Skupina výskumníkov z Mozilly, Iowa State University a Kalifornskej univerzity zhrnula štúdiu použitia kódu na webových stránkach na skrytú identifikáciu používateľov. Skrytá identifikácia sa týka generovania identifikátorov na základe nepriamych údajov o činnosti prehliadača, ako sú , zoznam podporovaných MIME typov, špecifické parametre v hlavičkách ( a ), analýza nainštalovaných , dostupnosť určitých Web API, špecifických pre grafické karty renderovanie pomocou WebGL a , s CSS, , sieťových portov, analýza aspektov činnosti s a .
Štúdia 100 000 najpopulárnejších webových stránok podľa rebríčka Alexa ukázala, že na 9040 z nich (10,18 %) sa používa kód na skrytú identifikáciu návštevníkov. Z toho, ak sa zohľadní tisíc najpopulárnejších stránok, bol takýto kód zistený v 30,60 % prípadoch (266 stránok), a medzi stránkami, ktoré zaberajú miesta v rebríčku od tisíce po desiatky tisíc, v 24,45 % prípadoch (2010 stránok). Skrytá identifikácia sa väčšinou používa v skriptoch, ktoré poskytujú vonkajšie služby na a filtrovanie botov, ako aj reklamnými sieťami a systémami sledovania pohybu používateľov.
Na identifikáciu kódu, ktorý vykonáva skrytú identifikáciu, bol vyvinutý nástroj , ktorého kód je pod licenciou MIT. Nástroj využíva metódy strojového učenia v kombinácii so statickou a dynamickou analýzou kódu JavaScript. Tvrdí sa, že používanie strojového učenia umožnilo výrazne zvýšiť presnosť identifikácie kódu pre skrytú identifikáciu a odhaliť o 26 % viac problémových skriptov
v porovnaní s ručne zadanou heuristikou.
Mnohé z identifikovaných skriptov neboli zahrnuté v štandardných blokovacích zoznamoch , , DuckDuckGo, a .
Po odoslaní vývojármi blokovacieho zoznamu EasyPrivacy bol vytvorený samostatný oddiel pre skripty skrytej identifikácie. Okrem toho FP-Inspector umožnil odhaliť niektoré nové spôsoby využitia Web API na identifikáciu, ktoré sa predtým nikdy nevyskytli v praxi.
Napríklad sa zistilo, že na identifikáciu informácií o rozložení klávesnice (getLayoutMap), zvyškových údajov v cache (pomocou API Performance sa analyzujú oneskorenia pri odovzdávaní údajov, čo umožňuje určiť, či používateľ pristupoval k určitej doméne alebo nie, a či bola stránka predtým otvorená), udelených oprávnení v prehliadači (informácie o prístupe k Notification, Geolocation a Camera API), prítomnosti špecializovaných periférnych zariadení a zriedkavých senzorov (herné ovládače, headsety virtuálnej reality, senzory blízkosti). Okrem toho sa zaznamenali aj úvahy pri identifikácii prítomnosti špecializovaných API pre určité prehliadače a rozdiely v správaní API (AudioWorklet, setTimeout, mozRTCSessionDescription), ako aj použitie API AudioContext na určenie vlastností zvukového systému.
Počas štúdie sa taktiež skúmal problém narušenia štandardnej funkčnosti webových stránok v prípade aplikácie metód ochrany pred skrytou identifikáciou, čo vedie k blokovaniu sieťových požiadaviek alebo obmedzeniu prístupu k API. Bolo preukázané, že selektívne obmedzenie API iba pre skripty zistené FP-Inspector vedie k menším narušeniam v prevádzke ako pri použití prísnejších celkových obmedzení volania API v prehliadačoch Brave a Tor, ktoré môžu potenciálne viesť k úniku údajov.
Zdroj: opennet.ru
