हजारो मोठ्या साइट्सपैकी 30% लपविलेल्या ओळखीसाठी स्क्रिप्ट वापरतात

मोझिला, आयोवा विद्यापीठ आणि कॅलिफोर्निया विद्यापीठातील संशोधकांचा एक संघ प्रकाशित लपविलेल्या वापरकर्त्याच्या ओळखीसाठी वेबसाइट्सवरील कोडच्या वापराचा अभ्यास केल्याचे परिणाम. लपविलेले ओळख म्हणजे ब्राउझरच्या ऑपरेशनबद्दल अप्रत्यक्ष डेटावर आधारित अभिज्ञापकांच्या निर्मितीचा संदर्भ देते, जसे की स्क्रीन रिझोल्यूशन, समर्थित MIME प्रकारांची यादी, शीर्षलेखांमधील विशिष्ट मापदंड (HTTP / 2 и HTTPS), स्थापनेचे विश्लेषण प्लगइन आणि फॉन्ट, विशिष्ट वेब API ची उपलब्धता, व्हिडिओ कार्डसाठी विशिष्ट वैशिष्ट्ये WebGL वापरून प्रस्तुतीकरण आणि कॅनव्हास, फेरफार CSS सह, डीफॉल्ट मूल्ये लक्षात घेऊन, स्कॅनिंग नेटवर्क पोर्ट, काम करण्याच्या वैशिष्ट्यांचे विश्लेषण उंदीर и कीबोर्ड.

अलेक्सा रेटिंगनुसार 100 हजार सर्वाधिक लोकप्रिय साइट्सच्या अभ्यासातून असे दिसून आले आहे की त्यापैकी 9040 (10.18%) अभ्यागतांना गुप्तपणे ओळखण्यासाठी कोड वापरतात. शिवाय, जर आपण हजारो सर्वात लोकप्रिय साइट्सचा विचार केला तर असा कोड 30.60% प्रकरणांमध्ये (266 साइट्स) आणि हजारव्या ते दहा हजारव्या क्रमांकावर असलेल्या साइट्समध्ये 24.45% प्रकरणांमध्ये (2010 साइट्स) आढळला. . लपलेली ओळख मुख्यतः साठी बाह्य सेवांद्वारे प्रदान केलेल्या स्क्रिप्टमध्ये वापरली जाते फसवणूक विरोधी आणि बॉट्स, तसेच जाहिरात नेटवर्क आणि वापरकर्त्यांच्या हालचाली ट्रॅकिंग सिस्टमची तपासणी करणे.

लपलेली ओळख पार पाडणारा कोड ओळखण्यासाठी, एक टूलकिट विकसित केली गेली FP-निरीक्षक, ज्याचा कोड सुचवले एमआयटी परवान्या अंतर्गत. टूलकिट JavaScript कोडच्या स्थिर आणि डायनॅमिक विश्लेषणाच्या संयोजनात मशीन लर्निंग तंत्र वापरते. असा दावा केला जातो की मशीन लर्निंगच्या वापरामुळे लपविलेल्या ओळखीसाठी कोड ओळखण्याची अचूकता लक्षणीयरीत्या वाढली आहे आणि 26% अधिक समस्याप्रधान स्क्रिप्ट ओळखल्या गेल्या आहेत.
मॅन्युअली निर्दिष्ट heuristics च्या तुलनेत.

ओळखल्या गेलेल्या बर्‍याच ओळख स्क्रिप्ट ठराविक ब्लॉकिंग लिस्टमध्ये समाविष्ट केल्या गेल्या नाहीत. डिस्कनेक्ट करा, अॅडसेफ,DuckDuckGo, जस्टुनो и EasyPrivacy.
पाठवल्यानंतर अधिसूचना EasyPrivacy ब्लॉक यादीचे विकसक होते स्थापन लपलेल्या ओळख स्क्रिप्टसाठी एक वेगळा विभाग. या व्यतिरिक्त, FP-Inspector ने आम्हाला वेब API वापरण्यासाठी काही नवीन मार्ग ओळखण्याची परवानगी दिली जी पूर्वी व्यवहारात आढळली नव्हती.

उदाहरणार्थ, असे आढळून आले की कीबोर्ड लेआउट (getLayoutMap), कॅशेमधील अवशिष्ट डेटा माहिती ओळखण्यासाठी वापरला गेला होता (परफॉर्मन्स API वापरून, डेटा वितरणातील विलंबांचे विश्लेषण केले जाते, ज्यामुळे वापरकर्त्याने प्रवेश केला की नाही हे निर्धारित करणे शक्य होते. विशिष्ट डोमेन आहे की नाही, तसेच पृष्ठ पूर्वी उघडले होते की नाही, ब्राउझरमध्ये सेट केलेल्या परवानग्या (सूचना, भौगोलिक स्थान आणि कॅमेरा API मध्ये प्रवेश करण्याबद्दल माहिती), विशेष परिधीय उपकरणे आणि दुर्मिळ सेन्सर्सची उपस्थिती (गेमपॅड, आभासी वास्तविकता हेल्मेट, प्रॉक्सिमिटी सेन्सर्स). याव्यतिरिक्त, विशिष्ट ब्राउझरसाठी विशेषीकृत API ची उपस्थिती आणि API वर्तनातील फरक (AudioWorklet, setTimeout, mozRTCSessionDescription) तसेच ध्वनी प्रणालीची वैशिष्ट्ये निर्धारित करण्यासाठी AudioContext API चा वापर ओळखताना, ते रेकॉर्ड केले गेले.

लपविलेल्या ओळखीपासून संरक्षणाच्या पद्धती वापरण्याच्या बाबतीत साइट्सच्या मानक कार्यक्षमतेमध्ये व्यत्यय येण्याच्या समस्येचे देखील अभ्यासात परीक्षण केले गेले, ज्यामुळे नेटवर्क विनंत्या अवरोधित केल्या जातात किंवा API वर प्रवेश प्रतिबंधित केला जातो. केवळ FP-Inspector द्वारे ओळखल्या जाणाऱ्या स्क्रिप्ट्सपुरते API ला निवडकपणे प्रतिबंधित केल्याने ब्रेव्ह आणि टोर ब्राउझरपेक्षा API कॉल्सवर अधिक कठोर सामान्य निर्बंध वापरून कमी व्यत्यय येत असल्याचे दिसून आले आहे, ज्यामुळे डेटा लीक होण्याची शक्यता आहे.

स्त्रोत: opennet.ru