Thomas Dunning sagte: "Bei 300 Prozent [Gewinn] gibt es kein Verbrechen, das er [Kapital] nicht riskieren würde, selbst wenn er nur Schmerzen im Galgen hätte." Diese im 19. Jahrhundert gesprochenen Worte sind bis heute relevant. Unternehmen, die im Internet Geschäfte machen, erfinden immer ausgefeiltere Methoden, um Benutzer auszuspionieren.
Die Geschichte der Cookies hat mehrere Skandale im Zusammenhang mit Datenschutzverletzungen durchlaufen, die Arbeit der Browser mit ihnen hat sich allmählich geändert und ist anscheinend endlich in einen zivilisierten Kanal eingetreten. Wir haben gelernt, unsere Daten zu schützen, und es ist relativ sicher geworden, Cookies zu essen.
Aber dann kamen Supercookies - eine ziemlich klebrige Sache, die buchstäblich nicht umgangen werden kann.
Eigentlich SupercookiesKeine bestimmte Technologie, sondern ein allgemeiner Name für verschiedene Methoden zum Sammeln und Speichern privater Informationen, die unter Umgehung bekannter Einschränkungen funktionieren. Mal sehen, was Supercookies sind, wie genau sie unsere Daten sammeln und wie wir uns vor ihnen schützen können.
Wie die Naivität der Entwickler die Grundlagen für die Erfassung personenbezogener Daten geschaffen hat
Die Idee, Standortdaten lokal zu speichern, entstand zu Beginn des Internets. Ursprünglich verfolgten Cookie-Technologien äußerst gute Ziele, aber wie die meisten Protokolle und Technologien wurden sie von Idealisten entwickelt, denen die Sicherheit nicht wirklich wichtig war und die sich das tatsächliche Ausmaß der zukünftigen Netzwerkentwicklung einfach nicht vorstellen konnten.
Diese Probleme begannen, als Computer groß und Programmierer etwas naiv waren. Zum Beispiel entstand eine der Schwachstellen von Mobilfunknetzen aus demselben naiven Grund: Angst und Schrecken vor SS7 .
Auch mit Cookies. Die Idee, sich an die Produkte zu erinnern, die der Benutzer dem Warenkorb hinzugefügt hat, und ihn nicht zu zwingen, bei jedem Besuch der Seite ein Kennwort einzugeben, sich an das Erscheinungsbild der Website und dergleichen zu erinnern, ist großartig. Was könnte schiefgehen?
Statistiken sind ein Leckerbissen für Werbung. Informationen über Benutzer, ihr Verhalten auf Websites, Präferenzen bei der Auswahl der Waren, Zeitaufwand auf der Seite. Geschäftsleute sind bereit, alles dafür zu tun, und die Werbestrategie ist danach aufgebaut.
Der erste Alarm wurde 1996 ausgelöst. Nur ein paar Jahre nach Einführung des Cookies veröffentlichte die Financial Times in ihrer Zeitung einen Artikel über die Bedrohung der Privatsphäre:
Untersuchungen, die 1996 und 1997 von der US Federal Trade Commission durchgeführt wurden, ergaben eine Cookie-Spezifikation. Eine seiner Bestimmungen war, dass Cookies von Drittanbietern entweder vollständig blockiert werden sollten oder zumindest standardmäßig nicht funktionieren sollten.
Neben der Möglichkeit, Benutzeraktionen heimlich zu überwachen, hatten die ersten Versionen weitere Nachteile. Zum Beispiel könnten sie abgefangen und ersetzt werden und dann verwendet werden, um die Site mit dem Passwort eines anderen Benutzers einzugeben. Im Laufe der Entwicklung der Arbeit mit Cookies wurden mehrere Richtlinien erlassen, die die Richtlinien für die Verwendung von Cookies verschärfen, zum Beispiel: Begrenzung der Dauer ihres Betriebs.
Anschließend wurden Cookies mit personenbezogenen Daten gleichgesetzt und die Anforderungen für das Sammeln von Informationen über Benutzer schrittweise verschärft, bis zu der lächerlichsten und nervigsten Entscheidung: einer Popup-Benachrichtigung, dass Cookies auf der Website verwendet werden, und einem Angebot, dieser Tatsache zuzustimmen. Es wurde so schlimm, dass einige Browser die Möglichkeit hatten, diese Banner in ihren Einstellungen zu entfernen, und mehrere Erweiterungen wurden geschrieben, um lästige Warnungen zu blockieren.
Wie Flash-Supercookie personenbezogene Daten sammelte
Supercookies waren anfangs unangenehm und potenziell gefährlich. Im Gegensatz zu normalen Cookies stammte ihre Quelle nicht von einer bestimmten Site-Adresse, sondern von einer übergeordneten Domain. Anstatt sich an die Site habr.com zu binden, wurde dem com-Domainnamen beispielsweise eine Cookie-Datei zugewiesen, die die Arbeit des Benutzers mit allen Sites in dieser Domainzone steuern kann. Diese Möglichkeit war so offensichtlich, dass sie von Anfang an von Browsern blockiert wurde. Wenn es jedoch Möglichkeiten gab, private Informationen auf andere Weise zu speichern, wurde dieser Name gespeichert und blieb hängen.
Lange Zeit war die Möglichkeit einer anspruchsvollen Interaktion auf einer Internetseite (mit Videos, animierten Bannern und Browsergames) fast ausschließlich mit Hilfe der Flash-Technologie möglich. Der berüchtigte Adobe Flash Player hat den Prozessor stark geladen und die aufgetretenen Fehler, die zum Absturz und zur Verlangsamung des Browsers führten, nicht richtig erkannt. Darüber hinaus enthielt die Engine viele Sicherheitslücken, die von Angreifern aller Art gnadenlos ausgenutzt wurden.
Da sich kommerzielle Unternehmen bei der Auswahl der Mittel nicht wesentlich von Schurken unterscheiden, zögerten sie nicht, die Funktionen von Flash zu nutzen, um Informationen über Benutzer zu sammeln. Hierzu eine Technologie namens " Local Shared Objects""(LSO, Local Shared Objects). Ursprünglich sollte beispielsweise der Fortschritt in einem Browser-Flash-Spiel gespeichert oder die Lautstärke in einem Audio-Player angepasst werden. LSOs sind in verschiedenen Browsern verfügbar, da sie sich auf einen Flash Player beziehen. Mit ihrer Hilfe können normale http-Cookies wiederhergestellt werden, wenn der Benutzer sie gelöscht hat, und in den LSOs selbst können Sie viele gesammelte Informationen über den Computerbenutzer speichern.
Lange Zeit wurde diese Technologie von Sicherheitsexperten nicht zur Kenntnis genommen, doch 2009 veröffentlichte Jeremy Kirk seine Studie zu Datenschutzfragen: Studie: Adobe Flash-Cookies werfen lästige Datenschutzfragen auf... Allmählich schienen Erweiterungen von Drittanbietern Flash-Cookies zu steuern und zu löschen, aber ungeschickte Browserhersteller und Adobe hatten es nicht eilig, dieses Problem zu bemerken. Erst 2011 lernten die Mainstream-Browser, mit diesen Cookies genauso umzugehen wie mit normalen.
Aber am Ende hat der undichte und sich langsam bewegende Flash-Player endlich alle erreicht, und HTML5 wurde weit genug verbreitet, was es ermöglichte, die Flash-Technologie vollständig loszuwerden. Sie töteten ihn für eine lange Zeit und schmerzlich gab die Produktionsfirma ihre Idee sehr langsam auf. Im Jahr 2012 versprach Adobe, die Unterstützung für die Technologie innerhalb eines Jahrzehnts einzustellen. Im Jahr 2017 wurde die Frist für das Entfernen des Flash-Players von der Website bekannt gegeben - Dezember 2020. Diese drei Jahre waren laut Angaben des Unternehmens erforderlich, damit Entwickler ihre Websites an HTML5 anpassen konnten. Vor einem Monat ging diese Zeit zu Ende, und ärgerliche Warnungen, dass das Plug-In endgültig und unwiderruflich von überall entfernt wird, tauchten in allen Browsern auf, obwohl nicht klar ist, warum Benutzer darüber informiert werden.die sich nicht besonders für die Feinheiten der internen Struktur von Standorten interessieren.
In diesem Zusammenhang kann das Thema Flash-Cookies als völlig erschöpft betrachtet werden.
Super-Cookies basierend auf ETag , einer der Kennungen des HTTP-Headers, der auf die Anfrage antwortet, ob sich die aktuelle Version der Ressource von der geladenen unterscheidet, funktionierten ungefähr auf die gleiche Weise . Diese Cookies wurden ungefähr zur gleichen Zeit wie Flash-Supercookie entdeckt und waren nach einer Klage im Jahr 2011 relativ selten.
HTTP Supercookie: Wie Verizon und Access Daten stillschweigend verkaufen
Flash ist nicht die einzige Möglichkeit, Benutzer über Cookies auszuspionieren.
Beide Geschichten über das Sammeln und Handeln von Daten waren möglich, weil normale Benutzer die Feinheiten der Technologie nicht wirklich verstanden hatten. Sicherheitsspezialisten haben fleißig Alarm geschlagen, aber sie wurden nicht angehört, und lange Zeit wurde der Privatsphäre der HTTP-Verbindung wenig Aufmerksamkeit geschenkt.
Das HTTP-Protokoll ohne SSL-Verschlüsselung hat eine sehr lange Lebensdauer: SSL-Zertifikate wurden bezahlt, manchmal überhaupt nicht billig (einige Unternehmen verkauften sie für mehr als 100 US-Dollar). Der zweite Grund ist die Komplexität der Verwendung. Dies ist nun das Zertifikat, das durch Ausführen eines Skripts installiert und aktualisiert wird, und bevor Mozilla seine Initiative Let's Encrypt gestartet hat Nicht jeder Administrator hielt es für notwendig, die Installation von SSL zu lernen.
In der Zwischenzeit nutzten und verkauften ISPs die Möglichkeit, Benutzer über HTTP zu verfolgen, an Werbetreibende.
Es hat ziemlich raffiniert funktioniert. Wenn ein Benutzer die Site besuchte, fügte sein Provider spezielle Informationen in den HTTP-Header ein: UIDH (Unique Identifier Headers), die für jeden Benutzer eindeutig sind. Dadurch konnte der Computer oder das Smartphone, von dem aus die Seite geöffnet wurde, vollständig eindeutig identifiziert werden. Für eine solche Operation wurde die sensationelle DPI- Technologie verwendet .
Das Problem war, dass der Benutzer praktisch keinen Einfluss auf diesen Prozess hat, da alles auf der Seite des Internet Access Service Providers geschieht. Die ID wird eingebettet, nachdem die Anfrage den Browser auf dem Weg zur Site verlassen hat.
Die Informationen aus diesem Super-Cookie werden nicht lokal gespeichert und können daher nicht gelöscht werden. Werbeblocker können auch nichts tun. Zusätzlich zur Adresse der Site, zu der der Browser wechselt, und zum Zeitpunkt der Anforderung kann UIDH Informationen über die Mobiltelefonnummer, von der der Benutzer im Internet surft, den Zeitpunkt der Anforderung und andere Daten übertragen.
Der bekannteste Skandal bei dieser Methode zur Verfolgung von Benutzern betrifft Verizon, einen US-amerikanischen Mobilfunkanbieter. Verizon begann 2012 mit UIDH, personalisierte Anzeigen zu schalten und aktiv mit den persönlichen Daten seiner Kunden zu handeln. Erst im Jahr 2014 gab das Unternehmen diese Tatsache öffentlich zu und vergrub die Erwähnung tief in den Fragen und Antworten auf seiner Website. Dies wurde jedoch bemerkt, und Verizon wurde wegen seiner schamlosen Haltung gegenüber seinen Nutzern heftig kritisiert. Im Jahr 2015 musste das Unternehmen dem persönlichen Konto des Benutzers eine Einstellung hinzufügen, um die Verwendung von UIDH für seine Geräte zu deaktivieren, und im Jahr 2016 wurde es endgültig abgeschlossen. Die FCC hat das Unternehmen mit einer Geldstrafe von 1,35 Millionen US-Dollar belegt.
Leider ist Verizon nicht allein.
Das Unternehmen Access hat eine spezielle Website Amibeingtracked.com (aktuelle Adresse: www.accessnow.org/aibt/ ) erstellt und mit der Analyse der HTTP-Header von Mobiltelefonbenutzern begonnen, die dem Testen zugestimmt haben. Es stellte sich heraus, dass 15,3% der Anfragen Super-Cookies enthielten. Benutzer aus aller Welt nahmen an der Teilnahme teil. Es stellte sich heraus, dass fast alle großen Mobilfunkbetreiber ihren Nutzern auf diese Weise folgten.
Es besteht der Verdacht, dass Verizon nur zurückgetreten ist, weil diese Methode aufgrund der weit verbreiteten Einführung von SSL, die ich oben erwähnt habe, nicht mehr relevant ist. Und der Betrag scheint im Vergleich zu den jüngsten Kartellstrafen, bei denen die Rechnung Hunderte von Millionen Dollar beträgt, nicht beeindruckend zu sein. Es ist wahrscheinlich, dass Verizon mit PD-Verkäufen viel mehr Geld verdient hat.
Darüber hinaus sollte beachtet werden, dass nicht nur Standorte, die über das HTTPS-Protokoll arbeiten, vor einer solchen Überwachung schützen können, sondern auch über ein VPN surfen können. In diesem Fall kann der Anbieter auch UIDH nicht ersetzen. Beide Schutzmethoden sind relevant, und die jüngsten Teppichschlösser haben viele Computerkenntnisse vermittelt, und viele Menschen haben etwas über VPN gelernt.
HSTS-Supercookie: Warum SSL uns nicht retten wird
Es scheint, dass Verschlüsselung Schutz vor Abhören bieten sollte, aber es stellte sich heraus, dass dies keine Garantie für die Privatsphäre ist. Die nächste Methode ist rein akademisch, kaum praktikabel und demonstriert die Raffinesse von Sam Greenhalgh von Radical Research, der diesen Mechanismus 2015 demonstrierte.
Es basiert auf der Tatsache, dass es für jede Site im Browser eine spezielle boolesche Variable gibt, die den Status speichert, wie der Benutzer die Site betreten hat: über HTTPS oder HTTP. Zum Beispiel, wenn ein Benutzer das letzte Mal die Site habr.com über HTTPS und die Site flibusta.is besucht hat - über HTTP (leider ist dies jetzt aufgrund der Trägheit der Bibliotheksadministratoren relevant). Der Browser verfügt über Daten wie folgt:
habr.com: 1;
Und flibusta.is wird in der HSTS-Datenbank nicht erwähnt.
So können Sie mehrere Domains des Formulars registrieren: 00-hsts-supercookie.net, 01-hsts-supercookie.net, 02-hsts-supercookie.net, 03-hsts-supercookie.net.
Schreiben Sie dann ein Skript, das beim Aufrufen Ihrer Website Aufrufe zu "Cookies" gemäß einer für jeden Benutzer eindeutigen Vorlage generiert und eine Tabelle mit Werten des Formulars in der HSTS-Datenbank seines Browsers erstellt:
00-hsts-supercookie.net: 1; 02-hsts-supercookie.net: 1;
Lesen Sie dann die Daten für "Cookies" und ersetzen Sie Websites, die sich nicht in der Datenbank befinden, durch 0. In diesem Beispiel wird die Nummer 1010 gebildet. Wenn Sie zwei oder drei Dutzend Sites registrieren, reichen eindeutige Kennungen aus, um sie im Allgemeinen allen Abonnenten bereitzustellen, die theoretisch die Site betreten können.
Um fair zu sein, sollte beachtet werden, dass die Browserentwickler auf diese Informationen reagiert haben und die Cookies jetzt zusammen mit den Daten in dieser Tabelle gelöscht werden. Neben dieser Markierung speichern moderne Browser viele andere Informationen, die weiter unten erläutert werden.
HTML5-Supercookie
Der Fortschritt schreitet voran, HTML5 hat das Internet souverän erobert, Flash wurde getötet, die Funktionen des neuen Standards ermöglichen es Ihnen, Wunder auf Seiten zu schaffen, auf die zuvor nicht zugegriffen werden konnte. Aber ist das Internet sicherer geworden? Leider nein.
Alle diese Technologien bieten viele Informationen, mit denen ein eindeutiger "digitaler Fingerabdruck" des Browsers erstellt werden kann.
Wenn Sie moderne Websites besuchen, nutzen Sie die Funktionen von HTML5. Dies bedeutet, dass Informationen über Benutzeragenten, Leinwandgröße, Bildschirmauflösung und Farbtiefe, Systemschriftarten und vieles mehr auf die Website übertragen werden, um sie angemessen zu rendern im Browser ... Darüber hinaus können Sie mit dem HTML5-Standard Daten in Localstorage speichern, einem speziellen Speicher, der dem Benutzer nicht über das übliche Menü zum Löschen von Cookies, zum Besuchsverlauf oder zum Browser-Cache zur Verfügung steht.
Sie können alles, was der Browser an die Site sendet, unter www.deviceinfo.me sehen . Versuchen Sie einzutreten - die Menge an Informationen ist beeindruckend!
Es gibt auch Websites, die alle übertragenen Informationen vergleichen und berechnen, wie einzigartig Ihr bestimmtes Gerät unter vielen anderen ist. Zum Beispiel ging ich zu coveryourtracks.eff.org , der Website, die von einer gemeinnützigen Menschenrechtsorganisation Foundation Electronic Frontier (Electronic Frontier Foundation, EFF) beworben wurde , und stellte fest, dass:
Ihre Ergebnisse
Ihr Browser-Fingerabdruck scheint unter den 300.802, die in den letzten 45 Tagen getestet wurden, einzigartig zu sein.
Derzeit schätzen wir, dass Ihr Browser über einen Fingerabdruck verfügt, der mindestens 18,2 Bit identifizierende Informationen übermittelt.
Die Messungen, die wir verwendet haben, um dieses Ergebnis zu erhalten, sind unten aufgeführt. Weitere Informationen zu unserer Methodik, statistischen Ergebnissen und einigen Abwehrmechanismen gegen Fingerabdrücke finden Sie hier.
Theoretisch wird angenommen, dass Sie die Eindeutigkeit des Browsers durch Verwendung eines Proxy- oder VPN- und privaten Browsermodus geringfügig reduzieren können. Leider hat mir das nicht viel geholfen. Die Ergebnisse, die auf der Registerkarte "Privat" über das in Opera integrierte VPN erzielt wurden, ergaben fast die gleichen Ergebnisse:
Ihre Ergebnisse
Ihr Browser-Fingerabdruck scheint unter den 300.854, die in den letzten 45 Tagen getestet wurden , einzigartig zu sein .
Derzeit schätzen wir, dass Ihr Browser über einen Fingerabdruck verfügt, der mindestens 18,2 Bit identifizierende Informationen enthält.
Die Messungen, die wir verwendet haben, um dieses Ergebnis zu erhalten, sind unten aufgeführt. Weitere Informationen zu unserer Methodik, statistischen Ergebnissen und einigen Abwehrmechanismen gegen Fingerabdrücke finden Sie hier.
Obwohl sich jedes dritte Gerät im Meer befindet, wo Hunderte Millionen Smartphones und Desktops schweben, gibt es einen Ort, an dem man sich verstecken kann.
Cache-Supercookie: Eine ausgeklügelte Methode zur Authentifizierung eines Benutzers über einen Cache
Eine andere Möglichkeit, einen Benutzer auszuspionieren, ist die raffinierte Verwendung zwischengespeicherter Informationen. Einige Websites verwenden dieselben Bilder auf ihren Seiten. Browser sparen Speicherplatz und Bandbreite, indem sie Daten zwischenspeichern. Ein Bild oder eine Schriftart wird einmal heruntergeladen und dann aus dem lokalen Speicher geladen. Die Technologie ist so alt wie das Internet, aber schon damals gab es eine Möglichkeit, einen Benutzer von einem anderen zu unterscheiden.
Beispielsweise codiert ein Tracker eine eindeutige ID von einer einzelnen Site in ein zwischengespeichertes Bild. Der andere verwendet dasselbe Bild, und der Tracker extrahiert die ID aus dem zwischengespeicherten Bild, wenn der Benutzer die zweite Site besucht.
Sie können solche Super-Cookies bekämpfen, indem Sie die Caches für verschiedene Websites trennen. Vor einer Woche, das Firefox - Team berichtetdass sie diesen Mechanismus in die 85-Version des Browsers aufgenommen haben. Die Menge der zwischengespeicherten Daten nimmt zu, es wird jedoch schwieriger, den Benutzer zu verfolgen.
Welche Art von Cookies werden wir in Zukunft erhalten?
All dieser Kampf scheint richtig zu sein, Privatsphäre ist etwas, das sie in der modernen Welt mit allen Mitteln von uns losreißen wollen. Kameras, die mit Gesichts- und Kennzeichenerkennungsdiensten verbunden sind, sind längst Realität geworden. Sie fangen Kriminelle auf und stellen Strafzettel aus. DPI für Mobilfunkbetreiber formt den Datenverkehr der wenigen verbleibenden Torrent-Clients und reduziert deren Bandbreite, damit sie andere, die YouTube-Videos ansehen, nicht stören. Blockierte "verbotene" Websites.
Kürzlich wurde mir eine Geschichte darüber erzählt, wie sie in einer kleinen russischen Stadt mit Hilfe von Überwachungskameras eine Gruppe von Gopniks fingen, die Spaß daran hatten, einsame Passanten zu schlagen, und sie dann einschüchterten, damit sie es der Polizei nicht sagten. Als die Streifenpolizisten zur Szene fuhren, standen die Gopniks ruhig da und machten sich keine Sorgen um ihre Sicherheit, aber die Polizisten, die aus den Autos stiegen, stellten nicht einmal Fragen, sie verdrehten einfach alle Beteiligten. Weil die Kameras, die die Prügel filmten, sie alle an ihren Gesichtern erkannten und kein zusätzliches Zeugnis erforderlich war.
Ist es für Werbefirmen daher so beängstigend, unsere Aktionen im Internet zu verfolgen?
Schwer zu erzählen. Es geht nicht nur um Überwachung, sondern auch um nervigen "personalisierten" Handel. Einerseits habe ich in meiner Erinnerung nur einmal ein Werbeangebot aus den Suchergebnissen verwendet, das mit "Werbung" gekennzeichnet war. Im Laufe der Jahre haben die Menschen "Bannerblindheit" entwickelt, und selbst ohne Werbeblocker funktioniert diese Methode nicht mehr sehr gut. Auf der anderen Seite funktioniert eine hohe Suchrelevanz bei Google, Amazon oder AliExpress dank cleverer Tracker, die unsere Aktivitäten verfolgen.
Aber fast jeder kann sich an eine mysteriöse Geschichte erinnern, als er in einem echten Gespräch oder einem Telegramm-Chat eine Kategorie von Waren erwähnte und nach einigen Minuten das Smartphone Websites mit Bannern der besprochenen Dinge zeigte. Und die nervigste Neuerung ist das Herauskriechen von Warnungen vor der Verwendung von Cookies, die erst verschwinden, wenn Sie den Knopf drücken, um ihnen zuzustimmen.
Ist es gut oder schlecht? Wahrscheinlich weder der eine noch der andere. Es ist alltäglich geworden und Privatsphäre ist eine Illusion.
