Новость от SpaceDaily:

Новое исследование Католического университета Leuven-iMinds обнаружило, что 145 из 10000 топ-сайтов отслеживают пользователей без их ведома или согласия.Веб-сайты используют скрытые скрипты для получения отпечатков пальцев из браузеров пользователей. Устройство дактилоскопии обходит юридические ограничения на использование файлов cookies и игнорирует Do Not Track HTTP заголовок. Результаты показывают, что тайная слежка более распространена, чем считалось ранее.

Устройство снятия отпечатков пальцев, также известное как браузер дактилоскопии, является практикой коллекторских свойств ПК, смартфонов и планшетов для выявления и отслеживания пользователей. Эти свойства включают размер экрана, версии установленных программ и плагинов, а также список установленных шрифтов.

Исследование 2010 года, проведённое Electronic Frontier Foundation (EFF), показало, что для подавляющего большинства браузеров комбинация этих свойств уникальна и таким образом функционирует как «отпечаток пальца», который может использоваться для отслеживания пользователей, не полагаясь наcookies. Дактилоскопические устройства используют либо Flash — распространённый плагин для проигрыванияанимации, видео и звуковых файлов, либо JavaScript, которые используют общий язык программирования для веб-приложений.

Это первое всеобъемлющее усилие по измерению распространенности устройств отпечатков пальцев в Интернете. Команда исследователей из Католического университета Leuven-iMinds проанализировала ТОП 10000 интернет веб-сайтов и обнаружила, что 145 из них (почти 1,5%) используют флэш-дактилоскопию.

Некоторые флэш-объекты включали сомнительные методы, такие как выявление оригинальных IP адресов пользователей при посещении веб-сайта через третьих лиц (так называемые прокси-сервера).

Исследование также показало, что 404 из ТОП 1000000 сайты используют JavaScript-дактилоскопию, что позволяет отслеживать мобильные телефоны и усройства, не использующие флэш. Дактилоскопические скрипты были обнаружены при зондировании длинного список шрифтов — иногда до 500 — путем измерения ширины и высоты тайно напечатанных строк на странице.

Do Not Track/ Не отслеживать

Исследователи выявили в общей сложности 16 новых поставщиков дактилоскопических устройств, только один из которых был определен в предыдущих исследованиях. В ещё одном неожиданном открытии исследователи обнаружили, что пользователи отслеживаются этими технологическими устройствами, даже если они явно просят не быть отслеженными, активируя Do Not Track (DNT) HTTP header.

Исследователи также оценили Tor Browser и Firegloves, два инструмента, предлагаемые для повышения конфиденциальности. Были выявлены новые уязвимости, некоторые из которых дают доступ к личности пользователей.

Устройство дактилоскопии может использоваться для различных, связанных  с безопасностью задач, в том числе обнаружение мошенничества, защита от похищения аккаунта, а также и анти-ботов и anti-scraping услуг. Но оно также используется для аналитики и маркетинговых целей с помощью скриптов, скрытых в рекламных баннерах и веб-виджетах.

Чтобы обнаружить веб-сайты, использующие эти технологии, исследователи разработали инструмент под названием FPDetective. Инструмент сканирует и анализирует веб-сайты на наличие подозрительных скриптов. Этот инструмент будет в свободном доступе для других исследователей здесь.

Результаты будут представлены на 20-й конференции ACM по компьютерной и коммуникационной безопасности в ноябре этого года в Берлине.