Böngésző ujjlenyomatok

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666
Sokan használják az anonimitási hálózatokat IP-címük és tartózkodási helyük elrejtésére - de van egy másik módja is annak, hogy azonosítani és nyomon követni lehessen: a böngésző ujjlenyomata.

Amikor Ön online jár, számítógépe vagy eszköze rendkívül specifikus információkat szolgáltat az Ön által felkeresett webhelyeknek az operációs rendszeréről, beállításairól, sőt még a hardveréről is. Ezen információk felhasználását az Ön online azonosítására és nyomon követésére eszköz- vagy böngésző-ujjlenyomatvételnek nevezik.

Mivel a böngészők egyre inkább összefonódnak az operációs rendszerrel, a böngészőn keresztül számos egyedi adat és beállítás válik hozzáférhetővé. Ezeknek a kimeneteknek az összessége felhasználható egy egyedi "ujjlenyomat" létrehozására nyomon követési és azonosítási célokra.
A böngésző ujjlenyomata tükrözheti:
  • a User agent fejléc;
  • az Accept fejléc;
  • a Kapcsolat fejléc;
  • a Kódolás fejléc;
  • a Language fejléc;
  • a bővítmények listája;
  • a platform;
  • a sütik beállításai (engedélyezett vagy nem engedélyezett);
  • a Do Not Track beállítások (igen, nem vagy nem közölték);
  • az időzóna;
  • a képernyőfelbontás és annak színmélysége;
  • a helyi tároló használata;
  • a munkamenet-tárolás használata;
  • a HTML Canvas elemmel megjelenített kép;
  • WebGL-lel renderelt kép;
  • az AdBlock jelenléte;
  • a betűtípusok listája.
Az ilyen módon történő azonosítás hatékonysága itt jól le van írva: http://yinzhicao.org/TrackingFree/crossbrowsertracking_NDSS17.pdf.

Nagyon pontosak a böngésző-ujjlenyomatvizsgáló tesztoldalak?

Igen és nem.

Igen, ezek a weboldalak pontos információkat nyújtanak a böngésző ujjlenyomatáról és a különböző összegyűjtött értékekről.

Nem, az ezeken a weboldalakon található, a böngészőjére vonatkozó "egyediségre" vonatkozó következtetés rendkívül pontatlan és nagyon félrevezető lehet. Íme, miért:

Adatminta: Cover Your Tracks és amiunique.org a böngészője ujjlenyomatát egy óriási, régi, elavult böngészőkből álló adatbázissal hasonlítja össze - amelyek közül sok már nem is használatos. Ha a böngésző ujjlenyomatát egy frissített böngészővel teszteli, előfordulhat, hogy rendkívül ritka és egyedi böngészőnek mutatja, még akkor is, ha az emberek többsége ugyanazt a frissített verziót használja. Ezzel szemben, ha a tesztet egy régi, elavult böngészővel futtatja le, az nagyon jó eredményt mutathat (nem egyedi), miközben a valóságban nagyon kevés ember használja ma a régebbi böngészőt.
Képernyőfelbontás: Legalábbis asztali gépeken a legtöbb ember rendszeresen módosítja a böngésző képernyőméretét. Minden kisebb képernyőméret-értéket az egyediség tényezőjeként mérnek, ami félrevezető lehet.
Véletlenszerű ujjlenyomatok: Egy másik probléma ezekkel a tesztoldalakkal az, hogy nem veszik figyelembe a véletlenszerű ujjlenyomatokat, amelyek a böngészőbővítmények segítségével rendszeresen módosíthatók. Ez a módszer hatékony módja lehet a valós ujjlenyomatok megelőzésének, de nem lehet tesztelni/számszerűsíteni ezeken az oldalakon keresztül.


Általánosságban elmondható, hogy a böngésző-ujjlenyomatvizsgáló webhelyek alkalmasak a böngészőből megjeleníthető egyedi információk és értékek feltárására. Ettől eltekintve azonban időpocsékolás és kontraproduktív lehet, ha a legalacsonyabb "egyediség" pontszám elérésével próbálja legyőzni a tesztet.

Íme néhány jó módszer a böngésző ujjlenyomatának mérséklésére:
Erősen ajánlott, hogy mindent, ami a Darknethez köthetőnek tekinthető, ne a normál operációs rendszerén, illetve az alapértelmezett böngészőjén végezze. Célszerű, ha erre a célra külön eszközzel rendelkezel.

Mindenképpen tanulmányozza:
A https://amiunique.org/ egy másik jó forrás. Nyílt forráskódú, és további információkat és frissített ujjlenyomat-nyomatvételi technikákat tartalmaz, beleértve a webGL-t és a vásznat is.
 
Last edited by a moderator:

Chemman

Don't buy from me
New Member
Joined
Oct 15, 2021
Messages
4
Reaction score
5
Points
3
Vannak-e precedensek, amikor egy kábítószer-kereskedőt a böngésző ujjlenyomatok azonosítása miatt vettek őrizetbe?
A JS annyira veszélyes a darknetre nézve?
 

Alenciss

Don't buy from me
New Member
Joined
Oct 28, 2021
Messages
1
Reaction score
0
Points
1
Számos ismert sebezhetőség van, amelyeket a Tor-felhasználók deanonimizálására használtak fel a JavaScript kihasználásával.

Az első nagyobb incidens, ahol ez történt, az FBI által lefoglalt "Freedom Hosting" volt. Az FBI online tartotta a szervereket, majd javascriptes paylodokat telepített, amelyek a Firefox egy nulladik napi biztonsági rést használtak ki. Ennek hatására a számítógépek a valós, nem anonimizált IP-jükről visszahívták az FBI szerverét, ami különböző felhasználók névtelenítéséhez vezetett. Erről bővebben az Ars Technica oldalán olvashat.

Általánosságban elmondható, hogy a JavaScript engedélyezése sokkal több potenciális támadási felületet nyit meg egy webböngésző ellen. Egy komoly ellenfél, például egy államilag támogatott szervezet (pl. az FBI) esetében hozzáférhetnek nulladik napi exploitokhoz. Ha ezeknek a nulladik napoknak a vektorai le vannak tiltva (pl. a JavaScript), akkor nehezen találnak életképes exploitot, még akkor is, ha hozzáférnek a nulladik napokhoz stb.

Az egyetlen ok, amiért a Tor projekt engedélyezi a JavaScript alapértelmezett bekapcsolását a Tor böngészőben, az a használhatóság. Sok Tor-felhasználó nem jártas a műszaki ismeretekben, és a JavaScriptet a modern weboldalakon általában HTML5-tel együtt használják. A JavaScript kikapcsolása sok weboldal használhatatlanná válását eredményezi, ezért alapértelmezésben engedélyezve van.

Legjobb gyakorlatként a JavaScriptet a Tor böngészőben le kell tiltani, és a NoScriptet minden webhelyen engedélyezve kell tartani, kivéve, ha rendkívül nyomós okod van rá, hogy ne tedd.
 

MuricanSpirit

Don't buy from me
New Member
Joined
Nov 6, 2021
Messages
73
Reaction score
50
Points
18
Afaik a WebRTC - amit leginkább voip-ként használnak - arra is használható, hogy ujjlenyomatot vegyen rólad (az api megmutatja, hogy milyen eszközök állnak rendelkezésre pl. a Chrome elárulja, ha xbox kontroller van bedugva).

Néhány egyedi, nem js ujjlenyomat készítő technika a css, illetve a @media query (reszponzív nézet) használata, hogy ujjlenyomatot készítsen azáltal, hogy "minden alkalommal új képet tölt le", amikor a böngésző mérete megváltozik. Így meg tudják mondani, hogy 4k monitorod van-e, vagy ha vm-t futtatsz (a legtöbb vm-nek alapértelmezetten csak 2 méret áll rendelkezésre). Az egyetlen módja, hogy "elkerüld" ezt a fingerprintinget, hogy nem változtatod meg a tor böngésző méretét, miután elindult (az alapértelmezett méretben fog indulni).

Pl.

@media only screen and (max-width: 600px) { body { background: url("maxwidth600.png") } } }

Így a szerver tudja, hogy milyen szélességű a böngésző. A végpontnak (pl. /images/widthWHATEVER.png) nem is kell képet visszaadnia, és a böngésző mégis minden alkalommal kérni fog egyet a méretváltoztatáskor.

Az Ön "átméretezési viselkedését" arra is felhasználhatják, hogy azonosítsák Önt, pl. Ön az egyetlen felhasználó 1'000'000 minta közül, aki többször átméretez x-szélességről y-szélességre.

Olyan sok technika létezik az ujjlenyomatok készítésére, hogy az hihetetlen. A legjobb, ha elkerülsz minden olyan oldalt, amiben nem bízol.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666
Az egyetlen ésszerű megoldás(y)
 

MuricanSpirit

Don't buy from me
New Member
Joined
Nov 6, 2021
Messages
73
Reaction score
50
Points
18
Kövesse az egeret js nélkül (bár lejárat, ezt soha nem láttam vagy hallottam, hogy használják):

Ez a backendben alapvetően ugyanúgy működik, mint a "felbontás-ujjlenyomat", amely egy kép betöltésével működik (a szerver 404 not found-tal válaszolhat), amely megmondja a backendnek az egér koordinátáit.

// never tried .main { -z-index: : 0; left: 0; pointer-events: none; // hagyjuk, hogy az egér átkattintson } // mondjuk, hogy minden 1px-es mozgásra figyelünk, ami sok zajos kérést eredményez, valószínűleg 20-100px-es rácsokat használnánk .main grid00 { // a bal felső első pixel x:0 y:0 background: url("position0_0.png"); width: 1px; height: 1px; } .main grid01 { // bal felső első pixel x:0 y:1 background: url("position0_0.png"); width: 1px; height: 1px; } // stb. ezeket a css szabályokat természetesen scss-en keresztül generálnád (képzeld el [I]scripted css[/I]-nek, ami standard css-t generál).


A dátumot használhatnád arra, hogy megtudd, hogy a felhasználó aktív-e a lapon, osztályozd az egér viselkedését (pl. milyen gyorsan mozgatja, hol van a preferált pozíciója, használja-e az egeret a szöveg olvasására stb. pp.).

Létrehozhatnál ilyen css szabályokat minden egyes gombra, hogy tudd, "hogyan nyomja meg a felhasználó a gombot" (alulról felfelé mozog, a mozgás sebessége stb.) és persze, hogy milyen pozíciót preferál a gombokon.
 
Last edited:

cederroth

Don't buy from me
New Member
Joined
Aug 1, 2022
Messages
13
Solutions
1
Reaction score
12
Points
3
Azt javasolnám, hogy a tor, illetve a farok használatakor ne csináljon egyszerre több dolgot.
Ha valami mást akarsz csinálni, jelentkezz ki a tails. és jelentkezz újra. Ez egy új azonosítót hoz létre.
Ha sok dolgot csinálsz egyszerre, az ember képes lehet összekötni a pontokat, amire nem gondolsz.
 
Top