Οπλισμένοι με ένα εργαλείο που μιμείται ένα πρόγραμμα περιήγησης, αλλά που είναι στην πραγματικότητα αφιερωμένο στο να ανακαλύπτει όλους τους τρόπους που οι ιστοσελίδες εντοπίζουν τους επισκέπτες τους, οι ερευνητές του Πανεπιστημίου του Princeton έχουν ανακαλύψει τις διάφορες τεχνικές για τη εξειδικευμένη καταγραφή και αναγνώριση στοιχείων ταυτότητας που δεν έχουμε ξαναδεί εκεί έξω.
Το εργαλείο μέτρησης της ιδιωτικότητας στο web ονομάζεται OpenWPM και είναι ανοιχτού κώδικα (open source, και μπορείτε να το βρείτε στο github). Οι δημιουργοί του είναι οι ίδιοι αυτοί ερευνητές που πραγματοποίησαν αυτή την τελευταία ερεύνα-μελέτη.
Ανίχνευσαν και ανέλυσαν τις μετρήσεις που συλλέχθηκαν από 1 εκατομμύριο από τους πιο δημοφιλείς ιστότοπους στο διαδίκτυο και διαπίστωσαν ότι η παρακολούθηση (και αυτή που βασίζεται στα cookies και αυτή που βασίζεται στα fingerprint (αποτυπώματα συσκευών και εφαρμογών) είναι άφθονη και πανταχού παρούσα, αλλά ο αριθμός των τρίτων μερών (δηλαδή των trackers) που ένας τακτικός χρήστης συναντά καθημερινά είναι σχετικά μικρός.
“Το φαινόμενο επιτείνεται όταν θεωρήσουμε ότι διαφορετικά τρίτα μέρη ανήκουν στην ίδια οντότητα”, σημειώνουν “Όλα τα top 5 τρίτα μέρη, καθώς και τα 12 από τα κορυφαία 20, είναι domains που ανήκουν στην Google. Στην πραγματικότητα, η Google, το Facebook και το Twitter είναι οι μόνες οντότητες τρίτων μερών που παρουσιάζονται σε περισσότερα από το 10% των ιστότοπων”.
Δεν είναι εντελώς απροσδόκητο, τα ειδησεογραφικά sites με αθλητικό περιεχόμενο ήταν και αυτά με τον μεγαλύτερο αριθμό από trackers, μετά είναι sites με τέχνες, αθλητικά, είδη σπιτιού, παιχνίδια και sites αγορών.
“Ιστότοποι στο υψηλό άκρο του φάσματος είναι σε μεγάλο βαθμό εκείνοι που παρέχουν συντακτικό περιεχόμενο. Δεδομένου ότι πολλά από αυτά τα sites παρέχουν τα άρθρα τους δωρεάν και δεν έχουν μια εξωτερική πηγή χρηματοδότησης, πιέζονται να βγάλουν κέρδος από τις προβολές των σελίδων με σημαντικά περισσότερη διαφήμιση”, επισήμαναν οι ερευνητές.
Μια άλλη ενδιαφέρουσα αποκάλυψη από την παρούσα μελέτη είναι ότι συσκευές αποτυπωμάτων (device fingerprinting) γίνονται όλο και μια πιο δημοφιλής τεχνική παρακολούθησης.
Η χρήση του στοιχείου καμβά (HTML5 Canvas) για την αποτύπωση και παρακολούθηση αποτυπωμάτων συσκευών (fingerprint devices) και κι κατά συνέπεια των χρηστών είναι γνωστή, αλλά έχουν προκύψει και νέες τεχνικές: αποτυπώματα γραμματοσειράς με την χρήση καμβά και η λήψη αποτυπωμάτων από την κατάχρηση του WebRTC API, του Battery Status API και του AudioContext API.
Η πρώτη μέθοδος αφορά συσκευή λήψης αποτυπωμάτων μέσα από την ανάκτηση της λίστας με τις γραμματοσειρές του προγράμματος περιήγησης μέσω του στοιχείου καμβά. Η δεύτερη χρησιμοποιείται για να ανακαλύψει τη διεύθυνση IP του επισκέπτη.
Η τρίτη μέθοδος (που χρησιμοποιείται πολύ σπάνια) ελέγχει το τρέχον επίπεδο της μπαταρίας ή την κατάσταση φόρτισης της συσκευής. Η τέταρτη αποτελείται από scripts που ελέγχουν για την ύπαρξη του AudioContext API και/ή επεξεργάζονται ένα ηχητικό σήμα που παράγεται με το OscillatorNode API
Οι τεχνικές αποτυπωμάτων χρησιμοποιούνται συχνά σε συνδυασμό και αυτό είναι που τις κάνει αποτελεσματικές στον εντοπισμό μεμονωμένων χρηστών.
Αυτές οι νεότερες τεχνικές αποτυπωμάτων είναι επίσης πιο δύσκολο να εντοπιστούν από τα υπάρχοντα εργαλεία προστασίας της ιδιωτικής ζωής.
Οι ερευνητές έχουν διαπιστώσει ότι η επέκταση του προγράμματος περιήγησης, το Ghostery , είναι ιδιαίτερα αποτελεσματικό στη μείωση καλά γνωστών trackers (και για τις τεχνικές με τα cookies και με τις απόπειρες λήψης αποτυπωμάτων μέσω του καμβά). Αλλά οι πιο σκοτεινοί trackers και οι τεχνικές λήψης αποτυπωμάτων, όπως αυτές που αναφέρθηκαν παραπάνω, εξακολουθούν να παρακάμπτουν την επέκταση.
“Αυτό είναι λογικό δεδομένου ότι η λίστα με τα μπλοκ ενημερώνεται χειροκίνητα και οι προγραμματιστές είναι λιγότερο πιθανό να έχουν έρθει αντιμέτωποι με σκοτεινούς ιχνηλάτες”, μας λένε, προσθέτοντας ότι αυτό το είδος της έρευνας θα πρέπει να τους βοηθήσει να συμπληρώσουν καλύτερα την λίστα.
Σχετικά με το OpenWPM
Το OpenWPM-όπως ονομάζεται η πλατφόρμα- επιτρέπει την απευθείας μέτρηση για όποια παρακολούθηση επιχειρείται.
“Ο στόχος μας στην ανάπτυξη της OpenWPM είναι για να μειωθεί το αρχικό κόστος της κατασκευής εργαλείων για τις μελέτες και για να εκτελεί μετρήσεις όσο το δυνατόν πιο εύκολα γίνεται. Έχει ήδη χρησιμοποιηθεί σε αρκετές δημοσιευμένες μελέτες από πολλαπλούς οργανισμούς για την ανίχνευση και την αντίστροφη μηχανική στον online εντοπισμό”, ανέφερε ο Englehardt.
Εξήγησε το πόσο δύσκολο είναι συνήθως να βρούμε εκείνες τις τεχνικές λύσεις που θα επιτρέψουν στους ερευνητές να παρακολουθούν τις παραβιάσεις της ιδιωτικής ζωής για μεγάλο χρονικό διάστημα -κάτι που έχει αποδειχθεί ζωτικής σημασίας για τις τελικές αλλαγές στις πολιτικές και για τις νέες τεχνικές και τις νομικές λύσεις που θα βελτιώσουν την προστασία της ιδιωτικής ζωής για όλους μας.
“Το OpenWPM καθιστά επίσης δυνατή την εκτέλεση των μετρήσεων μεγάλης κλίμακας με τον Firefox, ένα πρόγραμμα περιήγησης που χρησιμοποιείται από πραγματικούς χρήστες εκεί έξω”, σημείωσε, και εξήγησε: “Το να λειτουργείς μαζί με ένα πραγματικό πρόγραμμα περιήγησης είναι σημαντικό για δύο λόγους: (1) είναι λιγότερο πιθανό να ανιχνευθεί ως ένα bot, που σημαίνει ότι είναι λιγότερο πιθανό να λάβει διαφορετική μεταχείριση από τους ιστότοπους από ότι θα γινόταν για έναν κανονικό χρήστη, και (2) ένα πραγματικό πρόγραμμα περιήγησης υποστηρίζει όλα τα σύγχρονα χαρακτηριστικά web (πχ. WebRTC, HTML5 ήχου και βίντεο), plugins (πχ. Flash) και επεκτάσεις (πχ. Ghostery, HTTPS Everywhere). Πολλά από αυτά τα πρόσθετα χαρακτηριστικά παίζουν μεγάλο ρόλο στην προστασία της ιδιωτικής ζωής του μέσου χρήστη στο διαδίκτυο”.
Ο Englehardt και οι συνεργάτες του χρησιμοποιούν σήμερα το OpenWPM για τον έλεγχο των τεχνικών παρακολούθησης και των θεμάτων προστασίας της ιδιωτικής ζωής σε 1 εκατομμύριο ιστότοπους κάθε μήνα.
“Με αυτό, θα είμαστε σε θέση να ανιχνεύσουμε και να μετρήσουμε πολλές από τις γνωστές παραβιάσεις της ιδιωτικής ζωής που αναφέρθηκαν από τους ερευνητές μέχρι τώρα: η χρήση των stateful μηχανισμών παρακολούθησης, η λήψη αποτυπωμάτων του προγράμματος περιήγησης, ο συγχρονισμός των cookies και πολλά περισσότερα”, λέει. Αυτή η έρευνα δεν έχει τελειώσει ακόμα, αλλά θα τελειώσει σύντομα.
Εν τω μεταξύ, ο ίδιος κάλεσε τους ερευνητές να χρησιμοποιήσουν το OpenWPM για τη δική τους έρευνα. Ο κώδικας του framework μπορεί να βρεθεί στο GitHub και περισσότερες τεχνικές λεπτομέρειες γι’ αυτό υπάρχουν σε αυτό το εγχειρίδιο.
Πηγή άρθρου: https://www.helpnetsecurity.com
Μετάφραση: http://waves.pirateparty.gr/