Browser vingerafdrukken

[HEISENBERG]

Veel mensen gebruiken Anonymity Networks om hun IP-adres en locatie te verbergen - maar er is nog een andere manier waarop je geïdentificeerd en gevolgd kunt worden: via browser fingerprinting.

Wanneer je online gaat, voorziet je computer of apparaat de sites die je bezoekt van zeer specifieke informatie over je besturingssysteem, instellingen en zelfs hardware. Het gebruik van deze informatie om je online te identificeren en te volgen staat bekend als apparaat- of browserfingerprinting.

Omdat browsers steeds meer verweven raken met het besturingssysteem, kunnen veel unieke details en voorkeuren via je browser worden blootgelegd. De som van deze gegevens kan worden gebruikt om een unieke "vingerafdruk" te maken voor tracking- en identificatiedoeleinden.
De vingerafdruk van uw browser kan het volgende weergeven:

• de User Agent-header;
• de Accept-header
• de Connection-header
• de coderingsheader
• de Taal header;
• de lijst met plugins;
• het platform;
• de voorkeuren voor cookies (toegestaan of niet)
• de Do Not Track voorkeuren (ja, nee of niet meegedeeld);
• de tijdzone;
• de schermresolutie en de kleurdiepte
• het gebruik van lokale opslag;
• het gebruik van sessieopslag;
• een afbeelding weergegeven met het HTML Canvas element;
• een afbeelding weergegeven met WebGL;
• de aanwezigheid van AdBlock;
• de lijst met lettertypen.

De efficiëntie van identificatie op deze manier wordt hier goed beschreven: http://yinzhicao.org/TrackingFree/crossbrowsertracking_NDSS17.pdf

Zijn testwebsites voor browser fingerprinting erg nauwkeurig?

Ja en nee.

Ja, deze websites geven accurate informatie over de vingerafdruk van uw browser en de verschillende waarden die worden verzameld.

Nee, de "uniciteit" conclusie over uw browser van deze websites kan zeer onnauwkeurig en misleidend zijn. Dit is waarom:

Gegevensmonster: Cover Your Tracks en amiunique.org vergelijken de vingerafdruk van uw browser met een gigantische database van oude, verouderde browsers - waarvan er veel niet meer in gebruik zijn. Als u de vingerafdruk van uw browser test met een bijgewerkte browser, kan deze worden weergegeven als extreem zeldzaam en uniek, ook al gebruikt de meerderheid van de mensen dezelfde bijgewerkte versie. Omgekeerd kan het uitvoeren van de test met een oude, verouderde browser een zeer goed resultaat laten zien (niet uniek), terwijl in werkelijkheid zeer weinig mensen de oudere browser vandaag de dag gebruiken.
Schermresolutie: Op desktopcomputers passen de meeste mensen regelmatig de schermgrootte van hun browser aan. Elke kleine waarde van de schermgrootte wordt gemeten als een factor voor uniekheid, wat misleidend kan zijn.
Willekeurige vingerafdrukken: Een ander probleem met deze testsites is dat ze geen rekening houden met gerandomiseerde vingerafdrukken die regelmatig kunnen worden gewijzigd via browserextensies. Deze methode kan een effectieve manier zijn om real-world fingerprinting te voorkomen, maar het kan niet getest/gekwantificeerd worden via deze sites.

Over het algemeen zijn de testwebsites voor browser fingerprinting goed voor het onthullen van de unieke informatie en waarden die door je browser kunnen worden weergegeven. Afgezien daarvan kan het echter tijdverspilling en contraproductief zijn om te proberen de test te verslaan door de laagste "uniciteitsscore" te halen.

Hier zijn enkele goede manieren om de vingerafdruk van uw browser te beperken:
Het wordt sterk aangeraden om alles wat als Darknet-gerelateerd kan worden beschouwd, niet op je normale besturingssysteem of standaardbrowser te doen. Het is raadzaam om hiervoor een apart apparaat te hebben.

Bestudeer het zeker:

Dek uw sporenuit

Bekijk hoe trackers je browser bekijken

coveryourtracks.eff.org

https://amiunique.org/ is een andere goede bron. Het is open source en biedt meer informatie en bijgewerkte fingerprintingtechnieken, waaronder webGL en canvas.

 

[Chemman]

Zijn er precedenten dat een drugsdealer werd aangehouden voor het identificeren van browser-vingerafdrukken?
Is JS zo gevaarlijk voor het darknet?

 

[Alenciss]

Er zijn een aantal bekende kwetsbaarheden die gebruikt zijn om Tor gebruikers te deanonimiseren via JavaScript.

Het eerste grote incident waarbij dit gebeurde was met de "Freedom Hosting" inbeslagname door de FBI. De FBI hield servers online en installeerde vervolgens javascript paylods die gebruik maakten van een zero-day exploit in Firefox. Hierdoor belden de computers terug naar een FBI-server vanaf hun echte, niet-geanonimiseerde IP, wat leidde tot deanonimisering van verschillende gebruikers. Je kunt er meer over lezen in Ars Technica.

In het algemeen opent het inschakelen van JavaScript de ruimte voor veel meer potentiële aanvallen op een webbrowser. In het geval van een serieuze tegenstander zoals een door de staat gesteunde entiteit (bijv. de FBI), hebben ze toegang tot zero-day exploits. Als de vectoren voor deze zero-days uitgeschakeld zijn (bijv. JavaScript), dan kan het moeilijk voor ze zijn om een levensvatbare exploit te vinden, zelfs als ze toegang hebben tot zero days etc.

De enige reden waarom het Tor project toestaat dat JavaScript standaard aan staat in de Tor browser is gebruiksvriendelijkheid. Veel Tor gebruikers zijn niet technisch onderlegd en JavaScript wordt vaak gebruikt met HTML5 in moderne websites. Het uitschakelen van JavaScript maakt veel websites onbruikbaar, daarom staat het standaard aan.

Als een best practice moet je JavaScript uitschakelen in de Tor browser en NoScript ingeschakeld houden voor alle sites, tenzij je een zeer dwingende reden hebt om dit niet te doen.

 

[MuricanSpirit]

Afaik WebRTC - meestal gebruikt als voip - kan ook worden gebruikt om vingerafdrukken van je te nemen (de api laat zien welke apparaten beschikbaar zijn, bijv. Chrome geeft aan of je een Xbox controller hebt aangesloten).

Een unieke niet js fingerprinting techniek is het gebruik van css respectievelijk de @media query (responsive view) om je te fingerprinten door "elke keer een nieuwe afbeelding te downloaden" wanneer de grootte van de browser wordt gewijzigd. Zo kunnen ze zien of je een 4k monitor hebt of dat je een vm gebruikt (de meeste vms hebben standaard maar 2 formaten beschikbaar). De enige manier om deze fingerprinting te "vermijden" is om de grootte van de tor browser niet te veranderen nadat deze is gestart (deze zal starten in de standaardgrootte).

Bijvoorbeeld.

@media only screen and (max-width: 600px) { body { background: url("maxwidth600.png") } }

Op deze manier weet de server welke breedte de browser heeft. Het eindpunt (bijv. /images/widthWHATEVER.png) hoeft niet eens een afbeelding terug te sturen en toch zal de browser er elke keer om vragen bij het wijzigen van de grootte.

Ze kunnen ook je "resizing-gedrag" gebruiken om je te identificeren, bijvoorbeeld dat jij de enige gebruiker bent van 1.000.000 voorbeelden die herhaaldelijk de grootte wijzigt van x-breedte naar y-breedte.

Er zijn zoveel technieken om een vingerafdruk van je te maken dat het ongelofelijk is. Het beste is om elke site die je niet vertrouwt te vermijden.

 

[HEISENBERG]

De enige verstandige oplossing

 

[MuricanSpirit]

Volg de muis zonder js (hoewel verlopen, heb ik dit nooit gezien of gehoord dat het wordt gebruikt):

Het werkt in de backend in principe op dezelfde manier als "resolution fingerprinting" werkt door een afbeelding te laden (server kan reageren met 404 not found) die de backend de coords van de muis vertelt.

// nooit geprobeerd .main { -z-index: 999999; // zet over alles heen width: 100%; height: 100%; position: absolut; top: 0; left: 0; pointer-events: none; // laat de muis doorklikken } // laten we zeggen dat je geeft om elke 1px beweging, wat resulteert in veel lawaaierige verzoeken, dan zou je waarschijnlijk 20-100px rasters gebruiken .main grid00 { // vertegenwoordigt eerste pixel linksboven x:0 y:0 background: url("position0_0.png"); width: 1px; height: 1px; } .main grid01 { // vertegenwoordigt eerste pixel linksboven x:0 y:1 background: url("position0_0.png"); width: 1px; height: 1px; } // etc. je zou die css regels natuurlijk genereren via scss (stel het je voor als [I]scripted css[/I] die standaard css genereert).


Je zou de datum kunnen gebruiken om te weten of de gebruiker actief is op het tabblad, om zijn muisgedrag te classificeren (bijv. hoe snel beweegt hij, waar is zijn voorkeurspositie, gebruikt hij zijn muis om de tekst te lezen enz. pp.)

Je zou css-regels kunnen maken voor elke knop om te weten "hoe de gebruiker op een knop drukt" (beweegt hij van beneden naar boven, snelheid van de beweging enz.

 

[cederroth]

Ik zou aanraden om niet meer dan één ding tegelijk te doen als je tor of tails gebruikt.
Als je iets anders wilt doen, log je uit bij Tails en log je opnieuw in. Dat maakt een nieuwe id aan.
Als je veel dingen tegelijk doet, kun je misschien puntjes met elkaar verbinden waar je niet aan denkt.