Një grup kërkuesish nga Mozilla, Universiteti i Ajovës dhe Universiteti i Kalifornisë ka publikuar përfundimet e studimit mbi përdorimin në faqe të kodit për identifikimin e fshehtë të përdoruesve. Identifikimi i fshehtë nënkupton gjenerimin e identifikuesve mbi bazën e të dhënave indirekte mbi funksionimin e shfletuesit, siç janë , lista e MIME-tipave të mbështetur, parametrat specifikë në headers ( dhe ), analiza e plugineve të instaluar , disponueshmëria e disa Web API-ve, specifike për kartat grafike vizitat përmes WebGL dhe , me CSS, , i porteve të rrjetit, analiza e veçorive të funksionimit me dhe .
Studimi i 100,000 faqeve më të njohura sipas renditjes Alexa tregoi se në 9040 prej tyre (10.18%) aplikohet kodi për identifikimin e fshehtë të vizitorëve. Në këtë drejtim, nëse shqyrtojmë mijë faqe më të njohura, kodi i tillë u identifikua në 30.60% të rasteve (266 faqe), ndërsa midis faqeve që zënë pozita nga e mijëta deri në e dhjetë, në 24.45% të rasteve (2010 faqe). Kryesisht, identifikimi i fshehtë aplikohet në skriptet e ofruara nga shërbime të jashtme për dhe për të filtruar botët, si dhe nga rrjetet reklamues dhe sistemet e ndjekjes së lëvizjeve të përdoruesve.
Për identifikimin e kodit që realizon identifikimin e fshehtë, është zhvilluar një mjet , kodi i të cilit është nën licencën MIT. Mjeti përdor metoda të mësimit të makinerisë së bashku me analizën statike dhe dinamike të kodit JavaScript. Kërkohet se përdorimi i mësimit të makinerisë ka bërë të mundur një rritje të dukshme të saktësisë në identifikimin e kodit për identifikim të fshehtë dhe të identifikonte 26% më shumë skripte problematike
krahasuar me heuristikën e vendosur me dorë.
Shumë nga skriptet e identifikimit të identifikuara mungonin në listat standarde të bllokimit , , DuckDuckGo, dhe .
Pas dërgimit nga zhvilluesit të listës së bllokimit EasyPrivacy u krijua një seksion i veçantë për skriptet e identifikimit të fshehtë. Përveç kësaj, FP-Inspector lejojti identifikimin e disa mënyrave të reja të përdorimit të Web API për identifikim, të cilat nuk ishin hasur më parë në praktikë.
Për shembull, u identifikua përdorimi për identifikimin e informacionit mbi përbërjen e tastierës (getLayoutMap), të dhënave mbetëse në cache (përmes API Performance analizohet vonesat në dorëzim të të dhënave, çka lejon të përcaktohet nëse përdoruesi kishte aksesuar një domain të caktuar apo jo, si dhe nëse një faqe ishte hapur më parë), të privilegjeve të caktuara të shfletuesit (informacion mbi qasjen në Notification, Geolocation dhe Camera API), praninë e pajisjeve periferike të specializuara dhe sensorëve të rrallë (kontrollues, helmeta të realitetit virtual, sensora përafrimi). Për më tepër, u dokumentua marrja parasysh në identifikim të pranisë së API-ve të specializuara për shfletues të caktuar dhe dallimet në sjelljen e API-ve (AudioWorklet, setTimeout, mozRTCSessionDescription), si dhe përdorimi i API AudioContext për të përcaktuar veçoritë e sistemit audio.
Gjatë studimit, gjithashtu u shqyrtua çështja e shkeljes së funksionalitetit normal të faqeve në rastin e përdorimit të metodave të mbrojtjes nga identifikimi i fshehtë, të cilat çojnë në bllokimin e kërkesave të rrjetit ose kufizimin e qasjes në API. U tregua se kufizimi selektiv i API-ve vetëm për skriptet e identifikuara nga FP-Inspector çon në më pak shkelje në funksionim, krahasuar me përdorimin në Brave dhe Tor Browser të kufizimeve më të rrepta të thirrjeve të API-ve, të cilat potencialisht mund të çojnë në rrjedhje të të dhënave.
Burimi: opennet.ru
