Byla odhalena nová technika pro identifikaci instance prohlížeče . Metoda je založena na charakteristikách zpracování obrazu favicon, které webová stránka používá k určení ikon zobrazených v záložkách, kartách a dalších prvcích rozhraní prohlížeče.
Prohlížeče ukládají obrázky Favicon do samostatné mezipaměti , která se nepřekrývá s jinými mezipaměťmi, je společná pro všechny režimy provozu a není vymazána standardními čističi mezipaměti a historie prohlížení.
Tato funkce umožňuje použití identifikátoru i při práci v anonymním režimu a ztěžuje jeho odstranění. Ověřování pomocí této metody není ovlivněno ani používáním VPN a pluginů pro blokování reklam.
Metoda identifikace je založena na skutečnosti, že na straně serveru je možné určit, zda uživatel dříve otevřel stránku, analýzou informací o načtení Favicon, pokud prohlížeč nepožádal o obrázek Favicon uvedený v parametrech stránky , poté byla stránka načtena dříve a obrázek se zobrazí z mezipaměti.
Protože prohlížeče umožňují konfigurovat si vlastní favicon pro každou stránku, je možné zakódovat užitečné informace postupným přesměrováním uživatele na několik unikátních stránek.
Čím více přesměrování v řetězci, tím více identifikátorů lze určit (počet identifikátorů je určen vzorcem 2 ^ N, kde N je počet přesměrování). Například 4 uživatelé mohou oslovit dvě přesměrování, 3–8, 4–16, 10–1024, 24–16 milionů, 32–4 miliardy.
Nevýhodou této metody jsou velká zpoždění : čím větší je přesnost, tím déle trvá, než se stránka přesměrováním otevírá.
32 přesměrování generuje identifikátory pro všechny uživatele internetu, ale způsobí zpoždění asi tři sekundy. U milionu identifikátorů je zpoždění přibližně jeden a půl sekundy.
Metoda zahrnuje práci ve dvou režimech : psaní a čtení:
- Režim psaní generuje a ukládá identifikátor pro uživatele, který poprvé vstoupil na web.
- Režim čtení přečte dříve uložený identifikátor.
Volba režimu závisí na požadavku souboru Favicon na hlavní stránku webu: pokud je požadován obrázek, data se neukládají do mezipaměti a lze předpokládat, že uživatel na web dříve nepřišel nebo je obsah uložen do mezipaměti zastaralý. Podle výzkumníků je možné specifikováním hlavičky HTTP Cache-Control dosáhnout Favicon v mezipaměti až na jeden rok.
V režimu pouze pro čtení je uživatel při otevření webové stránky vázán na předdefinované stránky s jejich faviconami. HTTP server analyzuje, které favicony jsou ze serveru vyžádány a které se zobrazují bez přístupu k serveru z mezipaměti. Přítomnost požadavku je kódována jako „0“ a jeho absence jako „1“. Aby se zajistilo zachování identifikátoru pro budoucí požadavky, zobrazí se v reakci na požadavky na favicony chybový kód 404; to znamená, že při příštím otevření webu se prohlížeč pokusí tyto favicony znovu načíst.
V režimu zápisu se v přesměrovací smyčce pro stránky s kódem „1“ vrátí správná odpověď Favicon, která se uloží do mezipaměti prohlížeče (při opakování cyklu se data Favicon vrátí z mezipaměti bez přístupu k serveru) a pro stránky s kódem „0“ se zobrazí chybový kód 404 (pokud se cyklus přesměrování opakuje, data stránky se znovu vyžádají).
Metoda funguje v Chrome, Safari, Edge a částečně i ve Firefoxu. Ve Firefoxu pro Linux je použití favicon jako supercookies omezeno funkcí, která brání prohlížeči v ukládání favicon do mezipaměti.
Zajímavé je, že autoři metody ověřování informovali vývojáře Firefoxu o této funkci zhruba před rokem s tím, že došlo k chybě v mezipaměti, ale nezmínili se o jejich práci a že oprava chyby by vedla k možnosti identifikace uživatele.
Zdroj: https://www.cs.uic.edu