|
Novija izmjena
|
Starija izmjena
|
racfor_wiki:seminari:tehnike_otiska_mreznog_preglednika_bworser_fingerprinting [2023/01/12 21:26]
bj51039 stvoreno |
racfor_wiki:seminari:tehnike_otiska_mreznog_preglednika_bworser_fingerprinting [2024/12/05 12:24] (trenutno)
|
| {{ :racfor_wiki:seminari:3162367.jpg?400| }} | {{ :racfor_wiki:seminari:3162367.jpg?400| }} |
| ===== Uvod ===== | ===== Uvod ===== |
| Sigurnost na internetu danas je jedna od glavnih tema. Digitalno doba u potpunosti je promijenilo način na koji vidimo i doživljavamo svijet. Kako razina povezanosti raste, tako raste i opasnost. Uz sve trackere i sumnjive dijelove kôda koje se izvršavaju prilikom posijeta svakoj stranici na web-u privatnost na internetu praktički ne postoji. Uz trackanje kolačića (//engl. cookies//), na koje zbog raznih zakona i regulativa (EU cookie law) korisnicima je omogućeno odbijanje dijeljenja svojih kolačića i time se ponešto privatnost na internetu povećala. No nažalost na tehniku prikupljanja otiska pretraživača (//engl. Browser fingerprinting//) ne postoje nikakve direktive koje bi prisilile web stranice da je se ne koristi. | Sigurnost na internetu danas je jedna od glavnih tema. Digitalno doba u potpunosti je promijenilo način na koji vidimo i doživljavamo svijet. Kako razina povezanosti raste, tako raste i opasnost. Uz sve trackere i sumnjive dijelove kôda koje se izvršavaju prilikom posjeta svakoj stranici na web-u privatnost na internetu praktički ne postoji. Uz trackanje kolačića (//engl. cookies//), na koje zbog raznih zakona i regulativa (EU cookie law) korisnicima je omogućeno odbijanje dijeljenja svojih kolačića i time se ponešto privatnost na internetu povećala. No nažalost na tehniku prikupljanja otiska pretraživača (//engl. Browser fingerprinting//) ne postoje nikakve direktive koje bi prisilile web stranice da je se ne koristi. |
| |
| ===== Browser Fingerprinting ===== | ===== Browser Fingerprinting ===== |
| Browser Fingerprinting je tehnika raspoznavanja korisnika na internetu koristeći okolinu preglednika (//engl. Browser Environments//) sa kojeg se pristupa web sadržajima bez korištenja dodatnih | Browser Fingerprinting je tehnika raspoznavanja korisnika na internetu koristeći okolinu preglednika (//engl. Browser Environments//) s kojeg se pristupa web sadržajima bez korištenja dodatnih |
| identifikatori stanja (flash kolačića, e-tagova, iskorištavnja priručne memorije itd.) | identifikatori stanja (flash kolačića, e-tagova, iskorištavanja priručne memorije itd.) |
| |
| Ova tehnika praćenja korisnika je doživjela popularnost 2010. godine nakon što je Peter Eckersley objavio rad | Ova tehnika praćenja korisnika je doživjela popularnost 2010. godine nakon što je Peter Eckersley objavio rad |
| pod nazivom "How Unique Is Your Web Browser?". Njegovo istraživanje je pokazalo da distribucija prikupljenih otisaka sadrži najmanje 18.1 bitova entropije, što znači da ako se nasumično odabere jedan osobni pretraživač, da će u najgorem/najboljem slučaju 1 od 286,777 imati isti otisak. Uz pretraživače koje koriste Java ili Frash //plugin// imaju 18.8 bitova entropije odnosno 94% ih je jednistveno [1]. | pod nazivom "How Unique Is Your Web Browser?". Njegovo istraživanje je pokazalo da distribucija prikupljenih otisaka sadrži najmanje 18.1 bitova entropije, što znači da ako se nasumično odabere jedan osobni pretraživač, da će u najgorem/najboljem slučaju 1 od 286,777 imati isti otisak. Uz pretraživače koje koriste Java ili Flash //plugin// imaju 18.8 bitova entropije odnosno 94% ih je jedinstveno [1]. |
| |
| ==== Za što se koristi? ==== | ==== Za što se koristi? ==== |
| Pozitivne: | Pozitivne: |
| * Za detekciju pokušaja prijevara sustava sa "platnim zidovima" | * Za detekciju pokušaja prijevara sustava sa "platnim zidovima" |
| * Za detekciju dijeljenje računa sa više korisnika | * Za detekciju dijeljenje računa s više korisnika |
| * Za detekciju pokušaja prijava na bankarske sustave u slučajevima prijevara | * Za detekciju pokušaja prijava na bankarske sustave u slučajevima prijevara |
| |
| Negativne: | Negativne: |
| * Za nesavijesno prikupljanje i praćenje aktivnosti | * Za nesavjesno prikupljanje i praćenje aktivnosti |
| * za ciljanje reklamama | * za ciljanje reklamama |
| * Za nekonsenzualno praćenje aktivnosti | * Za nekonsenzualno praćenje aktivnosti |
| |
| ==== Kako funkcionira ==== | ==== Kako funkcionira ==== |
| Otisak pretraživača se radi prilikom posijeta stranici kada se kod učitavnja pokrene skripta koja iz navigator objekta kojeg stvara sam //engine// preglednika i screen objekta. Osnovni način uzimanja otiska koji uvijek ponudi neki otisak. Dodatno skripte ispituju //plugin-e// koje posjeduje preglednik, podatke o pregledniku, fontove koji su instalirani na uređaj, operacijski sustav, ip adresu itd., zapravo što god kreator skripte odluči uključiti u svoj otisak i do čega programski može doći. | Otisak pretraživača se radi prilikom posjeta stranici kada se kod učitavanja pokrene skripta koja iz navigator objekta kojeg stvara sam //engine// preglednika i screen objekta. Osnovni način uzimanja otiska koji uvijek ponudi neki otisak. Dodatno skripte ispituju //plugin-e// koje posjeduje preglednik, podatke o pregledniku, fontove koji su instalirani na uređaj, operacijski sustav, ip adresu itd., zapravo što god kreator skripte odluči uključiti u svoj otisak i do čega programski može doći. |
| |
| {{ :racfor_wiki:seminari:table.jpg?400 |}} | {{ :racfor_wiki:seminari:table.jpg?400 |}} |
| |
| Za potrebe istraživanja su napravili stranicu [[http://panopticlick.eff.org]] u koju su stavili skriptu koja pokušava podatke te ih šalje nazad da procesiranje i stvaranje otiska. Podatci su prikupljani u razdoblju 27. siječnja do 15. veljače 2010 godine. Nakon procesiranja se u bazu spremaju touple (fingerprint|ip). U razdoblju prikupljanja podataka prikupljeno je 470 161 otisak. | Za potrebe istraživanja su napravili stranicu [[http://panopticlick.eff.org]] u koju su stavili skriptu koja pokušava podatke te ih šalje nazad da procesiranje i stvaranje otiska. Podatci su prikupljani u razdoblju 27. siječnja do 15. veljače 2010 godine. Nakon procesiranja se u bazu spremaju tuple (fingerprint|ip). U razdoblju prikupljanja podataka prikupljeno je 470 161 otisak. |
| |
| Rezultati su da 90% otisaka koji su došli sa osobnih računala su jedinstveni zbog velikog broja varijabli koje ovise o korisniku, dok kod android i iPhone uređaja je taj broj puno manji. | Rezultati su da 90% otisaka koji su došli s osobnih računala su jedinstveni zbog velikog broja varijabli koje ovise o korisniku, dok kod android i iPhone uređaja je taj broj puno manji. |
| |
| Naravno zbog velikog broja varijabli otisak nije uvijek isti, te je razvijen algoritam koji pogađa koji se drugi otisak mogao promijeniti u neki otisak q. Algoritam je pokrenut nad korisnicima koji su se vratili na stranicu unutar 2 sata, a rezultati su da je u 65% slučajeva pogođeno, 0.56% krivo a 35% nije bilo rezultata. Što daje 99.1% točno pogađanja kada je bilo rezultata. Dakle moguće je razviti algoritam koji može povezati dva različita otiska iako su se kod korinika neke stvari promijenile. | Naravno zbog velikog broja varijabli otisak nije uvijek isti, te je razvijen algoritam koji pogađa koji se drugi otisak mogao promijeniti u neki otisak q. Algoritam je pokrenut nad korisnicima koji su se vratili na stranicu unutar 2 sata, a rezultati su da je u 65% slučajeva pogođeno, 0.56% krivo a 35% nije bilo rezultata. Što daje 99.1% točno pogađanja kada je bilo rezultata. Dakle moguće je razviti algoritam koji može povezati dva različita otiska iako su se kod korisnika neke stvari promijenile. |
| |
| ===== Obrana od otiskivanja ===== | ===== Obrana od otiskivanja ===== |
| Raznim ekstenzijama i malim programima danas je moguće sakriti svoje i falsificirati podatke koji se šalju serverima za otiskivanja. Postoje ekstenzije koje prilokom svake posjete mijanju podatke User Agenta, informacije o OS-u itd. | Raznim ekstenzijama i malim programima danas je moguće sakriti svoje i falsificirati podatke koji se šalju serverima za otiskivanja. Postoje ekstenzije koje prilikom svake posjete mijenjaju podatke User Agenta, informacije o OS-u itd. |
| |
| ==== Paradoks obrane od otiskivanja ==== | ==== Paradoks obrane od otiskivanja ==== |
| Ponekad tehnologije koje bi trebale poboljšati zaštitu zbog manjkavosti u aplikaciji mogu olakšati otiskivanje. Primjer nečega takvog je ekstenzija za pretraživač koja na neki način randomizira User agenta, na način da promijeni u http zahtjevu informacije o browseru, os-u itd. Manjkavost u implementaciji koja je primjećena su nemogući scenariji, npr. safari browser na iPhonu sa zaslonom od 15.6'' rezolucije HD, zbog kojih se kornik još više ističe i povećava si entropiju. | Ponekad tehnologije koje bi trebale poboljšati zaštitu zbog manjkavosti u aplikaciji mogu olakšati otiskivanje. Primjer nečega takvog je ekstenzija za pretraživač koja na neki način randomizira User agenta, tako da promijeni u http zahtjevu informacije o browseru, os-u itd. Manjkavost u implementaciji koja je primijećena su nemogući scenariji, npr. safari browser na iPhonu sa zaslonom od 15.6'' rezolucije HD, zbog kojih se korinik još više ističe i povećava si entropiju. |
| |
| {{ :racfor_wiki:seminari:results.jpg?400 |}} | {{ :racfor_wiki:seminari:results.jpg?400 |}} |
| |
| ===== Zaključak ===== | ===== Zaključak ===== |
| Informacije su najveći resurs, u siječnju 2023. godine globalna vrijednost informacija o korisnicim weba je 346.33 milijardi USD. Ciljane reklame i marketing su ovisne o trackanju korinika, te je otiskivanje vrlo dobar način i alat za to postići. Postoje servisi koji nude otiskivanja koje je potrebno samo uključini na vlastitu web stranicu i imati pristup podacima o svojim korinicima koje možda oni nisu htjeli dati. Ali ta tehnologija ima i pozitivne primjene kao i sve. Bitno je da se moralno koristi. | Informacije su najveći resurs, u siječnju 2023. godine globalna vrijednost informacija o korisnicima weba je 346.33 milijardi USD. Ciljane reklame i marketing su ovisne o trackanju korisnika, te je otiskivanje vrlo dobar način i alat za to postići. Postoje servisi koji nude otiskivanja koje je potrebno samo uključiti na vlastitu web stranicu i imati pristup podacima o svojim korisnicima koje možda oni nisu htjeli dati. Ali ta tehnologija ima i pozitivne primjene kao i sve. Bitno je da se moralno koristi. |
| |
| ===== Reference ===== | ===== Reference ===== |
| [2] [[https://coveryourtracks.eff.org/static/browser-uniqueness.pdf| Ting-Fang Yen, Yinglian Xie, Fang Yu, Roger Peng Yu, Martin Abadi: Host Fingerprinting and Tracking on the Web: | [2] [[https://coveryourtracks.eff.org/static/browser-uniqueness.pdf| Ting-Fang Yen, Yinglian Xie, Fang Yu, Roger Peng Yu, Martin Abadi: Host Fingerprinting and Tracking on the Web: |
| Privacy and Security Implications]] | Privacy and Security Implications]] |
| |
| |
| |
