[Netzwelt] Browser-Tracking: Erste Websites verwenden Canvas Fingerprinting statt Cookies

Cookies zu setzen, um bestimmte Benutzer wiederzuerkennen, das ist im Internet bereits jetzt gang und gäbe. Forscher der Universitäten Princeton (USA) und Leuven (Belgien) fanden nun heraus, dass einige Websites mittlerweile auf eine bisher kaum beachtete Methode setzen, um Benutzer wiederzuerkennen: Canvas Fingerprinting.

Diese Technik ist bereits seit 2012 bekannt, und findet nun bereits auf 5,5% der 100.000 untersuchten Websites Anwendung. Laut den Forschern greifen unter anderem auch die Werbeanbieter von T-Online.de, Kinox.to und YouPorn zu dieser Methode. Fast alle der betroffenen Websites lassen sich derzeit auf einen einzelnen Werbeanbieter zurückführen: addthis.com

Canvas-Elemente sind seit HTML5 Standard in der Auszeichnungssprache. Jeder einzelne Browser erzeugt beim Rendering von Canvas-Elementen und -Texten minmalste Unterschiede - kaum bemerkbar für den Benutzer aber dennoch messbar. Über Javascript lässt sich aus der Darstellung von Canvas-Elementen so ein eindeutiger Fingerabdruck für jeden einzelnen Browser generieren. So lassen sich Besucher auch abseits von Cookies wiedererkennen.

Problem bei Canvas-Fingerprinting: Man kann nicht einfach, wie bei Cookies, den Fingerabdruck löschen. Das Rendering des Browsers bleibt weiterhin das selbe, es sei denn, man wechselt den kompletten Browser. Die einzige Abhilfe dürfte derzeit sein, Javascript auf den betroffenen Websites abzuschalten bzw. die Fingerprint-Skripts zu blocken, damit kein Fingerabdruck mehr errechnet werden kann.


Quelle: Chip/Heise

 

[xbug]

https://panopticlick.eff.org/

Ich habs mal ausprobiert: "Your browser fingerprint appears to be unique among the 4,369,545 tested so far." Sieht dann wohl so aus, als könnte man mich mit dieser neuen Technologie einwandfrei identifzieren und wüsste immer wer ich bin, wenn ich eine bestimmte Seite besuche.

Man kann doch sicherlich mit VMware eine Umgebung erschaffen die viele andere auch nutzen würden, dann würde man nicht auffallen.

Finde ich ganz schön paranoid, wenn man extra für das Surfen im Internet eine VM aufsetzt, damit man nicht getrackt werden kann.

Wenn allerdings erstmal Google, Amazon, Ebay diese Technologie für sich entdecken, sie einsetzen, verbessern und erweitern, dann könnte ich mir schon vorstellen, dass das Internet bald zu einem Ort wird, wo wirklich nichts mehr unentdeckt bleibt, von irgendwelchen Unternehmen, die mit den Trackingdaten etwas anfangen können. Stichwort: "Amazon möchte ihre Lieferung schon fertighaben, bevor sie überhaupt bestellen."

 

[KaPiTN]

Wo liegt jetzt der Unterschied, ob "die" Deinen "echten", oder Deinen "virtuellen" Browser tracken?

 

[p3Eq]

Wo liegt jetzt der Unterschied, ob "die" Deinen "echten", oder Deinen "virtuellen" Browser tracken?

Man hat dann immer noch zwei verschiedene Identitäten. Zwar lässt sich sagen, dass Fingerprint X beispielsweise zu deinem NGB-Profil gehört, aber er lässt sich nicht mit Fingerprint Y in Verbindung bringen, den du für privaten Kram benutzt.

Wenn allerdings erstmal Google, Amazon, Ebay diese Technologie für sich entdecken, sie einsetzen, verbessern und erweitern, dann könnte ich mir schon vorstellen, dass das Internet bald zu einem Ort wird, wo wirklich nichts mehr unentdeckt bleibt, von irgendwelchen Unternehmen, die mit den Trackingdaten etwas anfangen können. Stichwort: "Amazon möchte ihre Lieferung schon fertighaben, bevor sie überhaupt bestellen."

Naja, die Frage ist nicht, wie man das verbessert. Grundsätzlich gilt bei dem Fingerprint: Alle Daten erfassen, die gehen. Viel wichtiger ist die Frage, welche anderen Mittel noch genutzt werden, um verschiedene Fingerprints mit einer Person in Verbindung zu bringen. Beim Beispiel Amazon könntest du ja vom Handy und vom PC die Seite ansteuern und hättest dabei komplett unterschiedliche Fingerprints. Wenn aber beispielsweise ein Cookie von Amazon gesetzt wird, das du per Browser-Synchronisation dann auf beiden Geräten hast, sind deine Fingerprints verknüpft. Oder ohne Synchronisation: Wenn du dich einloggst, dann werden die Fingerprints direkt mit deinem Konto in Verbindung gebracht.

 

[KaPiTN]

Man hat dann immer noch zwei verschiedene Identitäten. Zwar lässt sich sagen, dass Fingerprint X beispielsweise zu deinem NGB-Profil gehört, aber er lässt sich nicht mit Fingerprint Y in Verbindung bringen, den du für privaten Kram benutzt.

Dann gehe ich immer mit einer grünen Mütze zu NGB und die Seite mit dem Tracker bekommt davon nichts mit. Würde sie aber bei einer anderen Mütze aber auch nicht.

Da ich aber auf diese trackende Seite immer mit meiner anderen Identität gehe, einer blauen Mütze, erkennen mich die immer wieder.

Das ist keine sinnvolle Strategie, oder?

 

[xbug]

Wenn aber beispielsweise ein Cookie von Amazon gesetzt wird, das du per Browser-Synchronisation dann auf beiden Geräten hast, sind deine Fingerprints verknüpft.

Das wäre dann natürlich der absolute Supergau, wenn Tracking-Methoden dann anfangen sich mit den verschiedenen Endgeräten zu synchronisieren und man so einen Nutzer noch besser überwachen kann, welche Seiten er aufruft. Oder, in dem Zusammenhang noch wichtiger, ob er nicht eventuell öfter mit dem Handy auf die Seite kommt, das Handy auswertet (Bildschirmgröße, etc.) und ihm dann am Computer andere leistungsfähigere Handys zeigt und eventuell noch einen Discount drauf setzt, damit er sich eventuell überlegt nicht doch noch ein besseres Handy zu kaufen. Wenn das nicht eventuell schon so gemacht wird.

 

[p3Eq]

Dann gehe ich immer mit einer grünen Mütze zu NGB und die Seite mit dem Tracker bekommt davon nichts mit. Würde sie aber bei einer anderen Mütze aber auch nicht.

Da ich aber auf diese trackende Seite immer mit meiner anderen Identität gehe, einer blauen Mütze, erkennen mich die immer wieder.

Das ist keine sinnvolle Strategie, oder?

Verstehe deine Aussage gerade nicht, wenn ich ehrlich bin. Gut, wenn wir davon ausgehen, dass ngb.to eigenständig ist und keine externen Inhalte nachgeladen werden und du auch auf keine externen Links klickst, solange du hier aktiv bist, dann trifft das schon zu, dass der Tracker nichts davon mitbekommt. Allerdings war das auch eher ein Beispiel bezogen auf verschiedene Identitäten und nicht verschiedene Internetseiten, denn ich bin bei meiner Schilderung davon ausgegangen, dass ein solcher Tracker auf allen Seiten im Internet anzunehmen ist (Worst Case). Mit einer verschiedenen Systemkonfiguration ist es dann möglich, trotz Tracking eine zweite Identität zu führen, die nicht mit der ersten zusammenhängt, d.h. Anonymität in Hinsicht auf die Realdaten ist weiterhin gegeben, wenn sie gewünscht wird. Man darf halt nur nicht den Fehler machen, mit dem falschem Browser die falsche Identität anzunehmen (was ich in meinem Beispiel mit ngb.to und anderen Seiten verdeutlichen wollte, da hier ja viele Nutzer anstreben, ihre Posts anonym zu veröffentlichen und keine Rückschlüsse auf die wahre Identität zu hinterlassen).

Hoffe, es ist nun deutlich geworden, was ich dir eigentlich mit meinem Post sagen wollte

 

[Bernd]

Es muss ja nicht unbedingt VMware sein, es sollte doch auch kleinere alternativen geben. Ich habe zum Beispiel von Sandbox gehört, man kann es unter anderem benutzen um einige Spiele mehrmals zu starten die es einem normaler weise nicht erlauben. Somit kann man in Free2Play spielen gegen sich selbst spielen. Dieses Programm schafft es also ein Programm zu isolieren. Es sollte also auch möglich sein so etwas für den Browser zu machen, z.B. er wird isoliert und eventuell werden einige Addons emuliert oder vorgetäuscht.

Wenn man dann lang genug im Internet war ändert man die Umgebung und man sollte doch eine neue ID haben.

Ich kenne mich jetzt technisch nicht so gut mit dem ganzen aus, aber es hört sich für mich schon machbar an.

 

[xbug]

Wenn man dann lang genug im Internet war ändert man die Umgebung und man sollte doch eine neue ID haben.

Ich hab mir jetzt mal bisschen angeschaut was die so sammeln. Manche Webseiten verwenden zur Identifizierung auch Systemschriftarten. Also müsste es meiner Meinung nach auch reichen 2-3 davon zu löschen um seine ID zu wechseln. Oder 2-3 mehr installieren.

 

[Bernd]

Wenn man schon weiß das solche Daten angesehen werden, dann kann man doch sicherlich das ganze so scripten das jedesmal falschen Daten gezeigt werden.

Möglich sollte es aber schon sein da etwas zu machen, es gab ja auch Addons die Google daran hindern sollten einen zu verfolgen in dem es im Hintergrund nach allen möglichen Sachen googelte.

CS:GO zum Beispiel (ein Computer Spiel) hatte anfangs noch einen Kopier Schutz der es unmöglich machte das Spiel zu spielen wenn man es nicht gekauft hatte. Dabei wurde das System beobachtet, wenn man es gekauft hatte dann wurde der PC durch Steam verifiziert und man konnte es spielen. Wenn man aber die Daten auf ein anderes System übertrug und es dort mit Crack starten wollte ging es nicht mehr da CS:GO erkannte das es sich um einen anderen PC handelte. Das ganze konnte man nur mit VMware lösen, da hat ein Russe der es gekauft hatte eine Kopie seines Systems mit VMware gemacht und damit konnte dann auch andere es mit VMware spielen.

Wenn wirklich nichts mehr gehen sollte, dann kann man ja solche VMware Systeme verwenden, diese kann man ja immer wieder neu konfigurieren.

 

[KaPiTN]

Das man einen anderen UserAgent bei Firefox eintragen kann, ist ja bekannt und läßt sich Googeln. Aber da Phantasienamen einzutragen macht einen erst recht eindeutig, denke ich. Also nicht interessant.

Aber :


Auf der Testseite werden alle meine installierten Plugins angezeigt. Das konnte ich unterbinden, in dem ich unter
about: config
den Wert von
plugins.enumerable_names
von * zu "" geändert habe.

Daß die instatllierten Fonts angezeigt werden ließ sich unter Windows unterbinden mit dem Eintrag
DisableDeviceFontEnumeration = 1
in der mms.cfg von Macromed\Flash

Nebenbei noch ausprobiert:

mit about:config
layout.css.visited_links_enabled auf false kann man Abfragen auf die Browserhistorie über CSS unterbinden, allerdings hat man dann auch selber keine farbliche Kennzeichnung der besuchten Links mehr

about:config
media.peerconnection.enabled auf false setzen, unterbindet die Übertragung der Rechner-IP im lokalen Netzwerk über den Browser.
War mir gar nicht bewußt, daß die übertragen werden kann. Könt Ihr ja mal ausprobieren http://net.ipcalf.com/

 

[bevoller]

Und machst dich damit gleich wieder noch einzigartiger, weil du einer der wenigen bist, die sich so fast komplett abschotten.

Warum zeitgemäße Browser die Möglichkeit JavaScript zu deaktivieren immer weiter in den Hintergrund verbannen, verstehe ich nicht.

Die Diskussion gab es ja vor knapp einem Jahr schon im g:b zum Firefox 23.

Auch die Browser-Hersteller sind meiner Meinung nach nicht die Bösen (mal abgesehen von Microsoft, bei denen die Sicherheit der User
nicht oberste Priorität zu haben scheint). Als Internetnutzer fordert man zurecht, dass die Browser die neusten Technologien unterstützen.

Und mal abgesehen von Mozilla. Denn die erschweren es den Usern ja, in dem sie Funktionalität wie das Abschalten von JS nur noch umständlich per "about:config" ermöglichen.

Das Problem ist aus meiner Sicht viel eher das Vertrauensverhältnis zwischen Nutzer und Websitebetreiber. Der Nutzer muss sich darauf verlassen, dass der Websitebetreiber die ihm zur Verfügung stehenden Technologien nicht ausnutzt.

Und da traut man, wenn überhaupt, am Besten nur ganz wenigen. Letztendlich hat die Erfahrung bisher immer wieder gezeigt, dass vorhandene Daten Begehrlichkeiten erwecken. Und wenn man durch solche Methoden mehr oder bessere Daten bekommt, wird das auch ausgenutzt werden.

Addons sind schön und gut, sollten aber nicht einfachste Funktionalität eines Browsers ersetzen, nur weil man aus fadenscheinigen (und falschen) Gründen eine Funktionalität entfernt hat. Zumal NoScript und ABP ja beide etwas skandalbelastet sind.

Wie will man das Problem aber lösen? Wie bei vielen Dingen sollte da meiner Meinung nach ein Umdenken der Nutzer vorstellen.

Die meisten User wird es leider ganz einfach nicht oder nur wenig interessieren. Vor einigen Jahren gab es mal einen Bericht über ein Projekt an einer Uni. Dort wurde der gesamte Netzwerkverkehr zensiert und manipuliert. Ganz 100% kriege ich das sicher nicht mehr au die Reihe. Aber in etwa lief es bspw. so ab, dass Kohl Bundeskanzler und Mitglied der SPD war - oder so ähnlich.
Gut - dem Einen oder Anderen mag vielleicht auch ganz einfach nicht aufgefallen sein, dass die Parteizugehörigkeit nicht ganz richtig angegeben war. Aber selbst, nachdem die Studenten (denen man eigentlich mehr Grips unterstellen sollte) deutlich auf mögliche Zensur und Manipulation des Netzwerkverkehrs hingewiesen worden waren, hat es sie nahezu Null interessiert.
Ich fürchte allerdings, dass sich das in den letzten 5-10 Jahren und im Zeitalter von Gesichtsbuch eher verschlimmert als verbessert hat. Das Experiment wird sich vermutlich viel zu gut auf die heutige Allgemeinheit übertragen. Selbst mit NSA-Skandal haben viele Menschen ja immer noch nichts zu verbergen.

Aktuell ist dieses Canvas Fingerprinting ja noch nicht das große Thema. Deshalb ist es (für mich) vielleicht auch noch nicht dringend genug, mich nach einem anderen Browser umzusehen. Zumindest ist für mich aber vorstellbar, dass ich zu einem Browser wechsele, der dieses Fingerprinting zukünftig unterbindet, bzw. einfache Maßnahmen zur Gegenwehr anbietet. Und wenn ich wieder zum IE wechseln muss.

 

[KaPiTN]

Und machst dich damit gleich wieder noch einzigartiger, weil du einer der wenigen bist, die sich so fast komplett abschotten.

Bedingt.

Fonts und Addons scheinen mir die die Eigenschaften mit der größten Streuung zu sein.
Wenn mehrere die Eigenschaften ausblenden, dann bin ich mit höherer Wahrscheinlichkeit einer von Mehreren einer Teilmenge dieser Benutzer, als ich einmalig unter Allen bin.

Die Verbreitung dieser Einstellungsmöglichkeiten erhöht die Wahrscheinlichkeit der Anwendung.

 

[Auf eigenen Wunsch gelöschter Nutzer]

Was mich am meisten nervt an all dem ist immer noch, dass der Konsument recht allein und verloren dasteht. Auch an meinem neuen PC hab ich wieder Tage drangesessen, um den möglichst anonym und sicher zu gestalten, zig Anleitungen rausgesucht, um Browser und Windoof abzusichern, Sandboxie, Proxy bla...und jetzt les ich oben vom Kapitn wieder Einstellungen, die ich vorher noch nie irgendwo gelesen habe. Vielleicht bin ich zu blöd, aber ich habe nicht eine Seite gefunden, die wirklich vollständig aufklärt, weder Englisch noch Deutsch. Überall nur Stückchen vom Kuchen, da bleibt wohl nur Informatik zu studieren, um den ganzen Mist zu verstehen, für einen Norm-User wie mich gibts kaum Möglichkeit.

 

[Larius]

@retortensurfer: Glaub mir, selbst mit einem Bachelor bzw. Master in Informatik stehst du auf verlorenem Posten

 

[Bruder Mad]

Vielleicht sollte man einfach "den Stecker ziehen", wenn man allzu paranoid ist oder so...

Ganz "ohne" geht's irgendwie nicht, das sollte doch klar sein. Und wenn man heute noch anonym ist, dann hat morgen irgend ein pfiffiger Entwickler was neues entdeckt ohne dass man es weiß und sich dagegen schützen kann...

Eine gewisse Paranoia ist ja okay, aber...

 

[KaPiTN]

Im Internet gilt für mich das gleiche wie bei echten Gebäuden. Ich möchte nicht, daß jemand zählt, wann ich komme und wie oft.
Ob das jetzt mit Browsertracking oder RFID geschieht.

Mag das anfangs ja noch ein anonymes Profil sein, sobald es mit einem Vorgang verknüpft werden kann, wie einem Kaufvertrag, ist es dies nicht mehr.

 

[bevoller]

Wenn mehrere die Eigenschaften ausblenden, dann bin ich mit höherer Wahrscheinlichkeit einer von Mehreren einer Teilmenge dieser Benutzer, als ich einmalig unter Allen bin.

Eben.... Wenn...
Wie du an der nachfolgenden Reaktion siehst, wärst du ziemlich sicher einer mit einem Alleinestellungsmerkmal.

Vielleicht sollte man einfach "den Stecker ziehen", wenn man allzu paranoid ist oder so...

Auf gut Deutsch: Als Verbraucher, Kunde, Mensch soll man sich also einfach alles gefallen lassen? Weil es ja sowieso passieren wird? Ich wüsste nicht wieso.
Die Haltung "Is ja nich so schlimm." ist aber ein Grund, warum Wirtschaft und Staat meinen, sich das alles erlauben zu können.

Stecker raus wäre vielleicht mal eine Möglichkeit für bspw. einen Tag, quasi als konzertierte Widerstandsaktion. Aber auf Dauer ist das sicher nichts. Dazu ist Mensch heutzutage viel zu sehr mit Internet & Co verbandelt.

 

[Bruder Mad]

Natürlich soll man sich nicht ALLES gefallen lassen müssen, aber wie ich oben schon schrieb, kann man auch alles übertreiben...

Zumal das eh ein Katz- und Mausspiel ist. Du blockst alles ab und morgen hat jemand eine neue Technik, von der du erst drei Tage später erfährst.

Bevor ich mich in so etwas reinsteigere wage ich dann doch ab, ob es das wert ist...

 

[KaPiTN]

Eben.... Wenn...
Wie du an der nachfolgenden Reaktion siehst, wärst du ziemlich sicher einer mit einem Alleinestellungsmerkmal.

Ein einzelner mit seiner Reaktion ist unbedingt repräsentativ.

Im Ernst. Die Einstellungen lassen das System so erscheinen, als hätte es ein Firefox ohne Erweiterungen und kein Flash.
Wie ungewöhnlich ist das?

 

[sars]

Das ganze Prinzip basiert ja darauf, dass die Browser-Eigenschaften die zum erstellen des Footprints herangezogen werden, sich möglichst in der Masse der User unterscheiden aber für jeden Einzelnen konstant bleiben. Wenn man nun das Anzeigen einer der Eigenschaften deaktiviert, ändert das nichts an der Konstantheit, und man ist nachwievor von anderen Nutzern unterscheidbar.

Das Kartenhaus fällt aber schnell zusammen, wenn die Merkmale die das Tracking-Script ausliest ständig wechseln. Dazu reicht es ggf. schon wenn nur eines der Merkmale bei jedem Seitenaufruf einen zufälligen Wert aufweist.


Ich hab das mal als Proof-of-Concept in einem Firefox-AddOn umgesetzt. Auch für das *unknackbare* Canvas-Footprinting hab ich eine simple Lösung, die imho zumindest in den von mir getesteten Footprinting-Scripten zuverlässig funktioniert.

http://www.file-upload.net/download-9283655/nomorefingerprinting.xpi.html

Im Prinzip ersetzt das AddOn nur einige Eigenschaften des navigator-Objekts wie AppName, platform, colorDepth etc. (die typischerweise in solchen Scripten für den Footprint herangezogen werden), bei jedem Seitenaufruf durch zufällig generierte Werte. Gleiches für die Liste der installierten Plugins.

Canvas-Footprinting umgeht das AddOn, indem in die Funktion toDataUrl() der Canvas-Api eingegriffen wird und vor der Ausgabe die Pixel-Farbwerte random aber nur dezent abgeändert werden - Den Unterschied kann man aber imho nicht wahrnehmen, er reicht aber aus um jedesmal einen unterschiedlichen Footprint zu erzeugen.