Hoe u uzelf kunt beschermen tegen onzichtbare vingerafdrukken van de browser

vingerafdruk lightbox


Wat is vingerafdrukken van de browser?

Een veel voorkomende onderzoekstechniek bij wetshandhaving is het verzamelen van vingerafdrukken op de plaats van een misdrijf. Op het moment van verzamelen is het niet bekend bij wie die vingerafdrukken horen, dus het doel is groothandelcollectie voor latere analyse. Die vingerafdrukken worden later vergeleken met een database met vingerafdrukken met bekende eigenaren om specifieke personen te identificeren.

Browser vingerafdrukken, ook wel canvas fingerprinting genoemd, werkt op dezelfde manier: de groothandelcollectie van zoveel mogelijk browseridentificatiepunten op een website die later kan worden vergeleken met de browserkarakteristieken van bekende mensen. Bij beide soorten vingerafdrukken onthult analyse mogelijk niet de identificatie van een persoon, maar kan nog steeds aantonen dat dezelfde persoon verschillende activiteiten heeft uitgevoerd.

De meeste privacy-enthousiastelingen weten dat de primaire manier waarop ze online kunnen worden geïdentificeerd, het gebruik van hun IP-adres is. TCP / IP, het protocolpakket dat internet gebruikt, vereist noodzakelijkerwijs dat uw IP-adres bij elk verzoek wordt verzonden, zodat de webserver weet waar het antwoord naartoe moet worden gestuurd.

Virtual Private Networks (VPN's) zijn de afgelopen jaren populair geworden als een manier om uw echte IP-adres te verbergen door een IP-adres van uw VPN-provider te lenen dat door veel mensen wordt gedeeld. Dit verbergt effectief uw echte IP-adres. Verkeer in het logboek van de webserver geeft eenvoudig het IP-adres van de VPN weer. Maar wat stuurt uw browser nog meer dat een VPN niet kan verwijderen? Veel daarvan hangt af van uw browserconfiguratie, maar sommige kunnen eenvoudigweg niet worden geholpen. Door de gegevens in de aanvragen van uw browser te correleren, kan iemand u identificeren, zelfs als u een VPN gebruikt.

Hoe worden vingerafdrukken uitgevoerd?

Het verzamelen van gegevens kan op twee manieren gebeuren; op de server en via client-side technologieën zoals JavaScript en Adobe Flash®.

Server-side collectie

Websitetoegangslogboeken op de server kunnen gegevens verzamelen die door uw browser worden verzonden. Dit zijn meestal minimaal het aangevraagde protocol en de URL, het aanvragende IP-adres, de referer (sic) en de string van de user agent.

nginx-access-log

Laten we eens kijken naar een standaard Nginx-toegangslogboekvermelding van een verzoek met de Safari-browser. Het ziet er zo uit:

11.22.33.4 - - [18 / Apr / 2017: 08: 04: 17 -0300] "GET /using-expressvpn-with-ubuntu-linux-mint-or-debian-linux/HTTP/1.1" 200 12539 "-" "Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 603.1.30 (KHTML, zoals Gecko) Versie / 10.1 Safari / 603.1.30"

Mijn IP-adres, browser en besturingssysteem zijn opgenomen in de aanvraag. De browser en het besturingssysteem zijn opgenomen in de user agent-string die deel uitmaakt van het verzoek:

Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 603.1.30 (KHTML, zoals Gecko) Versie / 10.1 Safari / 603.1.30"

Als ik dezelfde pagina laad met Chrome, is het enige verschil dat user agent nu wordt weergegeven als Chrome. Het logboek toont hetzelfde IP-adres en hetzelfde besturingssysteem. Twee punten zijn niet voldoende om een ​​concrete vergelijking te maken, maar het is voldoende om aan te geven dat deze twee verzoeken van dezelfde persoon hadden kunnen komen.

11.22.33.4 - - [18 / Apr / 2017: 08: 05: 36 -0300] "GET / using-expressvpn-with-ubuntu-linux-mint-or-debian-linux / HTTP / 1.1" 200 12581 "-" "Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 537.36 (KHTML, zoals Gecko) Chrome / 57.0.2987.133 Safari / 537.36"

Webservers kunnen ook worden geconfigureerd om veel meer gegevens in de toegangslogboeken te loggen met behulp van logformaatindicatoren.

Naast wat kan worden vastgelegd in toegangslogboeken van webserver, verzenden browsers ook een reeks headers. De webserver moet weten welke soorten inhoud en compressie de browser begrijpt. Het is ook heel gebruikelijk dat cookies worden uitgewisseld tussen browsers en webservers. In de ontwikkeltools van mijn Chrome-browser zie ik dat deze headers ook met mijn verzoek zijn verzonden en verder kunnen worden gebruikt om vingerafdrukken per browser te maken:

: Dienst: slumpedoverkeyboarddead.com
: Methode: GET
: Path: / gebruikers-expressvpn-met-ubuntu-Linux-mint-of-debian-Linux /
: Schema: https
accepteren: text / html, application / xhtml + xml, application / xml; q = 0,9, beeld / webp, * / *; q = 0,8
accepteren-codering: gzip, leeglopen, sdch, br
geaccepteerde taal: en-US, en q = 0,8
koekje: _ga = GA1.2.251051396.1499461219; _gat = 1
DNT: 1
referer: https: //slumpedoverkeyboarddead.com/
upgrade-onzeker-verzoeken: 1
user-agent: Mozilla / 5.0 (Macintosh; Intel Mac OS X 10_12_4) AppleWebKit / 537.36 (KHTML, zoals Gecko) Chrome / 57.0.2987.133 Safari / 537.36

Collectie aan clientzijde

Dat is de server-side informatie die gemakkelijk kan worden verzameld, maar onze oude client-side vrienden JavaScript en Adobe Flash® zullen veel, veel meer over uw browser verraden. Er zijn een aantal sites op internet die laten zien hoeveel gegevens uw browser zal verstrekken wanneer daarom wordt gevraagd.

Ik leer bijvoorbeeld van Am I Unique? dat mijn browser een ontmoedigende lijst met informatie van mijn browser zal bieden, zoals:

  • elk lettertype beschikbaar op mijn systeem
  • de lijst met plug-ins die ik heb geïnstalleerd
  • de resolutie van mijn scherm
  • de taal van mijn systeem
  • of mijn browser cookies accepteert
  • en meer. De volledige lijst met wat Am I Unique verzamelt, is hier en meer is mogelijk.

De onderstaande tabel is afkomstig uit een Am I Unique-paper1 gepubliceerd in maart 2016. Merk op dat de twee rijkste gebieden voor gegevensverzameling de client-side JavaScript en Adobe Flash® zijn

amiunique-attributen-tafel

Overweeg het bovenstaande voorbeeld waarbij de serverlogboeken mijn IP, browser en besturingssysteem lieten zien. Voeg nu de lijst met informatie toe die JavaScript en Adobe Flash® leveren, en u kunt beginnen te zien hoe gemakkelijk het zou zijn om bezoeken te correleren. Als twee bezoeken exact dezelfde set gegevens delen, behalve het IP-adres, zou bijvoorbeeld nog steeds kunnen worden afgeleid dat die bezoeken van dezelfde persoon waren. Dit is een bijzonder nuttige techniek wanneer iemand een VPN gebruikt waardoor zijn IP-adres minder nuttig is als identificatiepunt.

Wanneer u een VPN gebruikt, is het enige gegevenspunt dat verandert het IP-adres van de aanvrager. Am I Unique laat zien dat het 21-punts datapunten kan verzamelen, zelfs niet inclusief de drie datapunten uit de serverlogs. Als u een VPN gebruikt om één gegevenspunt (uw IP-adres) te wijzigen, blijven er dus nog 23 gegevenspunten over voor vergelijking.

Er bestaat geen wereldwijde standaard voor menselijke vingerafdrukken bij wetshandhaving, maar zeker een vingerafdruk met 23 overeenkomende punten zou als behoorlijk bewijs worden beschouwd.

Bijwerken: Firefox heeft aangekondigd dat het canvas-vingerafdrukpogingen van websites blokkeert vanaf versie 58. In de bovenstaande afbeelding ziet u dat de canvasinformatie van mijn browser me in een vrij kleine groep browsers plaatst. Door specifieke canvasverzoeken aan een browser te sturen en de resultaten te hashen, kunnen websites dat beperken tot een zeer unieke vingerafdruk. Beginnend met Firefox 58, zal de browser gebruikers vragen canvasverzoeken goed te keuren alvorens hen toe te staan.

Hoe werkt de vergelijking??

De meeste privacybewuste mensen denken dat hoe minder informatie je geeft, hoe beter je privacy zal zijn. Dit geldt alleen in een wereld waar u ervoor kunt kiezen om dingen niet te doen. Als ik bijvoorbeeld geen persoonlijke informatie op Facebook wil hebben, kies ik ervoor om Facebook niet te gebruiken. Het is echter vrijwel onmogelijk om het internet al die dagen niet te gebruiken, dus je zult noodzakelijkerwijs vingerafdrukken achterlaten. Daarom is het doel hier om het moeilijk te maken voor uw privé-activiteiten om te worden gecorreleerd met uw openbare activiteiten. Het handhaven van deze scheiding voorkomt dat iemand u persoonlijk identificeert met gegevens van activiteiten die u privé wilt houden.

Goede privacitechnieken zoals het vergrendelen van uw browser om javascript, cookies en webRTC-aanvragen niet toe te staan, zullen uw browser alleen unieker maken, omdat minder mensen dat doen. Met behulp van Panopticlick van de Electronic Frontier Foundation kunnen we bijvoorbeeld het verschil zien in de twee configuraties. Met Javascript ingeschakeld, kan mijn browser gemakkelijk worden gevolgd:

Panopticlick-general-stats-js

Met javascript uitgeschakeld, kan mijn browser nog steeds worden gevolgd, maar het wordt zo uniek dat het slechts overeenkomt met 1 op ongeveer 100.000 browsers. Als je bedenkt dat er miljarden internetgebruikers zijn, is 1 op de 100.000 relatief uniek.

Panopticlick-general-stats-no-js

Het is belangrijk op te merken dat er echt heel weinig vingerafdrukgegevens beschikbaar zijn om mee te testen. Hoewel er een aantal sites zijn, zoals Am I Unique (momenteel 352.000 records), Panopticlick (470.161 records) en andere, hebben ze een relatief kleine hoeveelheid gegevens om mee te werken. Het is ook waarschijnlijk dat de meeste van die gegevens afkomstig waren van gebruikers met een privacyoogmerk in plaats van de algemene internetpopulatie, dus de statistieken weerspiegelen waarschijnlijk niet erg de gemiddelde internetgebruiker. Het echte gevaar komt van de mogelijkheid dat sites zoals Facebook, met 1,86 miljard maandelijkse vaste gebruikers, enorme databases van vingerafdrukgegevens van browsers samenstellen. Wanneer zeer populaire sites zoals die beginnen met het verzamelen van vingerafdrukgegevens van browsers, wordt het spookbeeld van onzichtbare internettracking zeer reëel.

Hoe unieker uw browser, hoe eenvoudiger het is om op verschillende sites te identificeren. In dit geval loont het dus niet echt om uw browser te vergrendelen. Aan de andere kant is surfen op het web met een onveilige browser tegenwoordig een uiterst riskante activiteit, dus wat is de beste oplossing?

Hoe kun je jezelf beschermen

Aangezien er geen haalbare manier is om dezelfde browser veilig te gebruiken voor zowel uw privé- als openbare internetactiviteiten, is de beste bescherming tegen vingerafdrukken op dit moment het scheiden van die twee activiteiten. Gebruik één systeem of browser voor uw dagelijkse activiteiten en een afzonderlijke voor uw privéactiviteiten. Het is het beste om nog een stap verder te gaan en een anonimiteitstool zoals Whonix te gebruiken voor uw privéactiviteiten om een ​​nog grotere scheiding tussen uw privé- en openbare activiteiten te waarborgen. Het handhaven van deze scheiding vereist een goede operationele beveiliging.

OpSec (operationele beveiliging)

OpSec is het proces van het verzamelen van grote hoeveelheden beschikbare informatie over iemand die op het eerste gezicht niet gerelateerd lijkt, maar kan worden geanalyseerd om een ​​aantal zeer specifieke informatie te bieden. Een heel duidelijk voorbeeld is inloggen op uw Facebook-account terwijl u een privacytool zoals Tor gebruikt. Nadat u bent ingelogd, heeft u uw identiteit bevestigd zonder dat een tegenstander uw vingerafdruk van uw browser hoeft te analyseren.

Er is geen einde aan OpSec-blunders die de correlatie van uw openbare en privé-internetactiviteiten kunnen vergemakkelijken, maar hier zijn enkele uitgangspunten.

  1. Bij uw privé-internetactiviteiten mag u nooit een site gebruiken die u ook in uw openbare internetleven gebruikt. Accountcorrelatie, zoals het Facebook-voorbeeld, snijdt dwars door uw privacy-pogingen.
  2. Je privéactiviteiten moeten het opstellen van berichten vermijden. Dit beschermt tegen stylometrische analyse. Als het niet mogelijk is om het opstellen van berichten te vermijden, moet u proberen uw schrijfstijl aanzienlijk te wijzigen.
  3. Gebruik een compleet ander computersysteem dat permanent is verbonden met een anonimiteitstool zoals Tor of een vertrouwde VPN voor uw privéactiviteiten. Dit helpt onbedoelde gegevenslekken zoals DNS-vragen of WebRTC-aanvragen te voorkomen.
  4. Als u een VPN gebruikt voor zowel uw privé- als openbare internetactiviteiten, maakt u verbinding met een andere VPN-server voor elk type activiteit. Misschien wilt u ook een VPN met Tor gebruiken, in welk geval sommige VPN's beter met Tor werken dan andere.
  5. Gebruik geen gebruikersnamen, e-mailadressen of andere accountgegevens van uw openbare activiteiten binnen uw privéactiviteiten. Dit beschermt tegen het achterlaten van een onbedoeld spoor van broodkruimels, zoals degene die de eigenaar van de illegale Silk Road-markt heeft helpen identificeren.

Door uw activiteiten op deze manier te scheiden, voorkomt u niet dat uw openbare of privéactiviteiten tot op zekere hoogte vingerafdrukken krijgen, maar kan het de correlatie tussen deze twee soorten activiteiten voorkomen. Een waarnemer zal waarschijnlijk in staat zijn te vertellen dat dezelfde persoon die privé-activiteiten heeft gedaan, maar minder in staat zijn om die persoon aan uw openbare identiteit te binden.

Browser vingerafdrukken en de GDPR

De AVG en de komende ePrivacy-verordening zullen waarschijnlijk vingerafdrukken van browsers reguleren, evenals andere manieren om gebruikers zoals cookies te volgen. De AVG vermeldt nooit vingerafdrukken van browsers expliciet, maar dit is opzettelijk; wetgevers hebben geleerd van ervaringen uit het verleden om regels neutraal te houden voor specifieke technologie. In de ePrivacy-verordening worden daarentegen uitdrukkelijk vingerafdrukken van apparaten vermeld.

In plaats daarvan definieert de GDPR eenvoudig persoonlijke gegevens als alle informatie die aan een identificeerbare persoon kan worden gekoppeld. Dit omvat veel identificatiegegevens, waaronder cookies, IP-adressen, advertentie-ID's en, ja, vingerafdrukken. De Electronic Frontier Foundation legt uit dat “identificatie niet vereist dat de identiteit van een gebruiker wordt vastgesteld:

“Het is voldoende dat een entiteit die gegevens verwerkt, indirect een gebruiker kan identificeren op basis van pseudonieme gegevens, om bepaalde acties op basis van een dergelijke identificatie uit te voeren (bijvoorbeeld om verschillende advertenties aan verschillende gebruikers te presenteren, op basis van hun profielen). Dit is wat EU-autoriteiten noemen als sing-out, koppelbaarheid of gevolgtrekking. ”

In de AVG staat dat elke entiteit die persoonsgegevens verwerkt, moet aantonen dat ze daarvoor een legitieme reden hebben. Bovendien vereist de ePrivacy-richtlijn die waarschijnlijk in werking treedt in 2019 dat websites en apps de opt-in-toestemming van gebruikers krijgen voordat ze worden gevolgd. Bovendien moeten bedrijven met die vingerafdruk gebruikers kunnen laten zien welke informatie ze verzamelen, evenals de reikwijdte, het doel en de wettelijke basis.

"Browsermetingen van AmIUnique-vingerafdrukken met een voorbeeld". Pierre Laperdrix, Walter Rudametkin, Benoit Baudry. Beauty and the Beast: moderne webbrowsers omleiden om unieke browser-vingerafdrukken te maken. 37e IEEE-symposium over beveiliging en privacy (S&P 2016), mei 2016, San Jose, Verenigde Staten.

Brayan Jackson Administrator
Candidate of Science in Informatics. VPN Configuration Wizard. Has been using the VPN for 5 years. Works as a specialist in a company setting up the Internet.
follow me

Add a Comment

Your email address will not be published. Required fields are marked *

85 − 82 =