Четверть самых популярных веб-сайтов отслеживают действия пользователей.

Скрипт отслеживания цифровых отпечатков пользователей - это фрагмент  JavaScript кода, который запускается внутри веб-страницы и работает, проверяя наличие определенных функций браузера.

Сегодня цифровые отпечатки обычно используются онлайн-рекламодателями в качестве механизма отслеживания пользователей.  Рекламодатели различными способами собирают информацию о пользователях, создавая один или несколько "отпечатков" для каждого, а затем используют их для отслеживания пользователя, когда он обращается к другим сайтам в Интернете.

Из-за того, что некоторые онлайн-рекламодатели в настоящее время используют отпечатки пальцев браузера, нарушающие конфиденциальность, некоторые браузеры, такие как Firefox, Chrome, Opera, Brave и Tor Browser, развернули функции для обнаружения и блокировки этих типов вредоносного кода.

10% из топ 100 000 сайтов используют скрипты для отсеживания

В академической статье, опубликованной ранее в этом месяце, группа ученых из Университета Айовы, Mozilla и Калифорнийского университета в Дэвисе, проанализировала, как популярные скрипты для снятия отпечатков пальцев в браузерах используются сегодня операторами веб-сайтов.

Используя набор инструментов машинного обучения FP-Inspector, который они сами разработали, исследовательская группа просканировала и проанализировала 100 000 самых популярных веб-сайтов в Интернете согласно рейтингу веб-трафика Alexa.

«Мы обнаружили, что в настоящее время сбор отпечатков браузера присутствуют более чем на 10% из 100 тысяч веб-сайтов и более четверти из 10 тысяч», - заявила исследовательская группа.

Однако исследовательская группа также отмечает, что, несмотря на большое количество веб-сайтов, которые в настоящее время собирают цифровые отпечатки, не все скрипты используются для отслеживания. Некоторые из них также используются для обнаружения мошенничества, поскольку автоматизированные боты, как правило, имеют одинаковые или похожие отпечатки, а скрипты снятия отпечатков браузеров являются надежным методом обнаружения автоматического поведения.

Ученые нашли новые техники отслеживания

Исследовательская группа также проанализировала, какие конкретно функции браузера или JavaScript API скрипты пытались идентифицировать пользователя.

«Наше ключевое понимание заключается в том, что скрипты для снятия отпечатков браузера обычно не используют метод (например, отпечаток экрана) изолированно, а скорее объединяют несколько методов вместе», - говорят исследователи.

Исследователи заявили, что определили кластеры с повторяющимися методами снятия отпечатков, а также кластеры, содержащие новые методы, о которых ранее не сообщалось как о потенциальных возможностях снятия отпечатков, что свидетельствует о том, что компании активно инвестируют в поиск новых способов отслеживания пользователей на основе следа их браузера.

Ниже приводится краткое изложение некоторых новых методов снятия отпечатков пальцев, обнаруженных исследователями:

• Отпечатки разрешений. Исследователи заявили, что некоторые веб-сайты проверяли API разрешений браузера, чтобы определить, было ли разрешение предоставлено или отклонено пользователем. Ученые заявили, что они обнаружили конкретные случаи, когда скрипты снятия отпечатков проверяли, предоставил ли пользователь доступ веб-сайту для уведомлений, геолокации и камеры, а затем использовали ли эту информацию для отслеживания пользователя.
• Снятие периферийных отпечатков. Исследователи заявили, что они также обнаружили скрипты, проверяющие, получили ли веб-сайты доступ для подключения к геймпадам и устройствам виртуальной реальности, и использовали эту информацию для отслеживания пользователей. В других случаях некоторые веб-сайты идентифицировали пользователей с помощью установленной раскладки клавиатуры, обычно доступной через функцию браузера getLayoutMap.
• Отпечатки API. Исследователи заявили, что некоторые веб-сайты проверяли, включены ли в браузере пользователя определенные API. Например, некоторые сценарии снятия отпечатков проверяли API AudioWorklet (только для браузеров Chromium), в то время как другие проверяли, были ли определенные функции JavaScript, такие как setTimeout или mozRTCSessionDescription, переопределены расширениями.
• Идентификация по времени. Исследователи заявили, что они также обнаружили, что некоторые сценарии снятия отпечатков измеряют время, необходимое для выполнения определенных функций. Например, некоторые веб-сайты использовали Performance API для отслеживания событий, таких как domainLookupStart, domainLookupEnd, domInteractive и msFirstPaint, во время предопределенной операции.
• Отпечаток анимации. Эта категория является одним из наиболее распространенных методов снятия цифровых отпечатков на сегодняшний день, но исследователи заявили, что они обнаружили новые способы злоупотребления веб-сайтами API AudioContext.
• Снятие отпечатков пальцев с датчиков. Как и в случае с функциями, связанными с веб-анимацией, в сценариях снятия отпечатков пальцев с датчиками часто злоупотребляли, но исследовательская группа заявила, что нашла веб-сайты, которые искали малоизвестный датчик близости устройства к пользователю.

Дополнительные сведения об исследовании команды можно найти в документе под названием «Fingerprinting the Fingerprinters: Learning to Detect Browser Fingerprinting Behaviors», который будет представлен на симпозиуме IEEE по безопасности и конфиденциальности в следующем году, в мае 2021 года.

Исследовательская группа также сообщила, что передала список доменов, на которых размещены скрипты снятия цифровых отпечатков, обнаруженные с помощью FP-Inspector, в Easylsit / EasyPrivacy и Disconnect, два проекта, которые управляют так называемыми «черными списками», которые представляют собой список доменов, которые должны быть загружены в блокировщики рекламы.

Вы можете заблокировать скрипты снятия отпечатков пальцев, включив защиту от снятия отпечатков пальцев в настройках своего браузера или установив расширение для блокировки рекламы, например Privacy Badger.