Cum să vă protejați împotriva amprentării invizibile a browserului

cutie de lumină cu amprentă

Ce este amprenta browserului?

O tehnică de investigare comună în aplicarea legii este colectarea amprentelor la locul unei infracțiuni. La momentul colectării, nu se știe cui aparțin acele amprente, astfel încât obiectivul este colectarea cu ridicata pentru analize ulterioare. Aceste amprente sunt apoi potrivite cu o bază de date de amprente cu proprietari cunoscuți pentru a identifica persoane specifice.

Amprentarea browserului, a.k.a. amprentarea pe pânză, funcționează în același mod: colecția cu ridicata a cât mai multor puncte de identificare a browserului pe un site web care poate fi ulterior asociat cu caracteristicile browserului persoanelor cunoscute. În ambele tipuri de amprentare, analiza poate să nu dezvăluie identificarea unei persoane, dar poate arăta în continuare că aceeași persoană a efectuat diferite activități.

Cei mai mulți pasionați de confidențialitate sunt conștienți că principalul mod în care pot fi identificați online este prin utilizarea adresei lor IP. TCP / IP, suita de protocol pe care o folosește internetul, necesită în mod necesar ca adresa dvs. IP să fie trimisă cu fiecare solicitare pentru ca serverul web să știe unde să trimită răspunsul.

Rețelele private virtuale (VPN) au devenit populare în ultimii ani ca o modalitate de a ascunde adresa dvs. IP reală prin împrumutarea unei adrese IP de la furnizorul dvs. VPN care este împărtășit de multe persoane. Aceasta vă ascunde efectiv adresa IP reală. Traficul în jurnalul serverului web arată pur și simplu adresa IP a VPN-urilor. Dar ce altceva trimite browserul dvs. că un VPN nu poate elimina? O mare parte din aceasta depinde de configurația browserului dvs., dar unele dintre ele pur și simplu nu pot fi ajutate. Corelarea datelor din solicitările browserului dvs. vă poate permite cuiva să vă identifice, chiar dacă utilizați un VPN.

Cum se face amprenta?

Colectarea datelor se poate face în două moduri; pe server și prin tehnologii din partea clientului, precum JavaScript și Adobe Flash®.

Colecția Side-Server

Jurnalele de acces pe site-uri pe server pot colecta date care sunt trimise de browser. Cel puțin, adică, de obicei, protocolul și adresa URL solicitate, adresa IP solicitantă, Șef (sic) și șirul agentului utilizator.

Nginx-acces-log

Să ne uităm la o intrare standard a unui registru de acces Nginx a unei cereri folosind browserul Safari. Arată astfel:

11.22.33.4 - - [18 / Apr / 2017: 08: 04: 17 -0300] "GET /using-expressvpn-with-ubuntu-linux-mint-or-debian-linux/HTTP/1.1" 200 12539 "-" "Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 603.1.30 (KHTML, ca Gecko) Versiune / 10.1 Safari / 603.1.30"

Adresa IP, browserul și sistemul de operare sunt incluse în cerere. Browserul și sistemul de operare sunt incluse în șirul agentului utilizator care este această parte a solicitării:

Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 603.1.30 (KHTML, ca Gecko) Versiune / 10.1 Safari / 603.1.30"

Dacă încărc aceeași pagină folosind Chrome, singura diferență este că agentul de utilizator apare acum ca Chrome. Jurnalul arată același IP și același sistem de operare. Două puncte nu sunt suficiente pentru a realiza o comparație concretă, dar este suficient să indicăm că aceste două solicitări ar fi putut veni de la aceeași persoană.

11.22.33.4 - - [18 / Apr / 2017: 08: 05: 36 -0300] "GET / using-expressvpn-with-ubuntu-linux-mint-or-debian-linux / HTTP / 1.1" 200 12581 "-" "Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 537.36 (KHTML, la fel ca Gecko) Chrome / 57.0.2987.133 Safari / 537.36"

Serverele Web pot fi configurate, de asemenea, pentru a înregistra date mult mai multe în jurnalele sale de acces, folosind specificatori de format jurnal.

Pe lângă ceea ce poate fi înregistrat în jurnalele de acces la serverul web, browserele trimit și o serie de antete. Serverul web trebuie să știe ce tipuri de conținut și compresie pe care browserul le înțelege. De asemenea, este extrem de comun ca cookie-urile să fie schimbate între browsere și servere web. În instrumentele de dezvoltare ale browserului meu Chrome, văd că aceste anteturi au fost trimise și cu solicitarea mea și pot fi utilizate în continuare pentru amprentarea de către browser:

: Autoritatea: slumpedoverkeyboarddead.com
: Metoda: GET
: Cale: / folosind-expressvpn-cu-ubuntu-linux-menta-or-debian-linux /
: Schema: https
accepta: text / html, application / xhtml + xml, application / xml; q = 0.9, imagine / webp, * / *; q = 0,8
accept-coding: gzip, deflate, sdch, br
accepta-language: en-US, en; q = 0,8
cookie: _ga = GA1.2.251051396.1499461219; _gat = 1
DNT: 1
referer: https: //slumpedoverkeyboarddead.com/
de upgrade-nesigure-cereri: 1
user-agent: Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 537.36 (KHTML, precum Gecko) Chrome / 57.0.2987.133 Safari / 537.36

Colectia clientului

Aceasta este informația din partea serverului care este colectată cu ușurință, dar vechii noștri prieteni din partea clientului JavaScript și Adobe Flash® vor trăda mult, mult mai multe despre browserul dvs. Există o serie de site-uri pe internet care vor arăta cât de multe date va oferi browserul dvs. atunci când vi se cere.

De exemplu, învăț de la Am I Unique? că browserul meu va oferi o listă descurajantă de informații din browserul meu, cum ar fi:

  • fiecare font disponibil pe sistemul meu
  • lista de pluginuri pe care le-am instalat
  • rezoluția ecranului meu
  • limba sistemului meu
  • indiferent dacă browserul meu acceptă cookie-uri
  • și altele. Întreaga listă a colecțiilor Am I Unique este aici și sunt posibile mai multe.

Tabelul de mai jos este preluat dintr-un document Am I Unique1 publicat în martie 2016. Rețineți că cele două cele mai bogate domenii de colectare a datelor sunt JavaScript din partea clientului și Adobe Flash®

amiunique-atribute-tabel

Luați în considerare exemplul de mai sus în care jurnalele serverului au arătat IP-ul meu, browserul și sistemul de operare. Adăugați acum lista de informații pe care o furnizează JavaScript și Adobe Flash® și puteți începe să vedeți cât de ușor ar fi corelarea vizitelor. Dacă două vizite împărtășesc exact același set de date, cu excepția adresei IP, de exemplu, tot ar fi posibil să deducem că acele vizite au fost de la aceeași persoană. Aceasta este o tehnică deosebit de utilă când cineva folosește un VPN care face ca adresa IP să fie mai puțin utilă ca punct de identificare.

Când utilizați un VPN, singurul punct de date care se modifică este adresa IP a solicitantului. Am I Unique arată că poate colecta 21 de puncte de date, incluzând chiar și cele trei puncte de date din jurnalele serverului. Prin urmare, utilizarea unui VPN pentru a schimba un punct de date (adresa dvs. IP) lasă în continuare 23 de puncte de comparație.

Nu există un standard global pentru amprentarea umană în aplicarea legii, dar, cu siguranță, orice amprentă cu 23 de puncte de potrivire ar fi considerată o dovadă grea.

Actualizați: Firefox a anunțat că va bloca încercările de amprentare a pânzelor site-urilor web începând cu versiunea 58. Veți observa în graficul de mai sus că informațiile din panza de pe browserul meu mă plasează într-un grup destul de mic de browsere. Prin emiterea de solicitări specifice panzei către un browser și obținerea rezultatelor, site-urile web pot reduce acest lucru la o amprentă foarte unică. Începând cu Firefox 58, browserul le va solicita utilizatorilor să aprobe cererile de pânză înainte de a le permite.

Cum funcționează comparația?

Majoritatea persoanelor care țin de confidențialitate sunt de gândire cu cât informațiile pe care le oferiți mai puține, cu atât va fi mai bună confidențialitatea. Acest lucru este valabil doar într-o lume în care poți opta să nu faci lucruri. De exemplu, dacă nu vreau să am informații personale pe Facebook, atunci aleg să nu folosesc Facebook. Cu toate acestea, este practic imposibil să nu utilizați internetul în toate aceste zile, așa că va fi neapărat să lăsați amprentele în urmă. Prin urmare, obiectivul de aici este de a face dificilă corelarea activităților dvs. private cu activitățile dvs. publice. Menținerea acestei despărțiri împiedică pe oricine să vă identifice personal cu date din activitățile pe care doriți să le păstrați private.

Cu toate acestea, tehnici bune de confidențialitate, cum ar fi închiderea browserului dvs. pentru a nu permite solicitările de javascript, cookie-uri și webRTC, vor face browserul dvs. unic, deoarece mai puține persoane fac acest lucru. De exemplu, folosind Panopticlick de la Electronic Frontier Foundation putem vedea diferența dintre cele două configurații. Cu Javascript activat, browserul meu poate fi urmărit cu ușurință:

-Panopticlick generale-statistici-js

Cu javascript dezactivat, browserul meu este încă urmărit, dar devine atât de unic încât nu se potrivește decât cu 1 din aproximativ 100.000 de browsere. Când considerați că există miliarde de utilizatori de internet, 1 din 100.000 este relativ unic.

-Panopticlick generale-statistici-no-js

Este important să rețineți că există foarte puține date de amprentare disponibile. Deși există o serie de site-uri precum Am I Unique (352.000 de înregistrări în acest moment), Panopticlick (470.161 de înregistrări) și altele, acestea au o cantitate relativ mică de date cu care să lucreze. De asemenea, este foarte probabil ca majoritatea acestor date să provină de la utilizatorii care păstrează confidențialitatea, mai degrabă decât de la populația generală de internet, astfel încât statisticile nu reflectă foarte mult utilizatorul mediu de internet. Pericolul real vine din posibilitatea ca site-uri precum Facebook, cu 1,86 miliarde de utilizatori obișnuiți lunar, să compună baze de date masive cu date de amprentare a browserului. Când site-urile foarte populare ca acelea încep să colecteze date de amprentă a browserului, spectrul urmăririi invizibile pe Internet devine foarte real.

Cu cât este mai unic browserul dvs., cu atât este mai ușor să identificați pe site-uri. Deci, în acest caz, nu plătește cu adevărat să blochezi browserul. Pe de altă parte, navigarea pe web cu un browser nesigur este o activitate extrem de riscantă în aceste zile, deci care este cea mai bună soluție?

Cum te poți proteja

Întrucât nu există nicio modalitate fezabilă de a utiliza același browser în mod sigur pentru a desfășura atât activitățile dvs. de internet private, cât și cele publice, cea mai bună protecție împotriva amprentării în acest moment este separarea celor două activități. Utilizați un sistem sau un browser pentru activitățile dvs. de zi cu zi și unul separat pentru activitățile dvs. private. Cel mai bine este să mergeți cu un pas mai departe și să folosiți un instrument de anonimat, cum ar fi Whonix, pentru activitățile private pentru a vă asigura o separare și mai mare între activitățile dvs. private și cele publice. Menținerea acestei separări va necesita o bună securitate operațională.

OpSec (Securitate operațională)

OpSec este procesul de colectare a unor cantități mari de informații disponibile despre cineva care pare nerelaționat la prima vedere, dar care poate fi analizat pentru a oferi informații foarte specifice. Un exemplu foarte evident este conectarea la contul dvs. de Facebook în timp ce utilizați un instrument de confidențialitate, cum ar fi Tor. După ce v-ați autentificat, v-ați confirmat identificarea fără a fi nevoie de un adversar care să analizeze amprenta browserului.

Nu există capăt de erori OpSec, care pot facilita corelarea activităților dvs. de internet publice și private, dar iată câteva puncte de pornire.

  1. Activitățile dvs. de internet private nu ar trebui să implice niciodată utilizarea unui site pe care îl utilizați și în viața publică de internet. Corelarea contului, cum ar fi exemplul Facebook, va fi corectă prin încercările de confidențialitate.
  2. Activitățile dvs. private ar trebui să evite să compună mesaje. Aceasta protejează împotriva analizei stilometrice. Dacă nu este posibil să evitați să compuneți mesaje, trebuie să căutați să vă schimbați stilul de scriere în mod semnificativ.
  3. Utilizați un sistem informatic complet diferit, conectat permanent la un instrument de anonimat precum Tor sau la un VPN de încredere pentru activitățile private. Acest lucru ajută la prevenirea împotriva scurgerii de date inadvertente, cum ar fi interogări DNS sau solicitări WebRTC.
  4. Dacă utilizați un VPN atât pentru activitățile dvs. de internet private, cât și pentru cele publice, conectați-vă la un server VPN diferit pentru fiecare tip de activitate. De asemenea, poate doriți să utilizați un VPN cu Tor, caz în care există unele VPN-uri care funcționează mai bine cu Tor decât altele.
  5. Nu reutilizați numele de utilizator, adresele de e-mail sau orice alte informații ale contului din activitățile dvs. publice din cadrul activităților dvs. private. Acest lucru protejează împotriva lăsării unei urme inadvertente de pesmet, cum ar fi cel care a ajutat la identificarea proprietarului pieței ilegale a drumului mătăsii.

Separarea activităților de acest fel nu va împiedica nici activitățile dvs. publice sau private să fie amprentate până la un anumit grad, dar poate preveni corelația dintre aceste două tipuri de activități. Un observator va putea probabil să spună că aceeași persoană a făcut acele activități private, dar va fi mai puțin capabilă să lege acea persoană cu identitatea dvs. publică.

Amprentarea browserului și GDPR

GDPR și regulamentul privind confidențialitatea viitoare va reglementa probabil amprentarea browserului, precum și alte mijloace de urmărire a utilizatorilor precum cookie-urile. GDPR nu menționează niciodată amprentarea browserului în mod explicit, dar acest lucru este intenționat; legiuitorii au învățat din experiența trecută să mențină regulile neutre pentru orice tehnologie specifică. Regulamentul privind confidențialitatea în e-mail, pe de altă parte, menționează în mod explicit amprentele digitale ale dispozitivului.

În schimb, GDPR definește pur și simplu datele cu caracter personal ca orice informație care ar putea fi legată de o persoană identificabilă. Aceasta include multe identificatoare, inclusiv cookie-uri, adrese IP, ID-uri de publicitate și, da, amprentare digitală. Fundația Electronic Frontier explică că „identificarea nu necesită stabilirea identității utilizatorului:

„Este suficient ca o entitate care prelucrează date să poată identifica indirect un utilizator, pe baza unor date pseudonime, pentru a efectua anumite acțiuni bazate pe o astfel de identificare (de exemplu, să prezinte reclame diferite la utilizatori diferiți, pe baza profilurilor lor). Aceasta este ceea ce autoritățile UE se referă la denumire individuală, conectabilitate sau inferență. "

GDPR afirmă că orice entitate care prelucrează datele personale trebuie să dovedească că au un motiv legitim de a face. Mai mult decât atât, Directiva privind confidențialitatea electronică care va intra în vigoare în 2019 va necesita ca site-urile web și aplicațiile să obțină consimțământul de opțiune al utilizatorilor înainte de a le urmări. În plus, întreprinderile cu amprentă digitală trebuie să le permită utilizatorilor să vadă ce informații colectează, precum și sfera, scopul și baza legală a acestora.

„Măsurătorile browserului de amprente AmIUnique cu un exemplu”. Pierre Laperdrix, Walter Rudametkin, Benoit Baudry. Frumusețea și bestia: divulgarea browserelor web moderne pentru a construi amprente digitale unice ale browserului. Al 37-lea Simpozion IEEE privind securitatea și confidențialitatea (S&P 2016), mai 2016, San Jose, Statele Unite.

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me

About the author

Leave a Reply

Your email address will not be published. Required fields are marked *

62 + = 72

Adblock
detector