چگونه می توان از خود در برابر اثر انگشت مرورگر نامرئی محافظت کرد

اثر انگشت مرورگر چیست؟?

یک روش تحقیق معمول در اجرای قانون جمع آوری اثر انگشت در صحنه جرم است. در زمان جمع آوری ، مشخص نیست آن اثر انگشت ها متعلق به چه کسی است ، بنابراین هدف این مجموعه فروشی عمده فروشی برای تجزیه و تحلیل بعدی است. این اثر انگشت بعداً با یک پایگاه داده از اثر انگشت با صاحبان شناخته شده برای شناسایی افراد خاص مطابقت دارد.

اثر انگشت مرورگر, اثر انگشت بوم a.k.a, به همان روش کار می کند: مجموعه عمده فروشی همان تعداد نقاط شناسایی مرورگر که ممکن است در یک وب سایت که بعدا می تواند با ویژگی های مرورگر افراد شناخته شده مطابقت داشته باشد. در هر دو نوع اثر انگشت ، تجزیه و تحلیل ممکن است شناسایی شخص را فاش نکند ، اما هنوز هم می تواند نشان دهد که همان شخص فعالیت های مختلفی را انجام داده است.

بیشتر علاقه مندان به حفظ حریم خصوصی می دانند که روش اصلی شناسایی آنها بصورت آنلاین استفاده از آدرس IP آنها است. TCP / IP ، مجموعه پروتکل که از اینترنت استفاده می کند ، لزوماً نیاز دارد که آدرس IP شما با هر درخواستی ارسال شود تا سرور وب بداند از کجا می تواند پاسخ را ارسال کند.

شبکه های خصوصی مجازی (VPN) طی چند سال گذشته به عنوان راهی برای پنهان کردن آدرس IP واقعی خود با وام گرفتن آدرس IP از ارائه دهنده VPN خود که توسط بسیاری از افراد به اشتراک گذاشته شده است ، محبوبیت زیادی پیدا کرده اند. این به طور موثر آدرس IP واقعی شما را مخفی می کند. ترافیک در ورود به سیستم سرور وب آدرس IP VPN را به سادگی نشان می دهد. اما مرورگر شما چه چیز دیگری ارسال می کند که VPN نمی تواند از آن خارج شود؟ بخش اعظم آن به تنظیمات مرورگر شما بستگی دارد ، اما به برخی از آنها به راحتی نمی توان کمک کرد. ارتباط داده ها در درخواست های مرورگر شما به شما امکان می دهد شخصی را شناسایی کنید ، حتی اگر از VPN استفاده می کنید.

انگشت نگاری چگونه انجام می شود?

جمع آوری داده ها از دو طریق قابل انجام است. روی سرور و از طریق فن آوری های سمت مشتری مانند JavaScript و Adobe Flash®.

مجموعه سرور جانبی

گزارش دسترسی به وب سایت روی سرور می تواند داده هایی را که توسط مرورگر شما ارسال می شود ، جمع کند. حداقل ، این معمولاً پروتکل و نشانی اینترنتی درخواستی ، آدرس IP درخواست کننده ، ارجاع دهنده (sic) و رشته عامل کاربر است.

بیایید با استفاده از مرورگر Safari ، یک ورودی ورود به سیستم استاندارد Nginx را بررسی کنیم. به نظر می رسد مانند این:

11.22.33.4 – – [18 / آوریل / [year]: 08: 04: 17 -0300] "GET /using-expressvpn-with-ubuntu-linux-mint-or-debian-linux/HTTP/1.1" 200 12539 "-" "Mozilla / 5.0 (Macintosh؛ Intel Mac OS X 10_12_4) AppleWebKit / 603.1.30 (KHTML ، مانند Gecko) نسخه / 10.1 سافاری / 603.1.30"

آدرس IP ، مرورگر و سیستم عامل من در درخواست گنجانده شده است. مرورگر و سیستم عامل در رشته نماینده کاربر که این قسمت از درخواست است شامل می شود:

Mozilla / 5.0 (Macintosh؛ Intel Mac OS X 10_12_4) AppleWebKit / 603.1.30 (KHTML ، مانند Gecko) نسخه / 10.1 سافاری / 603.1.30"

اگر من با استفاده از Chrome همان صفحه را بارگیری کنم ، تنها تفاوت این است که نماینده کاربر اکنون به عنوان Chrome نشان می دهد. ورود به سیستم همان IP و همان سیستم عامل را نشان می دهد. دو نکته برای ترسیم یک مقایسه مشخص کافی نیست ، اما کافی است نشان دهیم که این دو درخواست می توانست از همان شخص باشد.

11.22.33.4 – – [18 / آوریل / [year]: 08: 05: 36 -0300] "دریافت / استفاده از اکسپرسوپن-با-اوبونتو-لینوکس-نعناع یا دبیان-لینوکس / HTTP / 1.1" 200 12581 "-" "Mozilla / 5.0 (Macintosh؛ Intel Mac OS X 10_12_4) AppleWebKit / 537.36 (KHTML ، مانند Gecko) Chrome / 57.0.2987.133 Safari / 537.36"

سرورهای وب همچنین می توانند پیكربندی شوند تا داده های بیشتری را در سیاهههای دسترسی با استفاده از مشخصات قالبهای log وارد كنند.

علاوه بر آنچه ممکن است در سیاهههای مربوط به دسترسی به سرور وب ثبت شود ، مرورگرها یک سری هدر را نیز ارسال می کنند. وب سرور باید بداند چه نوع محتوا و فشرده سازی ای را که مرورگر آن را درک می کند ، دارد. همچنین تبادل کوکی بین مرورگرها و سرورهای وب بسیار رایج است. در ابزارهای برنامه نویس مرورگر Chrome من ، می بینم که این هدرها نیز با درخواست من ارسال شده اند و می توان برای مرور اثر انگشت توسط مرورگر استفاده کرد:

: اقتدار: slumpedoverkeyboarddead.com
: روش: دریافت کنید
: path: / using-expressvpn-with-ubuntu-linux-نعناع-یا-دبیان-لینوکس /
: طرح: https
قبول: متن / html ، برنامه / xhtml + xml ، برنامه / xml ؛ q = 0.9 ، تصویر / وب ، * / * ؛ q = 0.8
پذیرش رمزگذاری: gzip ، deflate ، sdch ، br
قبول زبان: en-US ، en؛ q = 0.8
کوکی: _ga = GA1.2.251051396.1499461219؛ _گات = 1
dnt: 1
داور: https: //slumpedoverkeyboarddead.com/
ارتقاء-ناامن-درخواست ها: 1
نماینده کاربر: Mozilla / 5.0 (Macintosh؛ Intel Mac OS X 10_12_4) AppleWebKit / 537.36 (KHTML ، مانند Gecko) Chrome / 57.0.2987.133 Safari / 537.36

مجموعه مشتری-جانبی

این اطلاعات سمت سرور است که به راحتی جمع آوری می شود ، اما دوستان قدیمی مشتری سمت ما JavaScript و Adobe Flash® خیلی بیشتر به مرورگر شما خیانت می کنند. تعدادی از سایت ها در اینترنت وجود دارند که نشان می دهند وقتی از شما خواسته می شود ، چه میزان داده از مرورگر شما ارائه می دهد.

به عنوان مثال ، من از Am I Unique یاد می گیرم؟ مرورگر من یک لیست دلهره آور از اطلاعاتی را از مرورگر من ارائه می دهد مانند:

• هر قلم موجود در سیستم من
• لیست افزونه هایی که نصب کردم
• وضوح صفحه نمایش من
• زبان سیستم من
• آیا مرورگر من کوکی ها را می پذیرد یا نه
• و بیشتر. کل لیست آنچه Am I Unique جمع آوری می کند در اینجا است و موارد دیگر امکان پذیر است.

جدول زیر از مقاله1 Am I Unique1 منتشر شده در مارس 2016 گرفته شده است. توجه داشته باشید که دو منطقه ثروتمند از جمع آوری داده ها عبارتند از JavaScript و Adobe Flash® سمت مشتری.

مثال بالا را در نظر بگیرید که سیاهههای مربوط به سرور ، IP ، مرورگر و سیستم عامل من را نشان دادند. اکنون لیستی از اطلاعاتی را که جاوا اسکریپت و Adobe Flash® تأمین می کند ، اضافه کنید و می توانید ببینید ارتباط با ویزیت ها چقدر آسان است. اگر دو بازدید دقیقاً همان مجموعه داده را به جز آدرس IP به اشتراک بگذارند ، برای مثال استدلال می کند که این بازدیدها از همان شخص بوده است. این روش مخصوصاً مفید است وقتی شخصی از VPN استفاده می کند که باعث می شود آدرس IP آنها به عنوان نقطه شناسایی کمتر مفید باشد.

هنگام استفاده از VPN ، تنها نقطه داده ای که تغییر می کند آدرس IP درخواست کننده است. Am I Unique نشان می دهد که می تواند 21 نقطه داده را جمع آوری کند ، حتی سه نقطه از داده های سرور را نیز شامل نمی شود. بنابراین ، استفاده از VPN برای تغییر یک نقطه داده (آدرس IP شما) هنوز 23 نقطه از داده را برای مقایسه باقی می گذارد.

هیچ استاندارد جهانی برای اثر انگشت انسان در اجرای قانون وجود ندارد ، اما مطمئناً هر اثر انگشت با 23 نقطه مطابق می تواند شواهد سنگینی در نظر گرفته شود.

به روز رسانی: Firefox اعلام کرده است که تلاش های اثر انگشت بوم وب سایت ها را از نسخه 58 شروع می کند. شما در نمودار فوق متوجه خواهید شد که اطلاعات بوم از مرورگر من مرا در یک استخر کوچک از مرورگرها قرار می دهد. با ارسال درخواست های بوم خاص به مرورگر و هشدار از نتایج ، وب سایت ها می توانند آن را تا یک اثر انگشت بسیار منحصر به فرد ببندند. با شروع با Firefox 58 ، مرورگر از کاربران خواسته می شود درخواست های بوم را قبل از اجازه دادن به آنها تأیید كنند.

مقایسه چگونه کار می کند?

بیشتر افراد با فکر حفظ حریم خصوصی از این طرز فکر هستند که هرچه اطلاعات کمتری به شما ارائه شود ، حریم شخصی شما بهتر خواهد شد. این تنها در دنیایی صحیح است که می توانید از انجام کارها خودداری کنید. به عنوان مثال ، اگر نمی خواهم اطلاعات شخصی در فیس بوک داشته باشم ، پس تصمیم می گیرم از Facebook استفاده نکنم. با این حال ، استفاده از اینترنت در تمام این روزها واقعاً غیرممکن است ، بنابراین شما لزوماً قصد دارید اثر انگشت را پشت سر بگذارید. بنابراین ، هدف در اینجا این است که ارتباط خصوصی فعالیت های خصوصی شما با فعالیت های عمومی شما دشوار شود. حفظ این جداسازی مانع از آن می شود که شخصی ، شما را با اطلاعات مربوط به فعالیتهایی که مایل به حفظ خصوصی شما هستند ، شناسایی کند.

با این حال ، تکنیک های خوبی برای حفظ حریم خصوصی مانند قفل کردن مرورگر شما برای رد کردن جاوا اسکریپت ، کوکی ها و درخواست های webRTC فقط مرورگر شما را بی نظیر تر می کند زیرا کمتر کسی این کار را می کند. به عنوان مثال ، با استفاده از Panopticlick بنیاد الکترونیکی Frontier می توان تفاوت دو تنظیم را مشاهده کرد. با فعال کردن Javascript ، مرورگر من به راحتی قابل ردیابی است:

با خاموش کردن جاوا اسکریپت ، مرورگر من هنوز قابل ردیابی است ، اما به حدی منحصر به فرد می شود که فقط در حدود 100000 مرورگر فقط با 1 مطابقت دارد. وقتی در نظر بگیرید که میلیاردها کاربر اینترنتی وجود دارد ، 1 در 100000 نفر نسبتاً منحصر به فرد است.

توجه به این نکته مهم است که در واقع اطلاعات بسیار کمی برای اثر انگشت برای آزمایش وجود دارد. در حالی که تعدادی سایت مانند Am I Unique (در حال حاضر 352،000 پرونده) ، Panopticlick (470،161 رکورد) و سایر موارد وجود دارد ، اما داده های نسبتاً کمی برای کار با آنها دارند. همچنین ، این احتمال وجود دارد که بیشتر این داده ها از طرف کاربران محرمانه حفظ حریم خصوصی صورت گرفته باشد تا جمعیت عمومی اینترنت ، بنابراین آمار احتمالاً خیلی بازتابی از کاربر متوسط ​​اینترنت ندارد. این خطر واقعی از این احتمال ناشی می شود که سایت هایی مانند فیس بوک ، با 1.86 میلیارد کاربر عادی ماهانه ، اقدام به جمع آوری پایگاه های داده گسترده داده های اثر انگشت مرورگر می کنند. هنگامی که سایتهای بسیار مشهوری مانند شروع جمع آوری داده های اثر انگشت مرورگر ، صحنه ردیابی نامرئی اینترنت بسیار واقعی می شود.

هرچه مرورگر شما بی نظیر تر باشد ، شناسایی در سایت ها آسان تر می شود. بنابراین ، در این حالت ، برای قفل کردن مرورگر خود هزینه ای پرداخت نمی کنید. از طرف دیگر ، گشت و گذار در وب با مرورگر ناامن ، این روزها فعالیتی بسیار خطرناک است ، بنابراین بهترین راه حل چیست?

چگونه می توانید از خود محافظت کنید

از آنجا که هیچ روش امکان پذیر برای استفاده ایمن از همان مرورگر برای انجام فعالیت های اینترنتی و خصوصی شما وجود ندارد ، بهترین محافظت در برابر اثر انگشت در حال حاضر جدا کردن این دو فعالیت است. برای فعالیتهای روزانه خود از یک سیستم یا مرورگر استفاده کنید و یک فعالیت جداگانه برای فعالیتهای خصوصی خود داشته باشید. بهتر است یک قدم جلوتر بروید و از یک ابزار ناشناس ماندن مانند Whonix برای فعالیتهای خصوصی خود استفاده کنید تا جدایی حتی بزرگتری بین فعالیتهای خصوصی و عمومی شما برقرار شود. حفظ این جدایی به امنیت عملیاتی مناسبی نیاز دارد.

OpSec (امنیت عملیاتی)

OpSec فرایند جمع آوری مقادیر زیادی از اطلاعات موجود در مورد شخصی است که در نگاه اول غیر مرتبط به نظر می رسد ، اما می تواند برای ارائه برخی از اطلاعات بسیار خاص مورد تجزیه و تحلیل قرار گیرد. مثال بسیار بارز ورود به حساب کاربری فیس بوک شما هنگام استفاده از ابزار حریم خصوصی مانند Tor است. پس از ورود به سیستم ، تأیید کرده اید که بدون نیاز به حریف برای تجزیه و تحلیل اثر انگشت مرورگر خود ، شناسایی خود را تأیید کرده اید.

هیچ مشکلی در مورد اشتباهات OpSec وجود ندارد که بتواند ارتباط بین فعالیت های اینترنتی عمومی و خصوصی شما را آسان تر کند ، اما در اینجا چند نکته شروع وجود دارد.

1. فعالیت های اینترنتی خصوصی شما هرگز نباید از سایتی استفاده کند که شما نیز در زندگی اینترنتی عمومی خود از آن استفاده کنید. ارتباط حساب ، مانند مثال فیس بوک ، تلاشهای حریم خصوصی شما را کاهش می دهد.
2. فعالیت های خصوصی شما باید از نوشتن پیام ها خودداری کند. این در برابر آنالیز استیلومتری محافظت می کند. اگر اجتناب از نوشتن پیام ها امکان پذیر نیست ، باید به طرز چشمگیری تغییر سبک نوشتن خود را دنبال کنید.
3. برای فعالیتهای خصوصی از یک سیستم رایانه کاملاً متفاوت استفاده کنید که برای همیشه به یک ابزار ناشناس مانند Tor یا یک VPN قابل اعتماد متصل شود. این امر به جلوگیری از نشت داده های غیرعادی از قبیل نمایش داده های DNS یا درخواست WebRTC کمک می کند.
4. اگر از VPN برای فعالیت های اینترنتی و خصوصی خود استفاده می کنید ، برای هر نوع فعالیت به یک سرور VPN متفاوت وصل شوید. همچنین ممکن است شما بخواهید با Tor از VPN استفاده کنید ، در این حالت برخی VPN وجود دارد که با Tor بهتر از سایرین کار می کنند.
5. از فعالیتهای عمومی خود در فعالیتهای شخصی خود ، از نام های کاربری ، آدرس های ایمیل یا سایر اطلاعات حساب استفاده نکنید. این امر در برابر رها کردن دنباله ناخواسته از آرد سوخاری مانند مواردی که به شناسایی مالک بازار غیرقانونی جاده ابریشم کمک کرده است محافظت می کند..

جدا کردن فعالیتهای خود از این دست ، مانع انگشت نگاری فعالیت های عمومی یا خصوصی نمی شود ، اما می تواند از همبستگی بین این دو نوع فعالیت جلوگیری کند. یک ناظر احتمالاً می تواند بگوید که همان شخص آن فعالیت های خصوصی را انجام داده است ، اما کمتر قادر به پیوند دادن آن شخص با هویت عمومی شما خواهید بود.

اثر انگشت مرورگر و GDPR

GDPR و تنظیم مقررات ePrivacy آینده به احتمال زیاد اثر انگشت مرورگر را تنظیم می کند ، و همچنین سایر روش های ردیابی کاربران مانند کوکی ها. GDPR هرگز به طور صریح اثر انگشت مرورگر را ذکر نمی کند ، اما این عمدی است. قانون گذاران از تجربه گذشته آموخته اند كه قوانین را از هر فن آوری خاصی خنثی كنند. از طرف دیگر ، آیین نامه ePrivacy صریحاً اثر انگشت دستگاه را ذکر می کند.

در عوض ، GDPR به سادگی داده های شخصی را به عنوان اطلاعاتی که ممکن است با یک فرد قابل شناسایی مرتبط باشد ، تعریف می کند. این شامل شناسه های زیادی از جمله کوکی ها ، آدرس های IP ، شناسه تبلیغات و بله ، اثر انگشت است. بنیاد الکترونیکی مرزی توضیح داد که “شناسایی نیاز به تعیین هویت کاربر ندارد:

“کافی است که داده های پردازش یک نهاد می توانند به طور غیرمستقیم کاربر را بر اساس داده های نام مستعار شناسایی کنند تا اقدامات خاصی را بر اساس چنین شناسایی انجام دهند (به عنوان مثال ، ارائه تبلیغات مختلف به کاربران مختلف ، بر اساس پروفایل خود). این چیزی است که مقامات اتحادیه اروپا از آن به عنوان تفکیک ، پیوند یا استنباط استفاده می کنند. “

GDPR هر موجودی را که داده های شخصی را پردازش می کند باید اثبات کند که دلیل موجهی برای انجام آن دارند. علاوه بر این ، دستورالعمل ePrivacy که به احتمال زیاد در سال [year] به اجرا در خواهد آمد ، به وب سایتها و برنامه ها نیاز دارد تا رضایت خود را از کاربران قبل از ردیابی آنها کسب کنند مهمتر از آن ، مشاغل دارای اثر انگشت باید به کاربران اجازه دهند ببینند چه اطلاعاتی را جمع آوری می کنند و همچنین دامنه ، هدف و اساس قانونی آن.

“اندازه گیری مرورگر اثر انگشت AmIUnique با یک مثال”. پیر لاپردریکس ، والتر رودامتکین ، بنوئه بودری. Beauty and the Beast: جهت ایجاد اثر انگشت منحصر به فرد در مرورگرها ، مرورگرهای وب مدرن را منحرف کنید. سیزدهمین سمپوزیوم IEEE در مورد امنیت و حفظ حریم خصوصی (S&P 2016) ، مه 2016 ، سان خوزه ، ایالات متحده.