Chrome 76 miał luka w implementacji API FileSystem, która pozwala na określenie z poziomu aplikacji internetowej użycia trybu incognito. Począwszy od Chrome 76, zamiast blokować dostęp do API FileSystem, które było używane jako oznaka aktywności w trybie incognito, przeglądarka nie ogranicza już API FileSystem, ale czyści zmiany wprowadzone po sesji. Jak się okazuje, nowa realizacja wady, które umożliwiają określenie aktywności trybu incognito jak poprzednio.
Istota problemu polega na tym, że sesja z API FileSystem w trybie incognito jest tymczasowa, a dane nie są zapisywane na dysku, lecz przechowywane są w pamięci RAM. Odpowiednio, czas zapisu danych poprzez FileSystem API i powstające odchylenia (przy zapisie do RAM rejestrowana jest stała charakterystyka, natomiast przy zapisie na dysk zmieniają się opóźnienia) możesz śmiało ocenić, czy strona jest przeglądana w trybie incognito, czy nie . Wadą tej metody jest dość długi proces pomiaru odchyłek, który może trwać około minuty ().
Jednocześnie w Chrome 76 nienaprawiono jeszcze jednej rzeczy , co pozwala ocenić działanie trybu incognito na podstawie oceny ograniczeń ustawionych poprzez API . W przypadku magazynu tymczasowego używanego w trybie incognito ustawione są inne limity niż w przypadku pełnego przechowywania na dysku.
Przypomnijmy, że serwisy działające w modelu zapewnienia pełnego dostępu w ramach płatnej subskrypcji (paywall) zainteresowane są zdefiniowaniem trybu incognito. Aby przyciągnąć nowych odbiorców, takie witryny zapewniają nowym użytkownikom na pewien czas pełny dostęp demonstracyjny, który jest aktywnie wykorzystywany do omijania zapór płatniczych. Dostęp do płatnych treści w takich systemach najłatwiej uzyskać, korzystając z trybu incognito, w którym witryna uważa, że użytkownik otworzył stronę po raz pierwszy. Wydawcy nie są zadowoleni z takiego zachowania, więc aktywnie wykorzystali lukę związaną z interfejsem FileSystem API, aby nałożyć wymóg wyłączenia trybu incognito w celu kontynuowania przeglądania.
Źródło: opennet.ru