Одминский блог

Методики идентификации клиента в интернете

В продолжение темы максимальной анонимизации в интернете, есть немного добавить по поводу довольно новых технологий, появившихся в течении последних нескольких лет и позволяющих максимально точно идентифицировать посетителя веб-сайта.

Тут надо заметить, что крутятся они все на базе JavaScript, Adobe Flash и/или HTML 5. Поэтому забанив первые две технологии в браузере, теоретически можно несколько прикрыться, но практически, блокировка JavaScript не даст отработать проверке, что сразу же вызовет массу вопросов у алгоритмов проверки и пользователя банально замучают сложными капчами. Которые, вероятнее всего, будут решаться только в ручном режиме. Поэтому, естественно, оптимально использовать отключение некоторых сценариев JavaScript на сайтах, где необходимо сохранить анонимность. Но даст ли такой сервис пройти внутрь, при отключенном джаваскрипте – большой вопрос.

Начнем пожалуй, с неубиваемых или самовосстанавливающихся кукиз evercookie, которые прописываются не только в кэш, доступный для очистки в большинстве браузеров, но и во все доступные для браузера хранилища (кэш, Local Shared Object, Session Storage, Local Storage, Global Storage и т.д) откуда они будут восстанавливаться в случае удаления их из кэша, методами стандартного удаления кук из браузера.

Методика внедрения evercookie проста и заключается в банальном подключении JavaScript кода на любой странице сайта. При желании, можно пойти дальше и извлекать из всех имеющихся хранилищ клиента evercookie и сравнивать их между собой.

Технология деанонимизации довольно спорная, т.к часть антивирусов распознает этот JavaScript как злонамеренный код и могут блокировать сайты. Но в погоне за клонами и персональной информацией посетителей, владельцы сайтов могут идти далеко, вплоть до реальных кросс-скиптовых атак, т.ч хотя бы знать о таких методах – нужно.

Проверить работу evercookie  можно на сайте samy.pl. Создаете кукиз “Click to create”, чистите кэшы браузера и доступные вам разделы, после чего говорите rediscover и видите те же самые ID.

Защититься от данного метода идентификации можно несколькими способами:
1. Использовать браузер в режиме приватного просмотра, после закрытия которого удаляются все файлы сгенерированные браузером. Большая часть современных бродилок имеет такой функционал.
2. Использовать браузер в sandbox, доступный у многих IPS и антивирусов. То есть бродилка запускается в режиме песочницы и после закрытия за ней чистится все также, как и в пункте 1.
3. Существуют специальные надстройки для удаления кукизов, браузерного мусора и, в том числе, evercookie: Privazer или Mil Shield

Про генерацию Flash-кукиз говорить не имеет смысла, ибо falsh и без печенюшек палит реальный IP, поэтому его желательно прикрывать или по крайней мере ставить настройки так, чтобы он запрашивал возможность запуска. Единственное, для понимания глобального палева, можно просмотреть все имеющиеся  системе Flash-куки в панеле управления на офф.сайта адоба

Также существуют методы получения так называемого фингерпринта браузера, состоящего из уникальных, для каждой связки компьютер-браузер, меток.

К ним  можно , использование уникального идентификатора ETag или генерации PNG кэша, так называемого Canvas Fingerprinting.

Уникальный идентификатор ETag также генерится на базе JavaScript и хранится в кэше браузера. Сам то идентификатор используется изначально, для определения сервером состояние кэша браузера и необходимости скачивать новую версию файла, но веб-сервер может использовать этот функционал и для идентификации пользователя.  Этот метод, к примеру, использует сервис Kissmetrics проверяющий данный ID каждого посетителя заходящего на сайт их клиента. Надо заметить, что Kissmetrics для идентификации пользователя, помимо ETag использует также Flash-куки и объекты HTML 5 для восстановления удаленных айдишек. Используется данная методика, например, на сервисах Spotify или Hulu.

Защититься от них возможно только блокировкой JavaScript через NoScript и отключением Flash проигрывателя, тем более что куки флеша хранятся не только в кэше, но и вне компьютера в облаке Adobe.

Теперь собственно Canvas Fingerprinting с которого и начиналась эта статья, ибо изначально ко мне обратился коллега, который пытался работать по дейтинг сайтам с помощью ZennoPoster и никак не мог понять, как его обнаруживают за прокси.

Технология основана на том, что тот же самый JavaScript рендерит уникальное PNG изображение, содержащее текстовый код, а потом конвертит его в бинарный код, что дает возможность максимально уникализировать хэш для каждой системы. Уникальность получившегося хэша получается в связи с тем, что параметры рендера зависят от данных шрифтов, браузера, системы и даже графического процессора.

На данной странице можно глянуть пример генерации Canvas Fingerprinting

Надо заметить, что в 2012 году в использовании данной технологии были уличены сайты, использовававшие инструментарий социального цитирования AddThis или же инструменты рекламной сети Ligatus.com

Чуть позднее в браузер Tor была внедрена технология, позволяющая обнаруживать попытки снять Canvas Fingerprinting. Для других браузеров, приходится использовать либо NoScript, либо Adblock Plus с фильтром EasyPrivacy, либо плагин от Disconnect.me. Для браузера Chrome существует отдельная прилада – Chameleon.

Возвращаясь к проблеме обнаружения ZennoPoster, оказалось, что в стабильной версии 5.9.5 сделать ничего невозможно, а вот в версии 5.10 уже добавлен инструментарий блокировки, и, главное, эмуляции Canvas Fingerprinting, позволяющий подсунуть любопытствующей системе ложный фингерпринт. К сожалению, ничего подобного для PC я найти не смог.

Собственно как и было сказано выше, все подобные методы дополнительной идентификации могу использоваться как сами по себе, так и в комплекте с другими. И заблокировать их можно либо прикрывая основные технологии протечек, либо же специализированными плагинами.