Naršyklės pirštų atspaudai

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666
Daugelis žmonių naudoja anonimiškumo tinklus, kad paslėptų savo IP adresą ir buvimo vietą - tačiau yra dar vienas būdas, kaip jus galima identifikuoti ir sekti: per naršyklės pirštų atspaudus.

Kai lankotės internete, jūsų kompiuteris ar įrenginys svetainėms, kuriose lankotės, pateikia labai konkrečią informaciją apie jūsų operacinę sistemą, nustatymus ir net techninę įrangą. Šios informacijos naudojimas jūsų identifikavimui ir sekimui internete vadinamas įrenginio arba naršyklės pirštų atspaudų nustatymu.

Kadangi naršyklės vis labiau susiejamos su operacine sistema, per naršyklę galima sužinoti daug unikalių duomenų ir nuostatų. Šių duomenų visuma gali būti naudojama unikaliam "pirštų atspaudui" atvaizduoti sekimo ir identifikavimo tikslais.
Jūsų naršyklės pirštų atspaudai gali atspindėti:
  • naudotojo agento antraštę;
  • Accept antraštę;
  • ryšio antraštę;
  • kodavimo antraštę;
  • kalbos antraštė;
  • įskiepių sąrašas;
  • platforma;
  • slapukų nuostatas (leidžiama arba ne);
  • "Do Not Track" nuostatas (taip, ne arba nepranešama);
  • laiko juostą;
  • ekrano skiriamąją gebą ir jo spalvų gylį;
  • vietinės saugyklos naudojimą;
  • sesijos saugyklos naudojimą;
  • paveikslėlį, atvaizduotą naudojant HTML Canvas elementą;
  • paveikslėlį, atvaizduotą naudojant WebGL;
  • ar yra "AdBlock";
  • šriftų sąrašą.
Tokiu būdu atliekamo identifikavimo efektyvumas gerai aprašytas čia: http://yinzhicao.org/TrackingFree/crossbrowsertracking_NDSS17.pdf.

Ar naršyklių pirštų atspaudų nustatymo bandomosios svetainės yra labai tikslios?

Ir taip, ir ne.

Taip, šiose svetainėse pateikiama tiksli informacija apie naršyklės pirštų atspaudus ir įvairias renkamas reikšmes.

Ne, šiose svetainėse pateikta "unikalumo" išvada apie jūsų naršyklę gali būti labai netiksli ir labai klaidinanti. Štai kodėl:

Duomenų pavyzdys: Tai, kad jūsų naršyklės pirštų atspaudas lyginamas su milžiniška senų, pasenusių naršyklių duomenų baze, kurios daugelis iš jų jau nebenaudojamos, rodo, kad jūsų naršyklės pirštų atspaudas yra labai panašus į jūsų naršyklės pirštų atspaudą. Patikrinus naršyklės pirštų atspaudą su atnaujinta naršykle, ji gali būti rodoma kaip itin reta ir unikali, nors dauguma žmonių naudoja tą pačią atnaujintą versiją. Ir atvirkščiai, atlikus testą su sena, pasenusia naršykle, gali būti gautas labai geras (ne unikalus) rezultatas, nors iš tikrųjų senesnę naršyklę šiandien naudoja labai mažai žmonių.
Ekrano skiriamoji geba: Bent jau stacionariuose kompiuteriuose dauguma žmonių reguliariai keičia naršyklės ekrano dydį. Kiekviena mažesnė ekrano dydžio reikšmė bus vertinama kaip unikalumo veiksnys, o tai gali būti klaidinantis veiksnys.
Atsitiktiniai pirštų atspaudai: Kita šių bandomųjų svetainių problema yra ta, kad jose neatsižvelgiama į atsitiktinius pirštų atspaudus, kuriuos galima reguliariai keisti naudojant naršyklės plėtinius. Šis metodas gali būti veiksmingas būdas užkirsti kelią realiam pirštų atspaudų paėmimui, tačiau jo negalima išbandyti ir (arba) kiekybiškai įvertinti šiose svetainėse.


Apskritai naršyklės pirštų atspaudų testavimo svetainės yra tinkamos atskleisti unikalią informaciją ir reikšmes, kurias galima atvaizduoti iš naršyklės. Tačiau bandymas įveikti testą gaunant mažiausią "unikalumo" balą gali būti laiko švaistymas ir duoti priešingą rezultatą.

Štai keli geri būdai, kaip sušvelninti naršyklės pirštų atspaudus:
Rekomenduojama nieko, kas gali būti laikoma su "Darknet" susijusia veikla, nedaryti įprastoje operacinėje sistemoje arba numatytojoje naršyklėje. Šiam tikslui patartina turėti atskirą įrenginį.

Būtinai išstudijuokite:
https://amiunique.org/ yra dar vienas geras šaltinis. Jis yra atvirojo kodo, jame pateikiama daugiau informacijos ir atnaujintų pirštų atspaudų nustatymo metodų, įskaitant webGL ir canvas.
 
Last edited by a moderator:

Chemman

Don't buy from me
New Member
Joined
Oct 15, 2021
Messages
4
Reaction score
5
Points
3
Ar yra precedentų, kai narkotikų prekeivis buvo sulaikytas dėl naršyklės pirštų atspaudų identifikavimo?
Ar JS toks pavojingas darknetui?
 

Alenciss

Don't buy from me
New Member
Joined
Oct 28, 2021
Messages
1
Reaction score
0
Points
1
Yra žinoma nemažai pažeidžiamumų, kurie buvo naudojami "Tor" naudotojams deanonimizuoti pasitelkiant "JavaScript".

Pirmasis didelis incidentas, kai tai įvyko, buvo FTB atliktas "Freedom Hosting" užgrobimas. FTB laikė serverius internete, o tada įdiegė "JavaScript" paylodus, kurie naudojo nulinės dienos "Firefox" spragą. Dėl to kompiuteriai skambindavo į FTB serverį iš savo tikrojo, neanonimizuoto IP, todėl įvairūs naudotojai buvo deanonimizuoti. Daugiau apie tai galite paskaityti "Ars Technica".

Apskritai, įjungus "JavaScript", atveriamas plotas daug didesniam galimų atakų prieš interneto naršyklę skaičiui. Jei tai rimtas priešininkas, pavyzdžiui, valstybės remiamas subjektas (pvz., FTB), jis turi prieigą prie nulinės dienos išnaudojimų. Jei šių nulinės dienos atakų vektoriai yra išjungti (pvz., "JavaScript"), jiems gali būti sunku rasti veiksmingą ataką, net jei jie turi prieigą prie nulinės dienos atakų ir pan.

Vienintelė priežastis, dėl kurios "Tor" projektas leidžia "Tor" naršyklėje pagal nutylėjimą įjungti "JavaScript", yra patogumas. Daugelis "Tor" naudotojų nėra techniškai išprusę, o šiuolaikinėse interneto svetainėse "JavaScript" dažniausiai naudojama kartu su HTML5. Išjungus "JavaScript", daugelis svetainių tampa nenaudojamos, todėl pagal nutylėjimą ji yra įjungta.

Geriausia praktika - "Tor" naršyklėje išjungti "JavaScript" ir visose svetainėse įjungti "NoScript", nebent turite labai svarbių priežasčių to nedaryti.
 

MuricanSpirit

Don't buy from me
New Member
Joined
Nov 6, 2021
Messages
73
Reaction score
50
Points
18
Afaik WebRTC - dažniausiai naudojamas kaip voip - taip pat gali būti naudojamas jūsų pirštų atspaudams imti (api rodo, kokie įrenginiai yra prieinami, pvz., "Chrome" išduoda, jei turite prijungtą "xbox" valdiklį).

Kai kurie unikalūs ne js pirštų atspaudų ėmimo būdai yra css, atitinkamai @media užklausa (reaguojantis vaizdas), naudojant pirštų atspaudus "kaskart atsisiunčiant naują vaizdą", kai pasikeičia naršyklės dydis. Taigi jie gali nustatyti, ar turite 4k monitorių, ar naudojate vm (dauguma vm pagal nutylėjimą turi tik 2 dydžius). Vienintelis būdas "išvengti" šio pirštų atspaudų ėmimo - nekeisti "tor" naršyklės dydžio jai įsijungus (ji įsijungs numatytuoju dydžiu).

Pvz.

@media only screen and (max-width: 600px) { body { background: url("maxwidth600.png") } } } }

Taip serveris žinos, kokio pločio yra naršyklė. Galutinis taškas (pvz., /images/widthWHATEVER.png) net neprivalo grąžinti paveikslėlio, o naršyklė vis tiek kiekvieną kartą prašys paveikslėlio keičiant dydį.

Jie taip pat gali naudoti jūsų "dydžio keitimo elgseną", kad jus identifikuotų, pvz., esate vienintelis naudotojas iš 1 000 000 pavyzdžių, kuris pakartotinai keičia dydį iš x pločio į y plotį.

Yra tiek daug metodų, kaip paimti jūsų pirštų atspaudus, kad tai neįtikėtina. Geriausia vengti bet kokios svetainės, kuria nepasitikite.
 

HEISENBERG

ADMIN
ADMIN
Joined
Jun 24, 2021
Messages
1,643
Solutions
2
Reaction score
1,748
Points
113
Deals
666
Vienintelis protingas sprendimas(y)
 

MuricanSpirit

Don't buy from me
New Member
Joined
Nov 6, 2021
Messages
73
Reaction score
50
Points
18
Sekite pele be js (nors galiojimo laikas, niekada nemačiau ir negirdėjau, kad jis būtų naudojamas):

Tai veikia backend'e iš esmės taip pat, kaip ir "rezoliucijos pirštų atspaudų nustatymas", įkeliant paveikslėlį (serveris gali atsakyti 404 nerastas), kuris backend'ui nurodo pelės koordinates.

// niekada nebandyta .main { -z-index: 999999; // įdėti virš visko width: 100%; height: 100%; position: absoliut; top: 0; left: 0; pointer-events: none; // leiskite pelei spragtelėti per } // tarkime, kad jums rūpi kiekvienas 1px judesys, dėl to bus daug triukšmingų užklausų, tikriausiai naudotumėte 20-100px tinklelius .main grid00 { // vaizduojantis viršutinį kairįjį pirmąjį pikselį x:0 y:0 background: url("position0_0.png"); width: 1px; height: 1px; } .main grid01 { // atstovaujantis viršutiniam kairiajam pirmajam pikseliui x:0 y:1 background: url("position0_0.png"); width: 1px; height: 1px; } // ir t. t. Šias css taisykles generuotumėte per scss (įsivaizduokite tai kaip [I]skriptinį css[/I], kuris generuoja standartinį css).


Galite naudoti datą, kad sužinotumėte, ar naudotojas yra aktyvus skirtuke, klasifikuotumėte jo pelės elgseną (pvz., kaip greitai jis ją juda, kur yra jo pageidaujama padėtis, ar jis naudoja pelę tekstui skaityti ir t. t. p.).

Galite sukurti tokias css taisykles kiekvienam mygtukui, kad žinotumėte, "kaip naudotojas spaudžia mygtuką" (ar jis juda iš apačios į viršų, kokiu greičiu ir t. t.), ir, žinoma, kokią padėtį jis renkasi ant pačių mygtukų.
 
Last edited:

cederroth

Don't buy from me
New Member
Joined
Aug 1, 2022
Messages
13
Solutions
1
Reaction score
12
Points
3
Rekomenduočiau nedaryti daugiau nei vieno dalyko vienu metu, kai naudojamasi tor, arba uodegomis.
Kai norite daryti ką nors kita, atsijunkite nuo tails. ir vėl prisijunkite. Taip sukuriamas naujas ID.
Jei vienu metu darysite daug dalykų, gali būti, kad pavyks sujungti taškus, apie kuriuos negalvojate.
 
Top