Come combattere le impronte digitali del browser?

La tecnologia delle impronte digitali utilizzata dall'EFF non è altro che le "normali" funzioni Javascript utilizzate dai siti Web per funzionare bene. È possibile segnalare all'esterno informazioni non veritiere, ma rischieresti di "restare indietro":

• le informazioni false che dovresti inviare insieme modifiche e le tue no, che ti rendono unico - e sospetto;
• le tecniche di rilevamento cambiano e tu non ne sei consapevole, quindi diventa di nuovo unico;

o avere una navigazione davvero imbarazzante.

Supponendo che tu possa usare Tor o una VPN o un openshell ovunque per scartare il tuo indirizzo IP, la pratica "più sicura" secondo me sarebbe quella di accendere una macchina virtuale, installare un Windows Seven su di essa e usarlo per qualsiasi operazione sensibile alla privacy. Non installare nulla di insolito sulla macchina e riferirà in verità di essere una macchina Windows Seven di serie, una tra un'orda di macchine simili.

Hai anche il vantaggio di isolare la macchina all'interno del tuo vero sistema e di essere in grado di snapshot/reinstallarlo in un lampo. Cosa che puoi fare ogni tanto - il "tu" che ha fatto tutta la navigazione prima scompare e appare un nuovo "tu", con una cronologia chiara.

Questo può essere molto utile, in quanto è possibile mantenere un'istantanea "pulita" e ripristinarla sempre prima di operazioni sensibili come l'home banking. Alcune VM consentono anche il "sandboxing", ovvero nulla fatto nel VM cambierà in modo permanente i suoi contenuti - tutte le modifiche al sistema, il malware scaricato, i virus installati, i keylogger iniettati scompaiono non appena il la macchina virtuale è spenta.

Qualsiasi altra tecnica sarebbe non meno invadente e implicherebbe un notevole lavoro sul browser o su una sorta di proxy anonimo progettato non solo per disinfettare le intestazioni e le tue risposte Javascript (così come i caratteri!), ma farlo in modo credibile .

A mio avviso, non solo la quantità totale di lavoro sarebbe la stessa (o anche più), ma sarebbe un tipo di lavoro molto più complicato e meno stabile.

Installa il sistema operativo più comune, mantieni il browser e il software in bundle, resisti alla tentazione di sfruttarlo e cosa dire a quella macchina a parte letteralmente centinaia di migliaia di simili appena installati, mai- mantenuti, i computer non sono la mia cosa su Internet?

Aggiorna - comportamento di navigazione e canali laterali

Ora ho installato una macchina virtuale Windows 7, persino aggiornata a Windows 10 come farebbe Joe Q. Average. Non sto usando Tor o VPN; tutto ciò che un sito esterno può vedere è che mi sto collegando da Firenze, Italia. Esistono trentamila connessioni esattamente come le mie. Pur conoscendo il mio fornitore, restano ancora circa novemila candidati. È sufficientemente anonimo?

Si scopre che non è il caso. Potrebbero esserci ancora correlazioni che potrebbero essere esaminate, con accesso sufficiente. Ad esempio, sto giocando a un gioco online e la mia digitazione viene inviata immediatamente (buffer del personaggio, non buffer della riga). Diventa possibile digram digram e ritardi del trigramma , e con un corpus sufficientemente ampio, stabilire che l'utente online A è la stessa persona dell'utente online B (all'interno dello stesso gioco online, ovviamente). Lo stesso problema potrebbe verificarsi altrove.

Quando navigo in Internet, tendo sempre a colpire gli stessi siti nello stesso ordine. E ovviamente ho colpito le mie "pagine personali" su diversi siti, ad es. Stack Overflow, regolarmente. Una distribuzione di immagini su misura è già nel mio browser e non viene scaricata affatto o viene ignorata con un HTTP If-Modified-Since o If-None-Match richiesta. Questa combinazione di abitudine e utilità del browser costituisce anche una firma .

Data la vasta gamma di metodi di tagging disponibili per i siti Web, non è sicuro presumere che siano stati raccolti solo cookie e dati passivi. Un sito potrebbe ad esempio pubblicizzare la necessità di installare un font chiamato Tracking-ff0a7a.otf e il browser lo scaricherà doverosamente. Questo file non verrebbe necessariamente cancellato al momento della cancellazione della cache e nelle successive visite non essere scaricato nuovamente sarebbe la prova che ho già visitato il sito. Il carattere potrebbe non essere lo stesso per tutti gli utenti, ma contenere una combinazione unica di glifi (ad esempio, il carattere "1" potrebbe contenere una "d", "2" potrebbe contenere una "e", "4" potrebbe contenere una "d "di nuovo - o questo potrebbe essere fatto con punti di codice di font usati raramente), e HTML5 può essere usato per disegnare una stringa di glifi" 12345678 "su una tela invisibile e caricando il risultato come immagine . L'immagine comporterebbe quindi la sequenza esadecimale, unica per me, "deadbeef". E questo è, a tutti gli effetti, un cookie.

Per combattere questo, potrei aver bisogno di:

• ri-snapshot completamente VM dopo ogni sessione di navigazione (e reimpostare il modem quando lo faccio). Mantenere sempre lo stesso VM non sarebbe sufficiente.
• utilizzare diverse macchine virtuali o browser diversi, nonché noti servizi proxy o Tor (non farebbe per me utilizzare un proxy che è unico per me o per il quale sono l'unico utente di Firenze, a fini di anonimato ).
• svuotare e/o disinfettare regolarmente la cache del browser e ricordare no per aprire sempre, ad esempio XKCD immediatamente dopo Contenuto discutibile .
• adotta due o più "personas" differenti per quei servizi in cui voglio l'anonimato e quelli a cui non mi interessa, e abbi cura di tenerli separati in VM separate - ci vuole solo una scivolata e accedendo a una credendo che sia l'altra , affinché un collegamento permanente possa essere stabilito da un'agenzia esterna abbastanza esperta.

Impronta digitale audio

Questo è molto metodo ingegnoso di "impronte digitali" di un sistema, sostanzialmente consistente nel disattivare off il sistema audio, quindi riprodurre virtualmente un suono attraverso HTML5 e analizzarlo nuovamente. Il risultato dipenderà dal sistema audio sottostante, che è legato all'hardware e nemmeno al browser. Certo, ci sono modi per combattere questo iniettando rumore casuale con un plugin , ma proprio questo atto potrebbe rivelarsi dannoso, dal momento che potresti essere l'unico a utilizzare tale plugin (e quindi avere un canale audio rumoroso) tra il pool corrispondente alla tua configurazione "media".

Un modo migliore che ho trovato funzionante, ma dovrete sperimentare e verificarlo da soli, è utilizzare due diversi VM. Ad esempio ho due diversi impronte digitali sullo stesso Dell Precision M6800 in due macchine virtuali diverse che utilizzano 4 e 8 GB di RAM e due diverse impostazioni ICH7 AC97 audio (sospetto che l'aggiunta RAM disponibile consente al guidatore di utilizzare diverse strategie di campionamento, che a loro volta producono impronte digitali leggermente diverse. L'ho scoperto totalmente per caso. Presumo che potrei impostare un terzo VM utilizzando VMware e/o forse un quarto con l'audio disattivato.

Quello che faccio non so , però, è se le impronte digitali che I ho fatto riesco a ottenere stanno rivelando il fatto che è un VM (tutti i VirtualBoxen di Windows 7 hanno 50b1f43716da3103fd74137f205420a8c0a845ec come hash del buffer completo? Tutti gli M6800?)

Tutto quanto sopra mostrerà che farò meglio ad avere un buon motivo per desiderare l'anonimato: perché raggiungerlo in modo affidabile sarà un dolore reale nella parte posteriore.

Durante l'impronta digitale, vengono prese le seguenti indicazioni:

1. Indirizzo IP/sottorete/paese/regione
2. Agente utente
3. Altre intestazioni HTTP

Ora, per l'indirizzo IP, puoi usare:

• Tor
• I2P
• Servizio VPN pubblico come OpenVPN, dove si trovano anche molti altri utenti, che ha nodi su più reti

Per User-Agent:

• Proxy anonimo online
• Il tuo server proxy, che imposta User-Agent e alcune intestazioni comuni
• Plug-in del browser che modifica le intestazioni
• Plugin del browser, che esegue il browser sul servizio di anonimato remoto

MA, sarai sempre impresso e identificato in qualche modo. È perché normalmente ti connetti dalla stessa sottorete e usi lo stesso browser. Quindi, per evitare questi due, è davvero difficile, perché avresti bisogno di server VPN su un numero infinito di reti, così come generatore User-Agent e offuscamento dell'intestazione, che imposta valori diversi ogni giorno o ogni volta che lo avvii.

Per quanto mi riguarda, utilizzo la microistanza gratuita di Amazon EC2 con server OpenVPN gratuito e si auto-arresta e si avvia automaticamente ogni giorno in diverse regioni (da sola avvia il nuovo server con uno script per configurarlo tramite l'API AWS) e aggiorna DNS tramite l'API Route 53. Sta usando SQUID come proxy e ci sono molte regole per bloccare la pubblicità, il monitoraggio e altre cose. Ha anche una tabella BGP completa, poiché questi server VPN funzionano nella rete, ma non è necessario, se non si sta coprendo.

Puoi anche fare in modo che l'istanza EC2 cambi l'indirizzo IP senza riavviarlo. Puoi utilizzare l'API AWS per rilasciare IP elastico, allocarne uno nuovo e aggiungerlo ad esso. Se si cambia contemporaneamente User-Agent, si eviteranno le impronte digitali.

http://aws.Amazon.com/

http://aws.Amazon.com/articles/1346

http://www.squid-cache.org/

Vedi questo per esempio:

https://calomel.org/squid_ua_random.html

E infatti, con diversi numeri IP e user-agent ogni giorno, Google non può riconoscermi, quindi posso vedere annunci che non mi stanno "monitorando".

ps. Quando aggiungi una nuova istanza, hai bisogno di almeno 20 GB di volume di root EBS. Quindi fai semplicemente yum install squid o apt-get install squid, configuralo tramite/etc /, e il gioco è fatto. Se vuoi cambiare l'indirizzo IP, cambia semplicemente Elastic IP su di esso - funziona in entrambi i modi - il modo in cui puoi accedere a una nuova istanza o accedere a Internet.

E poi avrai bisogno solo di questo:

http://openvpn.net/

Non dimenticare di aggiornare l'istanza una volta ogni tanto yum update

Potrei produrre forse un'immagine AMI, che funzionerebbe automaticamente. Semplicemente avvia l'istanza, configura OpenVPN e tramite l'API AWS configura IP, DNS e SQUID ecc. Forse ci sono già alcune AMI su Amazon.

Guarda questo:

http://n00dlestheindelible.blogspot.co.uk/2010/05/secure-anonymous-browsing-with-your-own.html

Alcuni siti Web lamentano che lavori tramite VPN. Ad esempio, alcuni siti che servono musica o video. Mentre la maggior parte dei siti funziona correttamente, ci sono solo alcune eccezioni.

Il requisito tecnico per evitare qualsiasi forma di fingerprinting del browser è che tutte le caratteristiche potenzialmente identificative restituite dal browser siano casuali, in modo tale che la probabilità che il browser restituisca un determinato insieme di caratteristiche si avvicina alla probabilità di osservare tale insieme di caratteristiche nella popolazione del browser all'interno che vogliamo mantenere l'anonimato.

Abbattendo questo, supponiamo di avere a che fare solo con una singola caratteristica (diciamo l'intestazione User-Agent) e vogliamo assicurarci di rimanere anonimi. A scopo illustrativo, supponiamo che ci siano 50 possibili valori per User-Agent, numerati da 1 a 50.

Una possibile strategia è quella di utilizzare il valore più frequente di User-Agent, come osservato in base alla popolazione del browser. In determinate circostanze, questa potrebbe essere una strategia scadente, come illustrato dalla figura seguente:

Secondo la figura, il valore User-Agent più frequente nella popolazione del browser ha solo una probabilità leggermente maggiore rispetto ai valori rimanenti. Se utilizzassimo semplicemente il valore più comune (25), un servizio di impronte digitali potrebbe (coerentemente) dedurre che apparteniamo al sottoinsieme (relativamente piccolo) del 2,4% dei browser nella popolazione. Pertanto, abbiamo compromesso il nostro anonimato.

Si noti che la semplice generazione di valori casuali senza tener conto della popolazione del browser può compromettere gravemente l'anonimato, come illustrato dalla figura seguente:

Secondo la figura, i valori di User-Agent restituiti dal nostro browser sono (uniformemente) randomizzati. Tuttavia, poiché i valori non si verificano mai nella popolazione, un servizio di impronte digitali (moderatamente sofisticato) in questo caso potrebbe inferire costantemente che il nostro tipo di browser è raro - questa è di per sé una caratteristica potenzialmente identificativa! Pertanto, l'anonimato è compromesso.

L'unica strategia che garantisce il mantenimento dell'anonimato è quella di abbinare la distribuzione dei valori che osserviamo nella popolazione del browser, illustrata nella figura seguente:

Assicurando che i valori di User-Agent restituiti dal nostro browser siano randomizzati in modo tale che la probabilità di ciascun valore corrisponda alla probabilità di osservare quel valore nella popolazione del browser, non ci impegniamo mai a identificarci con un particolare sottoinsieme della popolazione del browser, garantendo allo stesso tempo che il nostro browser non utilizza alcuna versione User-Agent che si verifica raramente. In questo modo l'anonimato viene mantenuto.

Nello scenario del mondo reale, in cui esistono molte caratteristiche potenzialmente identificative del browser, per mantenere l'anonimato notare che non è sufficiente garantire individualmente per ciascuna caratteristica che la probabilità di ciascun valore corrisponda alla probabilità della popolazione: potremmo rischiare di restituire rare combinazioni di valori , compromettendo così il nostro anonimato; ciò potrebbe comportare l'identificazione univoca del nostro browser! Piuttosto, è necessario applicare le considerazioni di cui sopra alla distribuzione congiunta delle caratteristiche del browser nella popolazione del browser, vale a dire la probabilità di osservare valori per insiemi di caratteristiche del browser.

Oggi le impronte digitali utilizzate si basano principalmente sulla generazione di più entropia possibile sfruttando il maggior numero possibile di dettagli del browser. Vengono sfruttati anche dettagli sottili ma stabili a breve termine, come il rendering esatto (dipendente dall'hardware e dalla versione del driver) su una tela. Le informazioni raccolte sono molto probabilmente compresse generando un valore hash abbastanza lungo a seconda di tutti i dettagli, ad es. aggiungendo tutti i dettagli a una stringa lunga o disegnando effettivamente qualcosa a seconda dei dettagli in una tela e applicando una funzione hash su di essa.

Tuttavia, fintanto che le informazioni sono compresse e non archiviate per intero, l'impronta digitale può essere difesa dall'attacco frontale: invece di provare a rendere l'impronta digitale il più univoca possibile, si può semplicemente provare a renderla il più unica possibile, per esempio. unico per connessione.

Questo può essere facilmente ottenuto manomettendo i dettagli che fare affidamento sarebbe una pessima pratica per una pagina Web:

• cifre più insignificanti dei numeri di versione
• nascondendo caratteri rari
• stringhe di descrizione dei dettagli del plug-in
• ...

Per aggirare questo attacco, l'impronta digitale dovrebbe essere abbastanza confusa da aggirare le parti casuali, il che significa che non può eseguire l'hashing dei dati nel loro insieme e che molte informazioni dovrebbero essere trasferite e archiviate.

Evitare l'attacco mascherando le parti casuali significherebbe usare solo i dettagli su cui anche le pagine Web si basano fortemente, il che richiederebbe un adattamento permanente dell'algoritmo di impronte digitali. La quantità di dettagli necessariamente non casuali sarà in qualche modo limitata dalla standardizzazione. Tuttavia, può comunque consentire l'indentificazione univoca se selezionato correttamente.

Il sito panopticlick contiene " autodifesa " raccomandazioni per evitare il tracciamento.

Uno dei consigli è di usare il pulsante. Il torbrowser documenti di progettazione ha una buona descrizione di come cercano di evitare il rilevamento e il rilevamento delle impronte digitali del browser.

Tutti questi approcci stanno cercando di normalizzare il tuo profilo in modo che assomigli a quante più persone possibile.

P.S: non si sono accorti che la domanda era vecchia fino a tardi.

Potrei non essere tecnicamente qualificato per rispondere a questa domanda, ma poiché l'OP lo richiede

opzioni tecnologiche

Posso aiutarti con quello che so.

Il FEP ha un articolo che descrive alcuni strumenti qui .

Ci sono molte spiegazioni nelle altre risposte, elencherò solo gli strumenti (forse solo con qualche descrizione)

Gli strumenti sono per il cromo, gli utenti di Firefox sono invitati a modificare questa risposta per aggiungere i loro plugin (anche se la maggior parte di essi è disponibile anche per Firefox)

• HTTPS ovunque (web store) o pagina ufficiale
• Privacy Badger che blocca i tracker noti
• miglior blocco annunci per cromo
• zenmat servizi VPN, fornisce anche un'estensione gratuita (per nascondere il tuo IP e posizione reali) oppure qui
• Ghostery un altro plugin per bloccare il tracciamento
• ZenMate Web Firewall (gratuito, Plus Ad Blocker) un altro prodotto zenmate

ora devi solo fare i conti con l'impronta digitale del browser per farlo, puoi usare la seguente combinazione di strumenti:

• Canvas Defender questo plug-in nasconderà la tua impronta digitale aggiungendo un hash casuale all'impronta digitale del tuo browser ad ogni nuova sessione o su tua richiesta, questo darà al tracker un'impronta digitale falsa invece di bloccarla ( bloccarlo ti farà impazzire la folla).
• ser-Agent Switcher per Chrome usa questo strumento con Canvas Defender per nascondere di più tra la folla questo plugin ti permetterà di cambiare il tuo agente utente, quindi se usi Linux o un browser usato raramente puoi nasconderlo.
• ScriptSafe questo è come lo strumento NoScript ma per il cromo, ciò che fa è fermare l'esecuzione di javascript dannosi e raccogliere dati su di te per identificarti per i tracker
• Flashcontrol come viene chiamato questo bloccherà qualsiasi contenuto flash a meno che non lo consenta, il flash obsoleto può essere utilizzato per rintracciarti o peggio hackerarti.
• Disabilita WebGL questo strumento ti aiuterà a nascondere la tua vera impronta digitale WebGL (fornirà al tracker l'impronta digitale 0000000000, tuttavia questo ti renderà straordinario) il creatore dello strumento non l'ha creato per nascondere ma semplicemente per bloccare le funzionalità di WebGL poiché causava l'arresto anomalo del browser.

Infine, l'utilizzo di questi strumenti potrebbe rendere il tuo browser inizialmente non utilizzabile, quindi dovrai dedicare del tempo a modificarli per raggiungere al meglio i tuoi obiettivi.

Le aziende utilizzano in parte l'impronta digitale per eliminare le frodi sui clic. AudioContext è una tecnologia di stampa delle dita molto potente, ma non è ancora ampiamente utilizzata. Al momento è necessario creare un browser dalla fonte per sbarazzarsene.

Se non ti piace l'impronta digitale, una delle cose che puoi fare è utilizzare un dispositivo iOS (in modalità privata), poiché gli iPhone tenderanno tutti ad apparire simili e Apple ha incorporato una certa protezione della privacy .

Google è dall'altra parte delle cose, stanno studiando come utilizzare il modello del camminare per identificare gli utenti per la pubblicità. Google Analytics è lo script e i cookie più pervasivi (vedi le altre risposte), quindi cerco di evitare Google il più possibile (usa Startpage.com).

Se sei preoccupato per la privacy, vota con i piedi. Diffidare in particolare delle notizie e dei media che utilizzano l'impronta digitale per sintonizzare i contenuti sul comportamento di navigazione, è in gioco la libertà (come in democrazia).

Stackexchange utilizza ajax.googleapis che sta monitorando. Ci sono altre società come Google, come scorecardresearch, newrelic, optimizely ecc. Che sono anche script tracker pervasivi. Con il tasso di privacy, blocco quasi tutti i cookie. Questo non fa male davvero. È necessario consentire i cookie per alcuni siti Web (cookie wall o e-mail). GMail può essere utilizzato senza cookie e javascript. Cancella il tuo browser molto frequentemente. Ne avrai la certezza.

Dovrebbe esserci un istituto W3 che aiuti entrambe le parti. Ridurre le frodi sui clic (bot) e proteggere la privacy.