Tryb incognito nie pomoże. Nowa technologia pozwala na śledzenie użytkowników poprzez favicon.

Nowe moduły śledzące w przeglądarce mogą śledzić Twoje działania nawet wtedy, gdy masz połączenie z VPN i włączony jest tryb incognito

Fakt, że działania użytkownika mogą być śledzone przez odwiedzane strony, dał początek przeglądarkom zapewniającym prywatność i rozszerzeniom, takim jak Privacy Badger. Użytkownicy włączają również tryb incognito podczas przeglądania Internetu i regularnie usuwają pliki cookie. Jednak wszystkie te środki ostrożności są bezużyteczne w przypadku nowych rodzajów trackerów.

Te moduły śledzące wykorzystują favicony, małe ikony, które pojawiają się wraz z witryną na karcie przeglądarki i na liście zakładek. Naukowcy z University of Illinois w Chicago stwierdzili w nowym artykule, że większość przeglądarek przechowuje te obrazy w folderze oddzielnym od historii przeglądania i danych plików cookie. Witryny mogą nadużywać tego faktu, pobierając serie ulubionych ikon do przeglądarki użytkownika, które będą śledzić jego aktywność przez długi czas.

„Potężny wektor śledzenia"

„Podczas gdy ikony ulubionych były przez wiele lat uważane za jedynie ozdobne dodatki do nazwy witryny, ponieważ przeglądarka wyświetla je użytkownikowi, aby lepiej zapamiętał markę firmy, badanie dowodzi, że reprezentują one „ potężny wektor śledzenia “. Ten rodzaj śledzenia skrywa poważne zagrożenie dla prywatności użytkownika” – twierdzą badacze z Chicago. Ponadto według nich:

„Dzięki faviconom śledzenie może być łatwo zaimplementowane przez dowolną stronę internetową bez potrzeby jakiejkolwiek interakcji lub zgody użytkownika. Moduł śledzący będzie zbierał informacje o działaniach danej osoby nawet podczas korzystania z popularnych rozszerzeń zapobiegających śledzeniu. Co więcej, sposób, w jaki nowoczesne przeglądarki wykorzystują buforowanie, sprawia, że ​​taki atak na dane użytkownika jest szczególnie niebezpieczny, ponieważ favicony są wyświetlane (i przechowywane w pamięci podręcznej) nawet podczas przeglądania w trybie incognito. Wynika to z zastosowania niewłaściwych praktyk dotyczących prywatności we wszystkich głównych przeglądarkach”.

Twoje działania mogą być łatwo śledzone, jeśli korzystasz z Chrome, Safari i Edge. Warto zaznaczyć, że twórcy Brave stworzyli już skuteczne środki zaradcze na tego typu inwigilację. Byli w stanie to zrobić dopiero po otrzymaniu prywatnego raportu od naukowców z University of Chicago. Firefox nie jest podatny na tego typu ataki, ponieważ ma wiele błędów związanych z buforowaniem favicon.

Przeglądarki przechowują ikony ulubionych w pamięci podręcznej, więc nie muszą za każdym razem żądać ich ze strony internetowej. Ta pamięć podręczna nie jest usuwana, gdy użytkownicy wyczyszczą pamięć podręczną przeglądarki lub pliki cookie. Jest aktywnie używany, nawet jeśli przełączysz się w tryb przeglądania prywatnego. Witryna zapisuje pewną kombinację ikon ulubionych, gdy osoba po raz pierwszy otwiera strony zasobu. Sprawdzając te obrazy w pamięci podręcznej, witryna internetowa może zidentyfikować przeglądarkę konkretnego użytkownika, gdy ten ponownie odwiedza zasób. Nawet jeśli dana osoba zastosuje aktywne środki zapobiegające śledzeniu, nadal zostanie rozpoznana.

Śledzenie w przeglądarkach stanowi problem od czasu pojawienia się Internetu. Ponieważ użytkownicy nauczyli się łatwo usuwać pliki cookie, strony internetowe wymyśliły nowe sposoby identyfikacji odwiedzających.

Jedną z takich metod śledzenia jest odcisk palca (lub odcisk palca ). Jest to proces, podczas którego zbierane są informacje o rozdzielczości ekranu, liście dostępnych czcionek, wersji oprogramowania i innych właściwościach komputera użytkownika. W ten sposób na podstawie zebranych danych tworzony jest profil, który jest przypisany do konkretnej maszyny. Badanie z 2013 roku wykazało, że 1,5% najpopularniejszych witryn na świecie korzysta z tej metody śledzenia. Odcisk palca urządzenia jest skuteczny nawet wtedy, gdy ludzie używają wielu przeglądarek. Jako środek zaradczy niektóre przeglądarki próbowały ograniczyć to śledzenie, ale często bez powodzenia.

Wystarczy i dwie sekundy

Witryny internetowe mogą korzystać z tej metody, przekierowując użytkowników przez wiele subdomen (każda z własną favikoną), zanim wylądują na żądanej stronie. Liczba wymaganych przekierowań różni się w zależności od liczby unikalnych użytkowników witryny. Aby móc śledzić 4,5 miliarda unikalnych przeglądarek, strona internetowa musiałaby przekierować użytkownika 32 razy. Każde takie przekierowanie zajmuje 1 bit entropii. To dodaje około 2 sekund do całkowitego czasu ładowania strony, którą chce użytkownik. Strony internetowe mogą zmniejszyć to opóźnienie za pomocą specjalnych ustawień .

Artykuł wyjaśnia to w następujący sposób:

Biorąc pod uwagę właściwości nowoczesnych przeglądarek, widzimy nowy mechanizm ciągłego śledzenia aktywności użytkownika, który pozwala serwisom zidentyfikować osobę podczas ponownej wizyty w zasobie, nawet jeśli korzysta ona z trybu incognito lub wcześniej wyczyściła pamięć podręczną. W szczególności strony internetowe mogą tworzyć i przechowywać unikalny identyfikator przeglądarki poprzez kombinację zapisanych w pamięci podręcznej wpisów ulubionych. Co więcej, śledzenie to może być wykonane przez dowolną stronę internetową. Wystarczy odpowiednio przekierować użytkownika przez szereg subdomen. Te subdomeny mają różne ikony ulubionych iw ten sposób tworzą własne wpisy w pamięci podręcznej ulubionych. Zestaw n-subdomen może być użyty do stworzenia n-bitowego identyfikatora, który jest unikalny dla każdej przeglądarki. Ponieważ atakujący ma pełną kontrolę nad witryną, może przekierować użytkownika przez setki subdomen bez jakiejkolwiek interakcji z nim. W rzeczywistości obecność ikony favicon w pamięci podręcznej subdomeny odpowiada wartości 1 w bicie identyfikatora, a jej brak da wartość 0.

Badacze, którzy zajmowali się tym zagadnieniem: Konstantinos Solomos, John Kristoff, Chris Kanich i Jason Polakis. Wszyscy pracują na University of Illinois w Chicago.

Rzecznik Google powiedział, że firma jest już świadoma tego typu śledzenia i pracuje nad środkami zaradczymi. Tymczasem rzecznik Apple twierdzi, że firma bada jedynie wyniki uzyskane w badaniu. Naukowcy z Chicago skontaktowali się również z firmami Microsoft i Brave, które jeszcze nie skomentowały sprawy.

Jak wspomniano wcześniej, Brave może blokować tego rodzaju śledzenie.

Według arsTechnica.
Zdjęcie na okładce: Ricardo Santos