצב גלישה בסתר היא זמנית, והנתונים אינם נשמרים בדיסק ונשמרים ב-RAM. בהתאמה, מדידה זמן שמירת הנתונים דרך ה-API של FileSystem והסטיות המתעוררות (בעת שמירה ב-RAM, מאפיינים קבועים נרשמים, בעוד שבכתיבה לדיסק, העיכובים משתנים) אתה יכול לשפוט בביטחון אם הדף נצפה במצב גלישה בסתר או לא . החיסרון של שיטה זו הוא התהליך הארוך למדי של מדידת סטיות, שיכול להימשך כדקה (הפגנה).

יחד עם זאת, דבר אחד נוסף נותר לא מתוקן ב-Chrome 76 בעיה, המאפשר לך לשפוט את הפעילות של מצב גלישה בסתר על סמך הערכה של ההגבלות שהוגדרו באמצעות ה-API ניהול מכסות. עבור אחסון זמני בשימוש במצב גלישה בסתר, נקבעו מגבלות שונות מאשר עבור אחסון מלא בדיסק.

נזכיר לכם שאתרים הפועלים במודל של מתן גישה מלאה באמצעות מנוי בתשלום (חומת תשלום) מעוניינים להגדיר מצב גלישה בסתר. כדי למשוך קהל חדש, אתרים כאלה מספקים למשתמשים חדשים גישה מלאה להדגמה למשך זמן מה, המשמשת באופן פעיל כדי לעקוף חומות תשלום. הדרך הקלה ביותר לגשת לתוכן בתשלום במערכות כאלה היא להשתמש במצב גלישה בסתר, שבו האתר מאמין שהמשתמש פתח את העמוד בפעם הראשונה. בעלי אתרים אינם מרוצים מהתנהגות זו, ולכן הם השתמשו באופן פעיל בפרצה הקשורה ל-FileSystem API כדי להטיל דרישה להשבית מצב גלישה בסתר כדי להמשיך לגלוש.

מקור: OpenNet.ru