Нов метод за идентификация на конкретния потребител чрез манипулация на Favicon кеша

В GitHub бе публикувана реализацията на нова техника за съставяне на идентификатор на конкретния екземпляр на произволен браузър. Методът се базира на особеностите на обработка на Favicon изображенията, с помощта на който сайтът показва иконките в разделите, отметките и другите елементи от интерфейса на браузъра. Тези иконки се записват в специален Favicon кеш, в които играят ролята на супер бисквитки (Supercookie).

Favicon иконките се записват от браузърите в отделен кеш, който няма нищо общо с другите кешове. Той е общ за всички режими на работа и не се изчиства от стандартните функции за изчистване на кеша и на историята на посещенията. Тази особеност дава възможност за създаването на конкретен идентификатор дори и при работа в режим инкогнито, като неговото премахване не е лесно. Този метод дава възможност за идентификация на потребителите и на него не оказва влияние използването на VPN и различните разширения за блокиране на рекламите.

В основата на този метод за идентификация на потребителите е фактът, че от страна на сървъра е възможно да се определи дали даден потребител е отварял конкретна уеб страница. Това може да стане чрез анализ на информацията за зареждането на Favicon – ако браузърът не е подал запитване за получаване на Favicon изображение, то това означава, че страницата се е зареждала по-рано и съответната иконка е показана от кеша. Тъй като браузърите позволяват задаването на отделен Favicon за всяка страница, то по този начин става възможно кодирането на полезна информация чрез последователно прехвърляне на потребителя към няколко уникални страници.

Колкото повече пренасочвания бъдат осъществени, толкова повече идентификатори могат да бъдат съставени. Броят на идентификаторите се определя по формулата 2^N, където N е броят на пренасочванията. Така например, с помощта на 2 пренасочвания е възможно да се адресират четирима потребители, с 3 – 8, с 4 – 16, с 10 – 1024, с 24 – 16 милиона и с 32 – 4 милиарда. Основен недостатък на този метод е голямата латентност – колкото по-голяма точност е необходима, толкова повече време се изисква за осъществяване на пренасочвания преди уеб страницата да бъде отворена. 32 пренасочвания дават възможност за генерирането на уникални идентификатори за всички интернет потребители, но дава латентност от около 3 секунди. За идентификацията на един милион потребители латентността е около секунда и половина.

Новият метод може да работи в два режима – режим на запис и режим на четене. При режима на запис се осъществява генериране и запис на идентификатора за потребител, който за първи път посещава конкретния сайт. При режима на четене се осъществява прочитане на по-рано записания идентификатор. Изборът на конкретния режим зависи от запитването на Favicon файла за основната страница на уеб сайта – ако браузърът е поискал да зареди изображението, то това значи, че то не е кеширано и с голяма вероятност може да се предположи, че този потребител не е посещавал сайта по-рано или че информацията в кеша е остаряла. Според данните на експертите по информационна безопасност, чрез указването на HTTP заглавието Cache-Control е възможно да се постигне поставянето на Favicon изображения в кеша за срок от една година.

Когато се използва режим на четене, при отварянето на сайта потребителят се препраща на предварително определени уеб страници със свои собствени Favicon (например, demo.supercookie.me/t/50fd23e6:9bpZVrAwOmieUkMPkAeG), а HTTP сървърът анализира кои точно Favicon са взети от него, както и кои са показани без заявка към сървъра – директно от кеша на браузъра. Наличието на подобна заявка се счита за „0“, липсата на подобна заявка – за „1“. За да може въпросният идентификатор да бъде запазен и при осъществяване на следващи заявки, в отговор на тези заявки Favicon генерира грешка с код 404 – тоест, при следващото отваряне на сайта браузърът ще се опита отново да зареди тези Favicon изображения.

При използването на режим на запис се извършва циклично пренасочване към уеб страници, кодиращи „1“, за да може да се получи коректен отговор от Favicon-а от кеша на браузъра (при повторно преминаване на същия цикъл Favicon данните ще идват от кеша, без да има обръщение към сървъра), а за страниците, които кодират „0“ – код на грешка 404 (при повторно преминаване през цикъла с пренасочванията, данните за уеб страницата ще бъдат заявени отново).

Новият метод за идентификация на потребителите работи в уеб браузърите Chrome, Safari, Edge и частично във Firefox. Във Firefox за Linux използването на Favicon в качеството на супер бисквитка (Supercookie) пречи характерна особеност, заради която този браузър въобще не кешира Favicon изображенията.

Интересно е, че създателите на този метод за идентификация на потребителите още преди една година са уведомили разработчиците на Firefox за тази характерна особеност, но само са указали, че има грешка в работата на кеша. Но в това съобщение те не са пояснили, че оправянето на въпросната грешка ще доведе до възможност за идентификация на потребителите. Допълнително да напомним, че считано от Firefox 85 и нагоре в този браузър е добавен нов режим за сегментиране на мрежата (Network Partitioning), който дава възможност за блокиране на методите за проследяване и идентифициране на потребителите, в които се използват манипулация на информацията от различните браузърни кешове. Дали вашият браузър уязвим на новия метод можете да проверите на тази уеб страница.