Webbläsaravtryck: vad är det, hur fungerar det, bryter det mot lagen och hur skyddar man sig. Del 2

Från Selectel: detta är den andra delen av översättningen av artikeln om webbläsartokens (här kan du läsa den första). Idag ska vi prata om lagenlighet av insamlingen av webbläsartokens från olika användare av tredjepartstjänster och webbplatser, samt hur man kan skydda sig mot informationsinsamling.

Vad gäller lagenligheten av insamlingen av webbläsartokens?

Vi har analyserat ämnet noggrant, men vi har inte kunnat hitta några specifika lagar (det handlar om amerikansk lagstiftning — anm. red.). Om ni kan ge oss artiklar i lagar som reglerar insamlingen av webbläsartokens i ert land, vänligen låt oss veta.

I Europeiska unionen finns det däremot lagar och direktiv (främst GDPR och ePrivacy Directive) som reglerar användningen av webbläsartokens. Det är helt lagligt, men endast om organisationen kan bevisa behovet av att utföra sådant arbete.

Dessutom krävs användarens samtycke för att använda informationen. Sant, det finns två undantag från denna regel:

• När webbläsartoken krävs för "det enda syftet att överföra meddelanden via ett elektroniskt kommunikationsnät".
• När insamlingen av webbläsartokens krävs för att anpassa användargränssnittet på en viss enhet. Till exempel, när du surfar på nätet med en mobil enhet, används teknik för insamling och analys av webbläsartoken för att ge dig en anpassad version.

Sannolikt gäller liknande lagar även i andra länder. Så nyckelpunkten här är att tjänsten eller webbplatsen behöver användarens samtycke för att arbeta med webbläsartokens.

Men det finns ett problem — frågan är inte alltid tydlig. Oftast visar man användaren bara en banner "Jag godkänner användarvillkoren". Ja, det finns alltid en länk till själva villkoren. Men vem läser dem?

Så vanligtvis ger användaren själv sitt tillstånd för insamlingen av webbläsartokens och analys av denna information när han eller hon klickar på knappen "godkänna".

Testa din webbläsartoken

Okej, vi har diskuterat vilka data som kan samlas in. Men vad gäller den specifika situationen med din egen webbläsare?

För att förstå vilken information som kan samlas in med den, är det enklast att använda resursen Device Info. Den visar vad en extern observatör kan få från din webbläsare.

Ser du den här listan till vänster? Detta är långt ifrån allt, resten av listan kommer att visas när du bläddrar ner på sidan. Stad och region på skärmen visas inte på grund av användning av VPN av författarna.

Det finns också flera andra webbplatser som hjälper till att genomföra ett webbläsartest. Det är Panopticlick från EFF och AmIUnique, en öppen källkod-webbplats.

Vad är entropi för webbläsarens fingeravtryck?

Det är en bedömning av hur unikt ditt webbläsarfingeravtryck är. Ju högre entropivärde, desto högre unikalitet för webbläsaren.

Entropin för webbläsarens fingeravtryck mäts i bitar. Du kan kontrollera detta värde på Panopticlicks webbplats.

Hur pålitliga är dessa tester?

Generellt kan man lita på dem, eftersom de samlar in exakt samma data som externa resurser. Detta om man bedömer informationsinsamlingen punkt för punkt.

Men när det kommer till att bedöma unikalitet är det inte lika bra, och här är varför:

• Testwebbplatserna tar inte hänsyn till slumpmässiga fingeravtryck som man kan få, till exempel med hjälp av Brave Nightly.
• Webbplatser som Panopticlick och AmIUnique har enorma databasarkiv som innehåller information om gamla och föråldrade webbläsare vars användare har genomgått tester. Så om du genomgår testet med en ny webbläsare kommer du troligen att få en hög bedömning av ditt fingeravtrycks unikalitet, trots att hundratals andra användare arbetar med samma webbläsare i samma version som du.
• Slutligen tar de inte hänsyn till skärmupplösning eller webbläsarfönstrets storlek. Till exempel kan typsnittet vara för stort eller litet, eller så kan texten vara svår att läsa på grund av färgen. Vad det än är för anledning, så tar testerna inte hänsyn till detta.

Generellt är tester för unika fingeravtryck inte värdelösa. De är värda att prova för att ta reda på din entropinivå. Men bäst är det att helt enkelt bedöma vilken information du ger "utåt".

Hur skyddar man sig mot insamling av webbläsarfingeravtryck (enkla metoder)

Det är värt att säga att man inte helt kan blockera skapandet och insamlingen av webbläsarfingeravtryck — detta är en grundläggande teknik. Om du vill skydda dig till 100% måste du helt enkelt avstå från att använda internet.

Men mängden information som samlas in av externa tjänster och resurser kan minskas. Här kan sådana verktyg hjälpa till.

Webbläsaren Firefox med modifierade inställningar

Denna webbläsare är ganska bra när det kommer till att skydda användardata. Nyligen skyddade utvecklarna Firefox-användare från att spåras av tredje part.

Men skyddsnivån kan förbättras. För att göra detta måste man gå in i webbläsarens inställningar genom att skriva "about:config" i adressfältet. Välj och ändra följande alternativ:

• webgl.disabled — välj "true".
• geo.enabled — välj "false".
• privacy.resistFingerprinting — välj "true". Detta alternativ ger en grundläggande skyddsnivå mot insamling av webbläsarfingerprint. Men det är mest effektivt när man väljer ytterligare alternativ från listan.
• privacy.firstparty.isolate — ändra till "true". Detta alternativ gör det möjligt att blockera cookies från first-party-domäner.
• media.peerconnection.enabled — ett valfritt alternativ, men om du arbetar med VPN bör du välja det. Det förhindrar WebRTC-läckage och förhindrar exponering av din IP-adress.

Webbläsaren Brave

Ännu en användarvänlig webbläsare som ger starkt skydd för personlig information. Webbläsaren blockerar olika typer av trackers, använder HTTPS överallt där det är möjligt och blockerar skript.

Dessutom erbjuder Brave möjligheten att blockera en stor del av verktygen för att samla in webbläsarfingerprint.

Vi använde Panopticlick för att bedöma entropinivån. Jämfört med Opera fick vi 16,31 bitar istället för 17,89. Skillnaden är inte enorm, men den finns ändå.

Brave-användare föreslog många sätt att skydda sig mot insamling av webbläsarfingerprint. Det finns så många detaljer att de inte kan listas i en enda artikel. All information finns tillgänglig på projektets Github.

Specialiserade webbläsartillägg

Tillägg är en känslig fråga, eftersom de ibland ökar unika webbläsarfingeravtryck. Att använda dem eller inte är ett val för användaren.

Här är vad som kan rekommenderas:

• Chameleon — modifiering av user-agent-värden. Du kan ställa in en frekvens på "var 10:e minut", till exempel.
• Trace — skydd mot olika former av webbläsarfingerprintinsamling.
• User-Agent Switcher — gör ungefär samma sak som Chameleon.
• Canvasblocker — skydd mot insamling av digitala fingeravtryck från canvas.

Använd hellre ett tillägg istället för alla samtidigt.

Tor webbläsare utan Tor Nätverk

Det behöver ingen förklaring på Habré vad Tor-webbläsaren är. Som standard erbjuder den en rad verktyg för att skydda personlig information:

• HTTPS överallt.
• NoScript.
• Blockering av WebGL.
• Blockering av canvas image extraction.
• Ändring av operativsystemversion.
• Blockering av information om tidszonen och språkinställningar.
• Alla andra funktioner för att blockera spårningsverktyg.

Men nätverket Tor imponerar inte så mycket som själva webbläsaren. Här är varför:

• Det fungerar långsamt. Allt beror på att det finns cirka 6000 servrar, men omkring 2 miljoner användare.
• Många webbplatser blockerar Tor-trafik – till exempel Netflix.
• Det förekommer läckage av personlig information, en av de allvarligaste inträffade 2017.
• Tor har en märklig relation med den amerikanska regeringen – man kan beskriva det som nära samarbete. Dessutom finansiellt stöder regeringen Tor.
• Man kan ansluta sig till en illvillig nod.

Överlag finns det möjlighet att använda Tor-webbläsaren utan Tor-nätverket. Det är inte så enkelt, men metoden är fullt tillgänglig. Uppgiften är att skapa två filer som stänger av Tor-nätverket.

Det är bäst att göra detta i Notepad++. Öppna det och lägg till dessa rader i första fliken:

pref(‘general.config.filename’, ‘firefox.cfg’);
pref(‘general.config.obscure_value’, 0);

Gå sedan till Redigera — EOL-konvertering, välj Unix (LF) och spara filen som autoconfig.js i mappen Tor Browser/defaults/pref.

Öppna sedan en ny flik och kopiera dessa rader:

//
lockPref(‘network.proxy.type’, 0);
lockPref(‘network.proxy.socks_remote_dns’, false);
lockPref(‘extensions.torlauncher.start_tor’, false);

Filnamnet är firefox.cfg, det måste sparas i Tor Browser/Browser.

Nu är allt klart. Efter att webbläsaren startas upp kommer den att visa ett felmeddelande, men det kan man ignorera.

Och ja, att stänga av nätverket påverkar inte webbläsarens fingeravtryck. Panopticlick visar en entropi på 10,3 bitar, vilket är betydligt mindre än med webbläsaren Brave (som hade 16,31 bitar).

Filerna som nämns ovan kan laddas ner härifrån.

I den tredje och sista delen kommer vi att diskutera mer avancerade metoder för att stänga av spårning. Vi kommer också att ta upp frågan om skydd av personlig information och annan information med hjälp av VPN.

Källa: habr.com