Snímanie odtlačkov prstov prehliadača: čo to je, ako to funguje, porušuje zákon a ako sa chrániť. Časť 2

Od Selectel: toto je druhá časť prekladu článku o odtlačkoch prstov prehliadača (prvý si môžete prečítať tu). Dnes budeme hovoriť o zákonnosti služieb a webových stránok tretích strán, ktoré zhromažďujú odtlačky prstov rôznych používateľov, a o tom, ako sa môžete chrániť pred zhromažďovaním informácií.

Ako je to teda so zákonnosťou zbierania odtlačkov prstov prehliadača?

Podrobne sme si túto tému preštudovali, ale nepodarilo sa nám nájsť konkrétne zákony (hovoríme o legislatíve USA – pozn. red.). Ak viete identifikovať akékoľvek zákony, ktoré upravujú zhromažďovanie odtlačkov prstov prehliadača vo vašej krajine, dajte nám vedieť.

V Európskej únii však existujú zákony a smernice (najmä GDPR a smernica o elektronickom súkromí), ktoré upravujú používanie odtlačkov prstov prehliadača. Je to úplne legálne, ale len v prípade, ak organizácia dokáže potrebu vykonávať takúto prácu.

Okrem toho je na použitie informácií potrebný súhlas používateľa. Je to pravda, existujú dve výnimky z tohto pravidla:

• Keď sa odtlačok prehliadača vyžaduje na „výhradný účel prenosu správy cez elektronickú komunikačnú sieť“.
• Pri zhromažďovaní odtlačkov prstov prehliadača je potrebné prispôsobiť používateľské rozhranie konkrétneho zariadenia. Keď napríklad surfujete na webe z mobilného zariadenia, používa sa technológia na zhromažďovanie a analýzu odtlačkov prstov prehliadača, aby vám mohla poskytnúť prispôsobenú verziu.

S najväčšou pravdepodobnosťou podobné zákony platia aj v iných krajinách. Kľúčovým bodom je teda to, že služba alebo stránka potrebuje súhlas používateľa na prácu s odtlačkami prstov prehliadača.

Ale je tu problém - otázka nie je vždy jednoznačná. Používateľovi sa najčastejšie zobrazuje iba banner „Súhlasím s podmienkami používania“. Áno, banner vždy obsahuje odkaz na samotné podmienky. Ale kto ich číta?

Zvyčajne teda používateľ sám dáva povolenie na zhromažďovanie odtlačkov prstov prehliadača a analýzu týchto informácií, keď klikne na tlačidlo „súhlasím“.

Otestujte si odtlačok svojho prehliadača

Dobre, vyššie sme diskutovali o tom, aké údaje možno zbierať. Čo však konkrétna situácia – vlastný prehliadač?

Aby ste pochopili, aké informácie možno s jeho pomocou zbierať, najjednoduchším spôsobom je použiť zdroj Informácie o zariadení. Ukáže vám, čo môže cudzinec získať z vášho prehliadača.

Vidíte tento zoznam vľavo? To nie je všetko, zvyšok zoznamu sa zobrazí pri posúvaní stránky nadol. Mesto a región sa na obrazovke nezobrazujú z dôvodu použitia VPN zo strany autorov.

Existuje niekoľko ďalších stránok, ktoré vám pomôžu vykonať test odtlačkov prstov prehliadača. Toto Panopticlick z EFRH a AmIUnique, stránka s otvoreným zdrojom.

Čo je entropia odtlačkov prstov prehliadača?

Toto je hodnotenie jedinečnosti odtlačku vášho prehliadača. Čím vyššia je hodnota entropie, tým vyššia je jedinečnosť prehliadača.

Entropia odtlačku prsta prehliadača sa meria v bitoch. Tento indikátor môžete skontrolovať na webovej stránke Panopticlick.

Aké presné sú tieto testy?

Vo všeobecnosti im možno dôverovať, pretože zhromažďujú presne tie isté údaje ako zdroje tretích strán. A to vtedy, ak hodnotíme zbieranie informácií bod po bode.

Ak hovoríme o hodnotení jedinečnosti, potom tu nie je všetko také dobré a tu je dôvod:

• Testovacie stránky neberú do úvahy náhodné odtlačky prstov, ktoré je možné získať napríklad pomocou Brave Nightly.
• Stránky ako Panopticlick a AmIUnique majú obrovské dátové archívy obsahujúce informácie o starých a zastaraných prehliadačoch, ktorých používatelia boli overení. Ak teda urobíte test s novým prehliadačom, pravdepodobne získate vysoké skóre za jedinečnosť svojho odtlačku prsta, a to aj napriek skutočnosti, že stovky ďalších používateľov používajú rovnakú verziu rovnakého prehliadača ako vy.
• Napokon nezohľadňujú rozlíšenie obrazovky ani zmenu veľkosti okna prehliadača. Napríklad písmo môže byť príliš veľké alebo malé alebo farba môže sťažiť čítanie textu. Nech je dôvod akýkoľvek, testy ho neberú do úvahy.

Vo všeobecnosti nie sú testy jedinečnosti odtlačkov prstov zbytočné. Stojí za to ich vyskúšať, aby ste zistili úroveň entropie. Najlepšie je však jednoducho zhodnotiť, aké informácie „rozdávate“.

Ako sa chrániť pred odtlačkami prstov prehliadača (jednoduché metódy)

Okamžite stojí za to povedať, že nebude možné úplne zablokovať vytváranie a zhromažďovanie odtlačkov prstov prehliadača - ide o základnú technológiu. Ak sa chcete chrániť na 100%, stačí nepoužívať internet.

Množstvo informácií zhromaždených službami a zdrojmi tretích strán sa však môže znížiť. Tu vám tieto nástroje pomôžu.

Prehliadač Firefox s upravenými nastaveniami

Tento prehliadač je celkom dobrý pri ochrane používateľských údajov. Nedávno vývojári chránili používateľov Firefoxu pred odtlačkami prstov tretích strán.

Úroveň ochrany sa však môže zvýšiť. Ak to chcete urobiť, musíte prejsť do nastavení prehliadača zadaním „about:config“ do panela s adresou. Potom vyberte a zmeňte nasledujúce možnosti:

• webgl.disabled - vyberte „pravda“.
• geo. povolené — vyberte „false“.
• privacy.resistFingerprinting - vyberte „pravda“. Táto možnosť poskytuje základnú úroveň ochrany proti odtlačkom prstov prehliadača. Najefektívnejšie je to však pri výbere iných možností zo zoznamu.
• súkromie.prvej strany.izolovať - zmeniť na „pravda“. Táto možnosť vám umožňuje blokovať súbory cookie z domén prvej strany.
• media.peerconnection.enabled - voliteľná možnosť, ale ak pracujete s VPN, oplatí sa vybrať. Umožňuje zabrániť úniku WebRTC a demonštrácii vašej IP adresy.

Odvážny prehliadač

Ďalší prehliadač, ktorý je užívateľsky prívetivý a poskytuje serióznu ochranu osobných údajov. Prehliadač blokuje rôzne typy sledovačov, používa HTTPS všade tam, kde je to možné, a blokuje skripty.

Brave vám navyše dáva možnosť zablokovať väčšinu nástrojov na snímanie odtlačkov prstov prehliadača.

Na odhad úrovne entropie sme použili Panopticlick. V porovnaní s Operou to vyšlo 16.31 bitov namiesto 17.89. Rozdiel nie je veľký, ale stále je.

Odvážni používatelia navrhli rôzne spôsoby ochrany pred odtlačkami prstov prehliadača. Je tam toľko detailov, že je nemožné ich vymenovať v jednom článku. Všetky podrobnosti dostupné na Github projektu.

Špecializované rozšírenia prehliadača

Rozšírenia sú citlivou témou, pretože niekedy zvyšujú jedinečnosť odtlačku prsta prehliadača. Či ich použije alebo nie, je na rozhodnutí používateľa.

Tu je to, čo môžeme odporučiť:

• Chameleón — úprava hodnôt user-agent. Frekvenciu môžete nastaviť napríklad na „raz za 10 minút“.
• stopa — ochrana pred rôznymi typmi zbierania odtlačkov prstov.
• User-Agent Switcher - robí zhruba to isté ako Chameleon.
• Canvasblocker — ochrana pred zbieraním digitálnych odtlačkov prstov z plátna.

Je lepšie použiť jedno rozšírenie namiesto všetkých naraz.

Prehliadač Tor bez Tor sieť

Na Habré netreba vysvetľovať, čo je prehliadač Tor. Štandardne ponúka množstvo nástrojov na ochranu osobných údajov:

• HTTPS kdekoľvek a všade.
• NoScript.
• Blokovanie WebGl.
• Blokovanie extrakcie obrazu na plátne.
• Zmena verzie OS.
• Blokovanie informácií o časovom pásme a nastaveniach jazyka.
• Všetky ostatné funkcie na blokovanie nástrojov dohľadu.

Sieť Tor však nie je taká pôsobivá ako samotný prehliadač. Preto:

• Funguje to pomaly. Je to preto, že existuje asi 6 tisíc serverov, ale asi 2 milióny používateľov.
• Mnoho stránok blokuje prenos Tor, ako napríklad Netflix.
• Dochádza k únikom osobných informácií, jeden z najvážnejších sa stal v roku 2017.
• Tor má zvláštny vzťah s americkou vládou – možno to nazvať úzkou spoluprácou. Okrem toho je vláda finančne podporuje Tor.
• Môžete sa pripojiť k útočníkov uzol.

Vo všeobecnosti je možné používať prehliadač Tor bez siete Tor. Nie je to také ľahké, ale metóda je celkom dostupná. Úlohou je vytvoriť dva súbory, ktoré deaktivujú sieť Tor.

Najlepší spôsob, ako to urobiť, je v programe Poznámkový blok ++. Otvorte ho a na prvú kartu pridajte nasledujúce riadky:

pref('general.config.filename', 'firefox.cfg');
pref('general.config.obscure_value', 0);

Potom prejdite na Edit - EOL Conversion, vyberte Unix (LF) a uložte súbor ako autoconfig.js do adresára Tor Browser/defaults/pref.

Potom otvorte novú kartu a skopírujte tieto riadky:

//
lockPref('network.proxy.type', 0);
lockPref('network.proxy.socks_remote_dns', false);
lockPref('extensions.torlauncher.start_tor', false);

Názov súboru je firefox.cfg, je potrebné ho uložiť v Tor Browser/Browser.

Teraz je všetko pripravené. Po spustení prehliadač zobrazí chybu, ktorú však môžete ignorovať.

A áno, vypnutie siete nijako neovplyvní odtlačok prehliadača. Panopticlick ukazuje úroveň entropie 10.3 bitov, čo je oveľa menej ako pri prehliadači Brave (bolo to 16,31 bitov).

Vyššie uvedené súbory je možné stiahnuť preto.

V tretej a poslednej časti budeme hovoriť o tvrdších metódach zakázania sledovania. Budeme diskutovať aj o problematike ochrany osobných údajov a iných informácií pomocou VPN.

Zdroj: hab.com