Un nou tehnică utilizată pentru a identifica o instanță a unui browser. Metoda se bazează pe caracteristicile de procesare a imaginilor Favicon cu ajutorul căruia site-ul determină pictogramele care sunt afișate în marcaje, file și alte elemente ale interfeței browserului.
Browserele salvează imaginile Favicon într-o memorie cache separată, care nu se suprapune cu alte cache-uri, este comun tuturor modurilor de operare și nu este eliminat de cache-urile standard și de curățarea istoricului de navigare.
Această funcție permite utilizarea identificatorului chiar și atunci când se lucrează în modul incognito și face dificilă îndepărtarea. Autentificarea utilizând metoda propusă nu este, de asemenea, neafectată de utilizarea VPN-urilor și a pluginurilor de blocare a anunțurilor.
Metoda de identificare se bazează pe faptul că, pe partea serverului, este posibil să se determine dacă utilizatorul a deschis pagina anterior analizând informațiile despre încărcarea Favicon dacă browserul nu a solicitat imaginea Favicon specificată în parametrii paginii , apoi pagina a fost încărcată mai devreme și imaginea este afișată din cache.
Din moment ce lBrowserele vă permit să vă configurați propriul Favicon pentru fiecare pagină, informațiile utile pot fi codate prin redirecționare secvențială de la utilizator la mai multe pagini unice.
Cu cât sunt mai multe redirecționări în lanț, cu atât mai mulți identificatori pot fi determinați (numărul de identificatori este determinat de formula 2 ^ N, unde N este numărul de redirecționări). De exemplu, 4 utilizatori pot adresa două redirecționări, 3-8, 4-16, 10-1024, 24-16 milioane, 32-4 miliarde.
Dezavantajul acestei metode este întârzierile mari- Cu cât este mai mare precizia, cu atât durează mai mult redirecționările pentru a deschide pagina.
32 de redirecționări generează identificatori pentru toți utilizatorii de internet, dar provoacă o întârziere de aproximativ trei secunde. Pentru un milion de identificatori, întârzierea este de aproximativ o secundă și jumătate.
Metoda implică lucrul în două moduri: scriere și citire:
- Mod scriere generează și stochează un identificator pentru utilizatorul care a accesat prima dată site-ul.
- Modul de citire citește un identificator stocat anterior.
Alegerea modului depinde de solicitarea fișierului Favicon pentru pagina principală a site-ului: dacă imaginea este solicitată, datele nu sunt stocate în cache și se poate presupune că utilizatorul nu a accesat site-ul înainte sau conținutul este stocat în cache învechit. Potrivit cercetătorilor, prin specificarea antetului HTTP Cache-Control, este posibil să se realizeze Favicon în cache până la un an.
În modul de citire, la deschiderea unui site, utilizatorul este legat de pagini predefinite cu Favicons și Serverul HTTP analizează care Favicons sunt solicitate de la server și care sunt afișate fără a accesa serverul din cache. Prezența cererii este codificată ca „0”, iar absența ca „1”. Pentru ca identificatorul să fie păstrat în apelurile viitoare, un cod de eroare 404 este afișat ca răspuns la solicitările Favicon, adică la următoarea deschidere a site-ului, browserul va încerca să încarce din nou aceste favicoane.
În modul de scriere, în bucla de redirecționare pentru paginile care codifică „1”, răspunsul corect al Faviconului este returnat, depuse în memoria cache a browserului (când ciclul se repetă, datele Favicon vor fi returnate din memoria cache, fără a accesa serverul) și pentru paginile care codifică „0” - cod de eroare 404 (dacă repetați ciclul de redirecționare, datele paginii va fi solicitat din nou).
Metoda funcționează în Chrome, Safari, Edge și parțial în Firefox. În Firefox pentru Linux, utilizarea Favicons ca Supercookies este împiedicată de o caracteristică care împiedică browserul să cache Favicon.
Interesant este faptul că autorii metodei de autentificare au notificat dezvoltatorii Firefox despre această caracteristică în urmă cu aproximativ un an, menționând că a existat o eroare în cache, dar fără a menționa munca lor și că corectarea erorii ar duce la posibilitatea identificării utilizatorului.
Fuente: https://www.cs.uic.edu