Pētnieku komanda no Mozillas, Aiovas universitātes un Kalifornijas universitātes koda izmantošanas tīmekļa vietnēs izpētes rezultāti slēptai lietotāju identifikācijai. Slēptā identifikācija attiecas uz identifikatoru ģenerēšanu, pamatojoties uz netiešiem datiem par pārlūkprogrammas darbību, piemēram, , atbalstīto MIME veidu saraksts, konkrēti parametri galvenēs ( и ), uzstādīto analīze , noteiktu tīmekļa API pieejamība, kas raksturīga videokartēm renderēšana, izmantojot WebGL un , ar CSS, , tīkla porti, darba iespēju analīze и .
Pētījums par 100 tūkstošiem populārāko vietņu pēc Alexa reitingiem parādīja, ka 9040 no tām (10.18%) izmanto kodu, lai slepeni identificētu apmeklētājus. Turklāt, ja ņemam vērā tūkstoš populārākās vietnes, tad šāds kods tika atklāts 30.60% gadījumu (266 vietnes), bet starp vietnēm, kas ieņem vietu no tūkstošdaļas līdz desmit tūkstošdaļai, 24.45% gadījumu (2010. gada vietnes) . Slēpto identifikāciju galvenokārt izmanto skriptos, ko nodrošina ārējie pakalpojumi un robotprogrammatūras, kā arī reklāmas tīklu un lietotāju kustības izsekošanas sistēmu pārbaude.
Lai identificētu kodu, kas veic slēptu identifikāciju, tika izstrādāts rīku komplekts , kura kods saskaņā ar MIT licenci. Rīku komplektā tiek izmantotas mašīnmācīšanās metodes kopā ar statisko un dinamisko JavaScript koda analīzi. Tiek apgalvots, ka mašīnmācības izmantošana ir ievērojami palielinājusi slēptās identifikācijas koda identificēšanas precizitāti un identificējusi par 26% vairāk problemātisku skriptu
salīdzinot ar manuāli norādīto heiristiku.
Daudzi no identificētajiem identifikācijas skriptiem netika iekļauti tipiskajos bloķēšanas sarakstos. , ,DuckDuckGo, и .
Pēc nosūtīšanas EasyPrivacy bloku saraksta izstrādātāji bija atsevišķa sadaļa slēptiem identifikācijas skriptiem. Turklāt FP-Inspector ļāva mums noteikt dažus jaunus veidus, kā izmantot Web API identifikācijai, kas iepriekš nebija sastopami praksē.
Piemēram, tika atklāts, ka informācijas identificēšanai tika izmantota informācija par tastatūras izkārtojumu (getLayoutMap), atlikušajiem datiem kešatmiņā (izmantojot Performance API, tiek analizēti datu piegādes kavējumi, kas ļauj noteikt, vai lietotājs ir piekļuvis noteiktu domēnu vai nē, kā arī to, vai lapa iepriekš ir atvērta), pārlūkprogrammā iestatītās atļaujas (informācija par piekļuvi paziņojumam, ģeogrāfiskās atrašanās vietas noteikšanai un kameras API), specializētu perifērijas ierīču un retu sensoru (spēļu pults, virtuālās realitātes ķiveres, tuvuma sensori). Turklāt, identificējot noteiktām pārlūkprogrammām specializētu API klātbūtni un API darbības atšķirības (AudioWorklet, setTimeout, mozRTCSessionDescription), kā arī AudioContext API izmantošanu skaņas sistēmas funkciju noteikšanai, tas tika ierakstīts.
Pētījumā tika apskatīts arī jautājums par vietņu standarta funkcionalitātes traucējumiem, ja tiek izmantotas metodes aizsardzībai pret slēptu identifikāciju, kā rezultātā tiek bloķēti tīkla pieprasījumi vai ierobežota piekļuve API. Ir pierādīts, ka selektīva API ierobežošana tikai FP-Inspector identificētajiem skriptiem rada mazāku traucējumu nekā Brave un Tor Browser, izmantojot stingrākus vispārīgos ierobežojumus API izsaukumiem, kas var izraisīt datu noplūdi.
Avots: opennet.ru