30% tina sarébu situs pangbadagna ngagunakeun Aksara pikeun idéntifikasi disumputkeun

Tim peneliti ti Mozilla, Universitas Iowa sareng Universitas California diterbitkeun hasil diajar pamakéan kode dina ramatloka pikeun idéntifikasi pamaké disumputkeun. Idéntifikasi disumputkeun nujul kana generasi identifier dumasar kana data teu langsung ngeunaan operasi browser, kayaning resolusi layar, daptar tipe MIME nu dirojong, parameter husus dina lulugu (HTTP / 2 и HTTPS), analisis dipasang plugins jeung fon, kasadiaan API Web tangtu, husus pikeun kartu vidéo Fitur Rendering maké WebGL na gambaran, manipulasi kalawan CSS, nyokot kana akun nilai standar, nyeken palabuhan jaringan, analisis fitur gawé bareng beurit и keyboard.

Panaliti ngeunaan 100 rébu situs anu pang populerna dumasar kana rating Alexa nunjukkeun yén 9040 di antarana (10.18%) ngagunakeun kode pikeun ngaidentipikasi sémah sacara rahasia. Sumawona, upami urang nganggap sarébu situs anu pang populerna, maka kode sapertos kitu dideteksi dina 30.60% kasus (266 situs), sareng diantara situs-situs anu ngeusian tempat-tempat dina réngking ti sarébu dugi ka sapuluh rébu, dina 24.45% kasus (situs 2010). . idéntifikasi disumputkeun utamana dipaké dina Aksara disadiakeun ku jasa éksternal pikeun anti panipuan sarta screening kaluar bot, kitu ogé jaringan iklan jeung sistem tracking gerakan pamaké.

Pikeun ngaidentipikasi kodeu anu ngalaksanakeun idéntifikasi disumputkeun, toolkit dikembangkeun FP-Inspektur, anu kodeu diajukeun handapeun lisénsi MIT. Toolkit ngagunakeun téknik pembelajaran mesin dina kombinasi sareng analisis statik sareng dinamis kode JavaScript. Diklaim yén pamakean pembelajaran mesin parantos ningkat sacara signifikan katepatan ngidentipikasi kode pikeun idéntifikasi disumputkeun sareng ngaidentipikasi 26% naskah anu langkung bermasalah.
dibandingkeun sareng heuristik anu ditangtukeun sacara manual.

Seueur skrip idéntifikasi anu diidentifikasi henteu kalebet dina daptar blokiran anu biasa. mutuskeun, Adsafe,DuckDuckGo, Justuno и EasyPrivacy.
Sanggeus ngirim bewara Pamekar tina daptar blok EasyPrivacy éta didirikeun bagian misah pikeun Aksara idéntifikasi disumputkeun. Salaku tambahan, FP-Inspektur ngamungkinkeun urang pikeun ngaidentipikasi sababaraha cara anyar pikeun ngagunakeun API Wéb pikeun idéntifikasi anu henteu kantos dipendakan dina praktékna.

Contona, kapanggih yén informasi ngeunaan tata perenah keyboard (getLayoutMap), data residual dina cache dipaké pikeun ngaidentipikasi informasi (ngagunakeun Performance API, reureuh dina pangiriman data dianalisis, nu ngamungkinkeun pikeun nangtukeun naha pamaké diaksés a. domain tangtu atanapi henteu, kitu ogé naha kaca ieu dibuka saméméhna), idin diatur dina browser nu (inpormasi ngeunaan aksés ka Bewara, Geolocation jeung API kaméra), ayana alat periferal husus sarta sensor langka (gamepads, helmets kanyataanana maya,). sensor jarak). Salaku tambahan, nalika ngaidentipikasi ayana API khusus pikeun panyungsi sareng bédana dina paripolah API (AudioWorklet, setTimeout, mozRTCSessionDescription), kitu ogé panggunaan API AudioContext pikeun nangtukeun fitur sistem sora, éta dirékam.

Panaliti ogé nalungtik masalah gangguan tina fungsionalitas standar situs dina kasus ngagunakeun métode panyalindungan ngalawan idéntifikasi disumputkeun, ngarah ka blocking tina requests jaringan atawa restricting aksés ka API. Ngawatesan API sacara selektif pikeun ngan ukur naskah anu diidentipikasi ku FP-Inspektor parantos nunjukkeun kurang gangguan tibatan Brave and Tor Browser nganggo larangan umum anu langkung ketat dina telepon API, anu berpotensi nyababkeun bocor data.

sumber: opennet.ru