Fant en metode for å oppdage inkognitosurfing i Chrome 76

Chrome 76 hadde dekket et smutthull i implementeringen av FileSystem API, som lar deg bestemme fra en nettapplikasjon bruken av inkognitomodus. Fra og med Chrome 76, i stedet for å blokkere tilgangen til FileSystem API, som ble brukt som et tegn på aktivitet i inkognitomodus, begrenser ikke nettleseren lenger FileSystem API, men rydder opp i endringer som er gjort etter økten. Som det viser seg, den nye implementeringen Det har ulemper som gjør det mulig å bestemme aktiviteten til inkognitomodus som før.

Essensen av problemet er at økten med FileSystem API i inkognitomodus er midlertidig, og dataene lagres ikke på disken og holdes i RAM. Henholdsvis måling tidspunktet for lagring av data via FileSystem API og avvikene som oppstår (ved lagring i RAM registreres konstante egenskaper, mens forsinkelsene endres ved skriving til disk) kan du trygt bedømme om siden vises i inkognitomodus eller ikke . Ulempen med denne metoden er den ganske langvarige prosessen med å måle avvik, som kan vare omtrent ett minutt (demonstrasjon).

Samtidig forblir en ting til ufikset i Chrome 76 problem, som lar deg bedømme aktiviteten til inkognitomodus basert på en vurdering av begrensningene satt via API Kvotestyring. For midlertidig lagring brukt i inkognitomodus er det satt andre grenser enn for full lagring på disk.

La oss minne deg på at nettsteder som opererer etter modellen for å gi full tilgang via et betalt abonnement (betalingsmur) er interessert i å definere inkognitomodus. For å tiltrekke seg et nytt publikum, gir slike nettsteder nye brukere full demotilgang i noen tid, som brukes aktivt til å omgå betalingsmurer. Den enkleste måten å få tilgang til betalt innhold i slike systemer er å bruke inkognitomodus, der nettstedet tror at brukeren har åpnet siden for første gang. Utgivere er ikke fornøyd med denne oppførselen, så de brukte aktivt et smutthull knyttet til FileSystem API for å pålegge et krav om å deaktivere inkognitomodus for å fortsette å surfe.

Kilde: opennet.ru