Van Selectel: dit artikel is de eerste in een serie vertalingen van een zeer gedetailleerd artikel over browserfingerprinting en hoe de technologie werkt. Hier is alles verzameld wat je ooit wilde weten, maar waar je bang voor was om te vragen over dit onderwerp.
Wat is browserfingerprinting?
Dit is een methode die door websites en diensten wordt gebruikt om bezoekers te volgen. Gebruikers krijgen een unieke identificatie toegewezen (fingerprint). Dit bevat veel informatie over de instellingen en mogelijkheden van de browsers van de gebruikers, die gebruikt wordt voor identificatie. Bovendien stelt de browserfingerprint websites in staat om gedrags patronen te volgen, zodat ze gebruikers later nog nauwkeuriger kunnen identificeren.
De uniciteit is ongeveer hetzelfde als die van echte vingerafdrukken. Alleen verzamelt de politie deze laatste om verdachten van misdaden op te sporen. Maar de browserfingerprinting-technologie wordt helemaal niet gebruikt om criminelen te volgen. Want we zijn hier toch geen criminelen, of wel?
Welke gegevens verzamelt de browserfingerprint?
We wisten al sinds het begin van het internet dat iemand te volgen is via IP. Maar in dit geval is het veel ingewikkelder. De browserfingerprint omvat het IP-adres, maar dat is zeker niet de belangrijkste informatie. In feite is IP niet nodig om jou te identificeren.
Volgens een onderzoek , omvat de browserfingerprint:
- User-agent (inclusief niet alleen de browser, maar ook de versie van het besturingssysteem, het type apparaat, taalinstellingen, werkbalk enzovoort).
- Tijdzone.
- Schermresolutie en kleurdiepte.
- Supercookies.
- Cookie-instellingen.
- Systeemlettertypes.
- Browser-plug-ins en hun versies.
- Browsegeschiedenis.
Volgens de resultaten van het EFF-onderzoek is de uniciteit van een browserfingerprint zeer hoog. Als we het hebben over statistieken, dan komt het maar eens in de 286777 gevallen voor dat er een volledige overeenkomst is tussen de browserfingerprints van twee verschillende gebruikers.
Volgens nog , bedraagt de nauwkeurigheid van de gebruikersidentificatie via browserfingerprinting 99,24%. Het wijzigen van een van de parameters van de browser vermindert de nauwkeurigheid van de gebruikersidentificatie slechts met 0,3%. Er zijn tests voor browserfingerprinting die laten zien hoeveel informatie er wordt verzameld.
Hoe werkt browserfingerprinting?
Waarom is het verzamelen van informatie over de browser überhaupt mogelijk? Heel eenvoudig — uw browser wisselt gegevens uit met de webserver wanneer u een websiteadres opvraagt. Normaal gesproken geven websites en diensten een unieke identificatiecode aan de gebruiker.
Bijvoorbeeld, «gh5d443ghjflr123ff556ggf».
Deze reeks van willekeurige letters en cijfers helpt de server u te identificeren, uw browser en voorkeuren met u te associëren. Acties die u online onderneemt, krijgen ongeveer dezelfde code.
Als u bijvoorbeeld in Twitter bent ingelogd, waar wat informatie over u staat, worden al deze gegevens automatisch gekoppeld aan dezelfde identificatiecode.
Natuurlijk blijft deze code niet voor de rest van uw leven bij u. Als u begint te surfen met een ander apparaat of een andere browser, zal de identificatiecode waarschijnlijk ook veranderen.
Hoe verzamelen websites gebruikersgegevens?
Dit is een tweelaags proces dat zowel aan de serverzijde als aan de clientzijde werkt.
Aan de serverzijde
Toegangslijsten van de website
In dit geval gaat het om het verzamelen van gegevens die door de browser worden verzonden. Minimale gegevens zijn:
- Het opgevraagde protocol.
- De opgevraagde URL.
- Uw IP.
- Referer.
- User-agent.
Hoofden
Webservers ontvangen deze gegevens van uw browser. Headers zijn belangrijk omdat ze ervoor zorgen dat de opgevraagde website werkt met uw browser.
Bijvoorbeeld, informatie in de header laat de site weten of u een pc of mobiel apparaat gebruikt. In dat laatste geval vindt er een redirect plaats naar de mobiele geoptimaliseerde versie. Helaas komen dezelfde gegevens ook in uw vingerafdruk terecht.
Cookies
Hier is alles duidelijk. Webservers wisselen altijd cookies uit met browsers. Als u in de instellingen toestemming geeft voor het gebruik van cookies, worden deze op uw apparaat opgeslagen en naar de server gestuurd wanneer u een website bezoekt die u eerder heeft bezocht.
Cookies helpen om comfortabeler te surfen, maar ze geven ook meer informatie over u prijs.
Canvas Fingerprinting
In deze methode wordt het HTML5-canvas element gebruikt, dat ook door WebGL wordt gebruikt voor de visualisatie van 2D- en 3D-grafieken in de browser.
Deze methode «dwingt» meestal de browser om grafische inhoud te verwerken, inclusief afbeeldingen, tekst of beide tegelijk. Voor u is dit proces onopgemerkt, omdat alles op de achtergrond gebeurt.
Zodra het proces is voltooid, transformeert canvas fingerprinting de graphics in een hash, die de unieke identifier wordt waar we het eerder over hadden.
Deze methode maakt het mogelijk om de volgende informatie over uw apparaat te verkrijgen:
- De grafische adapter.
- De driver van de grafische adapter.
- De processor (indien er geen aparte grafische chip is).
- Geïnstalleerde lettertypen.
Client-side logging
Hiermee wordt bedoeld dat uw browser een grote hoeveelheid informatie uitwisselt door:
Adobe Flash en JavaScript
Volgens de FAQ , als JavaScript is ingeschakeld, dan worden gegevens over uw plug-ins of hardware-specificaties naar buiten verzonden.
Als Flash is geïnstalleerd en ingeschakeld, biedt dit de externe 'waarnemer' nog meer informatie, waaronder:
- Uw tijdzone.
- De versie van het besturingssysteem.
- Resolutie van het scherm.
- Een volledige lijst van de op het systeem geïnstalleerde lettertypen.
Cookies
Ze spelen een zeer belangrijke rol in logging. U moet meestal beslissen of u de browser toestemming geeft om cookies te verwerken of ze volledig te verwijderen.
In het eerste geval ontvangt de webserver gewoon een enorme hoeveelheid informatie over uw apparaat en voorkeuren. Als u geen toestemming geeft voor het gebruik van cookies, krijgen websites toch enige gegevens over uw browser.
Waarom is browserverfingerprinting nodig?
Hoofdzakelijk om ervoor te zorgen dat de gebruiker van het apparaat een geoptimaliseerde website voor zijn apparaat krijgt, ongeacht of hij internet bekijkt vanaf een tablet of smartphone.
Bovendien wordt de technologie gebruikt voor advertenties. Het is gewoon een ideaal hulpmiddel voor data mining.
Op basis van de verzamelde informatie kan de server vijfster-nuanceerde advertentiecampagnes met personalisatie opzetten. De nauwkeurigheid van de targeting is veel hoger dan wanneer alleen IP-adressen worden gebruikt.
Adverteerders kunnen bijvoorbeeld browser fingerprints gebruiken om een lijst van websitegebruikers te verkrijgen met een schermresolutie die als laag kan worden beschouwd (bijvoorbeeld 1300*768), die op zoek zijn naar betere monitoren in de webshop van de verkoper. Of gebruikers die gewoon door de site surfen zonder de intentie iets te kopen.
Die verkregen informatie kan worden gebruikt voor het targeten van advertenties voor hoogwaardige monitors met hoge resolutie naar gebruikers met verouderde en minderwaardige beeldschermen.
Daarnaast wordt technologie voor vingerafdrukken van de browser ook gebruikt voor:
- Het opsporen van frauduleuze activiteiten en botnets. Dit is een echte nuttige functie voor banken en financiële instellingen. Ze scheiden het gedrag van de gebruiker van de activiteiten van kwaadwillenden.
- Het identificeren van VPN- en proxygebruikers. Inlichtingendiensten kunnen deze methode gebruiken om internetgebruikers met verborgen IP-adressen te volgen.
Uiteindelijk, zelfs als browserfingerprints voor legitieme doeleinden worden gebruikt, heeft dit nog steeds een zeer negatieve impact op de privacy van gebruikers. Vooral als gebruikers proberen zich te beschermen met een VPN.
Bovendien kunnen browserfingerprints de beste vriend van een hacker zijn. Als ze exacte gegevens over jouw apparaat hebben, kunnen ze speciale exploits gebruiken om je apparaat te hacken. Het is helemaal niet moeilijk - elke cybercrimineel kan een vervalste website maken met een script voor vingerafdrukken.
Ter herinnering, dit artikel is slechts het eerste deel; er volgen nog twee. Daarin worden de kwesties van de legaliteit van het verzamelen van persoonlijke gegevens van gebruikers, de mogelijkheden voor het gebruik van deze gegevens en de methoden voor bescherming tegen te actieve "verzamelaars" besproken.
Bron: habr.com
