La modalità di navigazione in incognito non aiuta. La nuova tecnologia consente di tracciare gli utenti attraverso la favicon.

I nuovi tracker integrati nel browser possono tenere traccia delle tue attività anche quando sei connesso a una VPN e hai abilitato la modalità di navigazione in incognito

Il fatto che le attività di un utente possano essere monitorate dai siti che visita ha dato origine a browser ed estensioni per la privacy come Privacy Badger. Gli utenti abilitano anche la modalità di navigazione in incognito durante la navigazione in Internet e cancellano regolarmente i cookie. Tuttavia, tutte queste precauzioni sono inutili contro il nuovo tipo di tracker.

Questi tracker utilizzano favicon, piccole icone che appaiono con il sito nella scheda del browser e nell’elenco dei segnalibri. I ricercatori dell’Università dell’Illinois a Chicago hanno affermato in un nuovo documento che la maggior parte dei browser memorizza nella cache queste immagini in una cartella separata dalla cronologia di navigazione e dai dati dei cookie. I siti possono abusare di questo fatto scaricando una serie di favicon nel browser dell’utente che terrà traccia della sua attività per un lungo periodo di tempo.

"Potente vettore di tracciamento"

“Mentre le favicon sono state per molti anni considerate aggiunte meramente decorative al nome di un sito, poiché il browser le mostra all’utente per ricordare meglio il marchio di un’azienda, lo studio dimostra che rappresentano un ‘ potente vettore di tracciamento ‘. Questo tipo di tracciamento nasconde una minaccia significativa per la privacy dell’utente", affermano i ricercatori di Chicago. Inoltre, secondo loro:

“Con le favicon, il monitoraggio può essere facilmente implementato da qualsiasi sito Web senza la necessità di alcuna interazione o consenso da parte dell’utente. Il tracker raccoglierà informazioni sulle attività di una persona anche quando utilizza le popolari estensioni anti-tracciamento. Inoltre, il modo in cui i browser moderni utilizzano la memorizzazione nella cache rende un tale attacco ai dati degli utenti particolarmente pericoloso, poiché le favicon vengono visualizzate (e memorizzate nella cache) anche durante la navigazione in modalità di navigazione in incognito. Ciò è dovuto all’applicazione di pratiche sulla privacy errate in tutti i principali browser.

Le tue attività possono essere facilmente monitorate se utilizzi Chrome, Safari e Edge. Vale la pena notare che gli sviluppatori di Brave hanno già creato contromisure efficaci per questo tipo di sorveglianza. Sono stati in grado di farlo solo dopo aver ricevuto un rapporto privato dai ricercatori dell’Università di Chicago. Firefox non è suscettibile a questo tipo di attacco perché presenta numerosi bug di memorizzazione nella cache delle favicon.

I browser memorizzano le favicon in una cache in modo che non debbano richiederle ogni volta da un sito Web. Questa cache non viene eliminata quando gli utenti cancellano la cache o i cookie del browser. Viene utilizzato attivamente, anche se si passa alla modalità di navigazione privata. Un sito web salva una certa combinazione di favicon quando una persona apre per la prima volta le pagine di una risorsa. Controllando queste immagini nella cache, un sito Web può identificare il browser di un particolare utente quando visita nuovamente la risorsa. Anche se una persona utilizza misure attive per impedire il tracciamento, verrà comunque riconosciuta.

Il monitoraggio nei browser è stato un problema sin dall’avvento di Internet. Poiché gli utenti hanno imparato a eliminare facilmente i cookie, i siti Web hanno escogitato nuovi modi per identificare i propri visitatori.

Uno di questi metodi di tracciamento è noto come fingerprinting (o fingerprinting ). Questo è un processo durante il quale vengono raccolte informazioni sulla risoluzione dello schermo, l’elenco dei caratteri disponibili, la versione del software e altre proprietà del computer dell’utente. Pertanto, sulla base dei dati raccolti, viene creato un profilo che viene assegnato a una macchina specifica. Uno studio del 2013 ha rilevato che l’1,5% dei siti Web più famosi al mondo utilizza questo metodo di tracciamento. L’impronta digitale del dispositivo è efficace anche quando le persone utilizzano più browser. Come contromisura, alcuni browser hanno tentato di limitare questo tracciamento, ma spesso senza successo.

Basta e due secondi

I siti Web possono utilizzare questo metodo reindirizzando gli utenti attraverso una serie di sottodomini (ciascuno con la propria favicon) prima che arrivino alla pagina richiesta. Il numero di reindirizzamenti richiesti varia a seconda del numero di visitatori unici del sito. Per poter tracciare 4,5 miliardi di browser unici, un sito Web dovrebbe reindirizzare l’utente 32 volte. Ciascuno di questi reindirizzamenti richiede 1 bit di entropia. Ciò aggiunge circa 2 secondi al tempo di caricamento totale per la pagina desiderata dall’utente. I siti Web possono ridurre questo ritardo con impostazioni speciali .

L’articolo lo spiega così:

Tenendo conto delle proprietà dei browser moderni, vediamo un nuovo meccanismo per il monitoraggio costante dell’attività dell’utente, che consente ai siti Web di identificare una persona durante una visita ripetuta a una risorsa, anche se utilizza la modalità di navigazione in incognito o ha precedentemente cancellato la cache. In particolare, i siti Web possono creare e memorizzare un ID browser univoco attraverso una combinazione di voci favicon memorizzate nella cache. Inoltre, questo tracciamento può essere effettuato da qualsiasi sito web. Deve solo reindirizzare l’utente in modo appropriato attraverso una serie di sottodomini. Questi sottodomini hanno diverse favicon e quindi creano le proprie voci di cache delle favicon. È possibile utilizzare un insieme di n sottodomini per creare un identificatore a n bit univoco per ciascun browser. Poiché l’attaccante ha il controllo completo sul sito Web, può reindirizzare l’utente attraverso centinaia di sottodomini senza alcuna interazione con lui. Infatti la presenza di una favicon nella cache del sottodominio corrisponde ad un valore 1 nel bit identificatore, e la sua assenza darà valore 0.

Ricercatori che hanno esaminato questo problema: Konstantinos Solomos, John Kristoff, Chris Kanich e Jason Polakis. Lavorano tutti all’Università dell’Illinois, a Chicago.

Un portavoce di Google ha affermato che la società è già a conoscenza di questo tipo di tracciamento e sta lavorando a contromisure. Nel frattempo, un portavoce di Apple afferma che l’azienda sta solo studiando i risultati ottenuti nello studio. I ricercatori di Chicago hanno anche contattato Microsoft e Brave, che devono ancora commentare.

Come notato in precedenza, Brave può bloccare questo tipo di tracciamento.

Secondo arsTechnica.
Immagine di copertina: Ricardo Santos