Jump to content
php.lv forumi

Lietotāja atsekošana neizmantojot cepumus (cookies)


Aleksejs

Recommended Posts

Interesants pētījums, kas izmanto visas iespējamās par lietotāju uzzināmās lietas:

http://panopticlick.eff.org/

Sīkāk te:

http://panopticlick.eff.org/about.php

un te:

http://www.h-online.com/security/news/item/EFF-demonstrates-a-browser-s-finger-print-918786.html

 

Manas pārdomas par šīs metodes izmantošanu: piesaistot visu pieejamo (relatīvi nemainīgo) parametru kontrolsummu sesijai, varam, piemēram, likt vēlreiz autentificēties, ja lietotājs grib izmantot kādu kritiskajām web-aplikācijas funkcijām (piemēram, nomainīt paroli). Vai arī vismaz iežurnalēt šo aizdomīgo gadījumu. Tiesa pirms ieviešanas produkcijā, būtu jāveic papildus pētījums par to cik ļoti tas traucē/ietekmē funkcionalitāti.

 

Bet jebkurā gadījumā - pētījums kā tāds man šķiet interesants.

Link to comment
Share on other sites

Nē, ideja šim pasākumam bija, ka pat ja visi kookiji ir atslēgti ir iespējams atšķirt lietotājus (pat ja tie iet caur vienu un to pašu NAT/proxy).

 

Par izlogošanas pārlūka iestatījumu izmainīšanas gadījumā bija tikai manas fantāzijas par tēmu :) Mana doma bija, kaīpaši paranoidālā sistēmā arī to varētu izmantot, taču kā jau arī pieminēju, tam varētu būt negatīva ietekme uz lietojamību, tādēļ vispirms būtu jānovērtē potenciālais kaitējums.

Link to comment
Share on other sites

Protams, ka nomainot kādu no pārlūka iestatījumiem kontrolsumma atšķirsies un funkcija kļūs traucējoša. Pie tam - kur garantija, ka nebūs vienādas kontrolsummas? Manuprāt, būs, ja būs uz identiskām sistēmām uzinstallēti divas identiskas pārlūkprogrammas versija ar identiskiem standarta iestatījumiem.

Risinājums:

Pārlūkprogrammu izstrādātājiem pašiem jāiestrādā pārlūkā identifikatoru, kas tiktu pārbaudīts katru reizi, startējot pārlūku (ir vai nav paņemts, pie tam - jau reiz izmantoto identifikatoru otrreiz vairs nevar neviens paņemt) un šo identifikatoru arī servera pusē pārbaudīt (tas varētu iet caur http, https), bet ar nosacījumu, ka to nav iespējams simulēt un ka pat parastajā HTTP tas iet šifrēts prom. Nezinu, cik tas reāli, tā ir mana pirmā doma kā viens no problēmas risinājuma variantiem..

Link to comment
Share on other sites

Funkcija kļūst traucējoša ja katru reizi kād[s|i] parametr[s|i] mainās. Taču ja tas notiek reti (atkarībā no sistēmas, protams apzīmējumi "reti" un "bieži" ir visai relatīvi), un šo pārbaudi veic tikai kritiskas funkcionalitātes (paroles maiņa, lietotāju administrēšana, dažāda veida dzēšanas operācijas) gadījumā, tad man šķiet, ka lieliem apgrūtinājumiem nevajadzētu būt.

 

Kritiskas funkcijas un paaugstinātas tiesības sistēmā galu galā arī pašas par sevi uzliek daudz stingrākus nosacījumus, piemēram, sesijas ilglaicīgumam (administratora režīmā strādājošam lietotājam dīkstāves laikam un sesijas ilgumam pirms atkārtotas iežurnalēšanās pieprasījuma, būtu jābūt daudz īsākam nekā parastam lietotājam, kuram ir pieļaujama arī "remember me/keep me logged in forever" funkcionalitāte lietojamības uzlabošanai).

 

Attiecībā uz unikālo identifikatoru - to nepieļaus cilvēktiesību/privātuma aktīvisti (piemēram Chromei šāds identifikators, šķiet, ir, tacū pēc lielas bļaušanas, tas ir atslēgts), jo pamatmorāle šim testam bija, ka privātums internetā ir daudz mazāks nekā mums šķiet, bet šāda unikālā identifikatora ieviešana rada automātisku veidu kā izsekot katru konkrēto lietotāju pa visām lapām, ko tas ir apmeklējis.

 

Protams, šis ir visai eksperimentāls un zaļš paņēmiens, pret kuru jāizturās ar pienācīgu daļu skepses :)

Link to comment
Share on other sites

šāda unikālā identifikatora ieviešana rada automātisku veidu kā izsekot katru konkrēto lietotāju pa visām lapām, ko tas ir apmeklējis

tas jau velk uz totalitāro režīmu un total control. Ķīna būtu sajūsmā par šādiem id :D:D:D

Edited by 2easy
Link to comment
Share on other sites

Your browser fingerprint appears to be unique among the 467,438 tested so far.

 

forši, bet pluginu testēšanas laikā, izleca divi JAVAs paziņojuma logi.

 

Izdzēšot cookiju un ejot otreiz:

 

Within our dataset of several hundred thousand visitors, only one in 233,858 browsers have the same fingerprint as yours.
Link to comment
Share on other sites

Tikpat labi tad jau var "izsekot" arī, izmantojot šo izgudrojumu "browser fingerprint". Tas ir pirmkārt. Otrkārt, kāda jēga pārbaudīt identitāti pasaules tīmeklī, izmantojot vērtību, kas var nebūt arī unikāla?

 

Secinājums: ja pastāv "izsekošanas draudi", labāk tomēr nevajag vispār šitādas "fīčas"...

Link to comment
Share on other sites

Nu te mēs redzam klasisku interešu konfliktu no kura rodas problēmas:

no vienas puses web-izstrādātājiem ir svarīgi būt spējīgiem dažādos veidos identificēt lietotāju

no otras puses lietotājam ir svarīgi, lai viņu būtu maksimāli grūti izsekot

 

Jā, tieši tā, izmantojot šo "browser fingerprint" var (ne 100% precīzi, bet pietiekami tā teikt "operatīvās informācijas" līmenim) atsekot lietotāju pat tad, ja viņš ir atslēddzis gandrīz visu, ko vien var atslēgt. Tas ir tas brīdinājums, ko izsaka šī resursa veidotāji.

Link to comment
Share on other sites

Ne tieši pa tēmu, bet kaut kad sen radās ideja, ka cilvēka teksta drukāšanas nianses varētu raksturot cilvēku līdzīgi kā rokraksts, tikai šeit parametri būtu: laika intervāli starp burtu kombinācijām, drukas kļūdas, u.c.

Tālāk weblapā vienkārši ir skripts, kurš logo laikus visiem taviem taustiņu nospiedieniem, piem., rakstot komentāru, un nosūta datus uz serveri. Ja tu lapā pavadi pietiekami ilgu laiku un ievadi pāris rindiņas teksta, tad varētu savākties diezgan ievērojams informācijas daudzums.

Ja šādi ir iespējams identificēt lietotāju, tad to varētu identificēt pat pie dažādiem datoriem.

 

Verētu saukties "typing fingerprints"

Edited by codez
Link to comment
Share on other sites

Galu galā, kaut kādā mērā var izsekot lietotāju daļēji var arī pēc IP adreses, protams, tur ticamība mazāka, ka viņš to visu veicis, kas veikts no viņa IP.

Kas attiecas uz weblapu apmeklējumiem - ja vien nav izstrādāts kāds "hakerisks" nelegāls triks ar pārlūku, piespiežot lietotāju sērfot internetā "hakera| izveidotajā rāmī vai softā, tad web-lapas īpašnieks diezvai varētu sīki un smalki izsekot viena lietotāja sērfošanas vēsturei, jo visi lietotāji mēdz apmeklēt dažādas, savā starpā nesaistītas, vietnes. Bet pārlūkprogrammu ražotājiem gan ir iespējams to izdarīt. Ja ar likumu nosaka, ka pārlūkprogrammu ražotāji ir par šiem datiem atbildīgi un tos nedrīkst izmantot lietotājam kaitīgos mērķos + valstis iesaka lietot tikai pārlūkprogrammas, kuras atrodas "atzīto" sarakstā, tad arī tas kļūst patiesībā diezgan vienaldzīgi, jo tāpat tevi var izsekot Microsoft, specdienesti, valsts, "doktors Ļaunums" no facebook utt. Bezjēdzīgi, pats domā, ko dari un viss.

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

Loading...
×
×
  • Create New...