Ключевые выводы
- Исследователь создал веб-сайт, который генерирует уникальный отпечаток пальца на основе установленных расширений браузера.
- Отпечаток пальца можно использовать для отслеживания пользователей в Интернете, утверждает исследователь.
- Эксперты по безопасности предлагают удалить все ненужные расширения, чтобы не выделяться.
Расширения в вашем веб-браузере могут использоваться для вашей уникальной идентификации в Интернете.
Чтобы дать людям возможность испытать это, исследователь безопасности создал веб-сайт, который анализирует установленные расширения Google Chrome для создания отпечатка пальца, который, как он утверждает, может использоваться для их отслеживания в Интернете.
«Всякий раз, когда в компьютере есть что-то полууникальное, это можно использовать для получения отпечатка пальца», - сказал Lifewire по электронной почте Эрих Крон, защитник безопасности из KnowBe4. «Насколько уникален этот отпечаток, может зависеть от того, что измеряется или тестируется».
Отпечатки пальцев браузера
Исследователь, который использует псевдоним z0ccc, объяснил, что снятие отпечатков пальцев браузера - это мощный метод, который многие веб-сайты используют для сбора всевозможных сведений о посетителях, включая тип и версию их браузера, их операционную систему, активные плагины, время. зона, язык, разрешение экрана и другие активные настройки.
Он утверждал, что, хотя эти точки данных могут быть бесполезны сами по себе, в сочетании они могут помочь однозначно идентифицировать одного конкретного человека, поскольку существует очень небольшая вероятность того, что у нескольких людей будет один и тот же набор точек данных.
Наши правила конфиденциальности должны многое исправить.
«Веб-сайты используют информацию, которую предоставляют браузеры, для идентификации уникальных пользователей и отслеживания их поведения в сети», - пояснил z0ccc. «Поэтому этот процесс называется «снятие отпечатков пальцев браузера»».
На основе комбинации установленных расширений веб-сайт генерирует хэш отслеживания, который можно использовать для отслеживания конкретного браузера в Интернете.
Исследователь объяснил, что его тест Extensions Fingerprint основан на определенных свойствах расширений браузера, которые, по его словам, присутствуют в более чем 1100 расширениях, включая популярные, такие как AdBlock, uBlocker, LastPass, Adobe Acrobat, Google Docs Offline, Grammarly, и многое другое.
Он признал, что некоторые расширения предпринимают шаги для предотвращения обнаружения. Однако он нашел способ использовать их поведение, чтобы определить, были ли установлены какие-либо из этих защищенных расширений.
В интервью z0ccc подтвердил, что, хотя он не собирает никаких данных об установленных расширениях от людей, которые используют его веб-сайт, его тесты показали, что наличие 3+ расширений создает уникальный отпечаток пальца.
По сути, люди без установленных расширений будут иметь одинаковые отпечатки пальцев, что сделает их менее уникальными и трудными для отслеживания. И наоборот, те, у кого много расширений, будут иметь менее распространенный отпечаток пальца, что сделает их более уязвимыми для отслеживания.
Перчатки сняты
В беседе по электронной почте с Lifewire Харман Сингх, директор поставщика услуг кибербезопасности Cyphere, сказал, что снятие отпечатков пальцев браузера является хорошо известным методом, используемым веб-сайтами онлайн-рекламы и маркетинга по всему миру.
Сбор данных является неотъемлемой частью экосистемы онлайн-рекламы, объяснил Сингх, и этот тип снятия отпечатков пальцев браузера является просто еще одним механизмом, помогающим им показывать целевую рекламу.
Кроме того, он добавил, что даже финансовые учреждения, такие как банки, используют эти методы снятия отпечатков пальцев браузера как часть своих механизмов обнаружения мошенничества, чтобы определить, является ли их посетитель подлинным пользователем или злонамеренной аномалией, такой как бот.
Снятие отпечатков пальцев в браузере не является незаконным, поскольку оно не идентифицирует пользователя. Однако сбор данных регулируется законами о конфиденциальности, такими как Общее положение о защите данных (GDPR) и Калифорнийский закон о конфиденциальности потребителей (CCPA), добавил Сингх.
Говоря конкретно о тесте Extension Fingerprints от z0ccc, Крон объяснил, что, хотя он интересен с академической точки зрения, его польза в его нынешнем виде кажется ограниченной.
"Кроме того, в моем ограниченном тестировании это не подхватывало распространенные расширения в браузере Edge, возвращая тот же хеш для Chrome в режиме инкогнито, что и [в] Edge с установленным расширением LastPass, " - сказал Крон. «Существовали и другие методы снятия отпечатков пальцев, которые используют аппаратное обеспечение, например, расчеты, выполняемые установленной видеокартой, которые могут быть немного сложнее обойти».
Чтобы помочь нам предложить людям способы обойти такие браузерные отпечатки пальцев, Сингх сказал, что хорошей отправной точкой является инструмент Panopticlick, который дает представление о том, сколько и какую информацию ваш веб-браузер раскрывает веб-сайтам.
С другой стороны, Крон считает, что всегда полезно удалять или отключать неиспользуемые расширения браузера.
«Пользователи Интернета не могут иметь полную защиту от таких методов отслеживания, если только это не предусмотрено законом», - считает Сингх. «Нашим правилам конфиденциальности нужно многое наверстать».
