수천 개의 대규모 사이트 중 30%가 숨겨진 식별을 위해 스크립트를 사용합니다.

Mozilla, 아이오와 대학교, 캘리포니아 대학교 연구진으로 구성된 팀 опубликовала 숨겨진 사용자 식별을 위해 웹사이트에서 코드 사용을 연구한 결과입니다. 숨겨진 식별이란 다음과 같은 브라우저 작동에 대한 간접적인 데이터를 기반으로 식별자를 생성하는 것을 말합니다. 화면 해상도, 지원되는 MIME 유형 목록, 헤더별 옵션(HTTP / 2 и HTTPS), 확립된 분석 플러그인 및 글꼴, 비디오 카드와 관련된 특정 웹 API의 가용성 특징 WebGL을 사용한 렌더링 및 캔버스, 시장 조작 CSS로, 기본값을 고려하여, 스캐닝 네트워크 포트, 작업 기능 분석 쥐 и 건반.

Alexa 등급에 따른 100만 개의 가장 인기 있는 사이트에 대한 연구에 따르면 그 중 9040개(10.18%)가 방문자를 비밀리에 식별하기 위해 코드를 사용하는 것으로 나타났습니다. 또한, 가장 인기 있는 30.60개 사이트를 고려하면 이러한 코드는 266%의 사례(24.45개 사이트)에서 발견되었으며, 순위가 2010위부터 XNUMX위까지 차지하는 사이트 중에서는 XNUMX%의 사례(XNUMX 사이트)에서 발견되었습니다. . 숨겨진 식별은 주로 외부 서비스에서 제공하는 스크립트에서 사용됩니다. 사기 방지 봇, 광고 네트워크 및 사용자 이동 추적 시스템을 선별합니다.

숨겨진 식별을 수행하는 코드를 식별하기 위해 툴킷이 개발되었습니다. FP-검사기, 누구의 코드인가 제안 MIT 라이센스에 따라. 이 툴킷은 JavaScript 코드의 정적 및 동적 분석과 함께 기계 학습 기술을 사용합니다. 기계 학습을 사용하면 숨겨진 식별을 위한 코드 식별 정확도가 크게 향상되었으며 문제가 있는 스크립트를 26% 더 많이 식별했다고 합니다.
수동으로 지정된 휴리스틱과 비교됩니다.

식별된 식별 스크립트 중 다수는 일반적인 차단 목록에 포함되지 않았습니다. 분리, 애드세이프,덕덕고, Justuno и 이지프라이버시.
보낸 후 알림 EasyPrivacy 차단 목록의 개발자는 다음과 같습니다. 만든 사람 : 숨겨진 식별 스크립트를 위한 별도의 섹션. 또한 FP-Inspector를 통해 이전에는 실제로 접할 수 없었던 식별을 위해 웹 API를 사용하는 몇 가지 새로운 방법을 식별할 수 있었습니다.

예를 들어, 키보드 레이아웃(getLayoutMap)에 대한 정보, 캐시의 잔여 데이터를 사용하여 정보를 식별하는 것으로 나타났습니다(Performance API를 사용하여 데이터 전달 지연을 분석하여 사용자가 특정 도메인 여부, 페이지가 이전에 열렸는지 여부), 브라우저에 설정된 권한(알림, 위치 정보 및 카메라 API에 대한 액세스 정보), 특수 주변 장치 및 희귀 센서(게임 패드, 가상 현실 헬멧, 근접 센서). 또한, 특정 브라우저에 특화된 API의 유무와 API 동작의 차이(AudioWorklet, setTimeout, mozRTCSessionDescription)를 식별하는 것과 AudioContext API를 사용하여 사운드 시스템의 기능을 확인하는 경우를 기록했습니다.

또한 이 연구에서는 숨겨진 식별에 대한 보호 방법을 사용하여 네트워크 요청을 차단하거나 API에 대한 액세스를 제한하는 경우 사이트의 표준 기능이 중단되는 문제도 조사했습니다. FP-Inspector에 의해 식별된 스크립트로만 API를 선택적으로 제한하면 API 호출에 대해 더 엄격한 일반 제한을 사용하는 Brave 및 Tor 브라우저보다 중단이 적어 잠재적으로 데이터 유출이 발생하는 것으로 나타났습니다.

출처 : opennet.ru