Alfonso Maruccia

Elementi Canvas per un tracciamento a prova di tutto

Un nuovo metodo per il tracciamento delle attività Web pone rischi inediti alla privacy degli utenti. Si tratta, almeno al momento, di un sistema estremamente difficile da fronteggiare

Roma - Una ricerca condotta dall'Università di Princeton e della KU Leuven in Belgio mette in luce un meccanismo di tracciamento delle attività online altamente sofisticato, un sistema basato sull'utilizzo dell'elemento Canvas (componente di HTML5) in grado di costruire profili univoci per ogni utente che resistono alla stragrande maggioranza dei tentativi di camuffamento da parte dei netizen.

Il codice Canvas è in grado di disegnare forme bidimensionali e immagini in formato bitmap, mentre la capacità di profiling deriva dal fatto che ogni sistema rappresenta tali immagini in maniera leggermente diversa dall'altro; con un codice di tracciamento adeguato è possibile quindi riconoscere e identificare ogni singolo utente che visita un sito Web.

Si tratta, denunciano gli esperti e i ricercatori che ne hanno divulgato l'esistenza, di un meccanismo di profilazione virtualmente impossibile da sconfiggere in condizioni normali: l'utilizzo di filtri e ad blocker con Adblock Plus non servono a nulla, mentre qualche possibilità di sfuggire al tracciamento potrebbe venire dall'uso di strumenti anti-script particolarmente efficienti come NoScript o con la navigazione anonima tramite rete Tor.
Stando a quanto sostengono i ricercatori, script in grado di generare "impronte digitali" a mezzo Canvas/HTML5 sono stati individuati in 5mila dei 100mila siti web più popolari secondo Alexa; il principale colpevole dell'uso degli script è AddThis, un servizio usato anche dal celeberrimo YouPorn (non a caso il primo per popolarità dei 108 siti elencati dai ricercatori).

Ma YouPorn - che ha comunque deciso di cancellare gli script di AddThis dopo aver saputo del profiling a mezzo Canvas - non è il solo sito interessato a costruire profili univoci per i visitatori Web, visto che nell'elenco fornito dai ricercatori ci sono anche il governo australiano, i siti governativi americani e la Casa Bianca.

Alfonso Maruccia
28 Commenti alla Notizia Elementi Canvas per un tracciamento a prova di tutto
Ordina
  • ..."l'utilizzo di filtri e ad blocker con Adblock Plus non servono a nulla"...
    ebbravo, te lo credi... quando e se servisse AdBlock, Ghostery & Co. comincerebbero a prendere il canvas html5 a calci nel sedere... ed AddThis e gli altri criminogeni potrebbero solo attaccarsi al cosidetto tram.

    Leggo ora delle caretteristiche di Torch comunque... grazie delle info... già lo uso perchè ha prestazioni eccellenti per l'audioHTML5.

    W Torch, W Ghostery e BlockOgnunquecosaFicoso
  • .. come funziona il gioco.
    Il browser visualizza una immagine, su questa si sovrappone un qualcosa.
    Poi ti scaricano l'immagine dal pc e la analizzano?
    unaDuraLezione, mi puoi chiarire meglio la cosa?
    non+autenticato
  • contenuto non disponibile
  • Leggendo l'articolo (e la classifica), sembra che le sottili differenze di renter siano più evidenti nel render dei font.

    Aggiungerei che IE sembra renderizzare senza usare il cleartype, mentre firefox sembra utilizzarlo: secondo me proprio il cleartype rende più evidente le differenze tra una configurazione e l'altra...
    non+autenticato
  • contenuto non disponibile
  • - Scritto da: unaDuraLezione
    > m'è venuta voglia di provare e ho fatto una
    > paginetta per vedere se è vero:
    > http://html5demo.altervista.org/supercookie.html

    Come ho già accennato nel mio precedente post l'unico modo per difendersi da questo tipo di attacco è utilizzare TorBrowser (meglio se installato/utilizzato in versione inglese):

    http://img7.imagevenue.com/img.php?image=48924_Scr...

    Tra l'altro questo specifico tipo di hack sta diventando sempre più frequente (l'ultima volta è mi è capitato proprio ieri pomeriggio!) e da inizio anno sarà la quinta o sesta volta che mi imbatto in questi potenziali tentativi di profilazione via canvas.

    Riguardo i super-cookie non penso siano un problema visto che di default TorBrowser non accetta neppure quelli normali.

    Per chi invece usa Firefox consiglio queste estensioni:

    1) Self destructing cookies
    https://addons.mozilla.org/it/firefox/addon/self-d...

    2) RequestPolicy
    https://addons.mozilla.org/it/firefox/addon/reques...

    3) Adblock Edge
    https://addons.mozilla.org/it/firefox/addon/adbloc...

    La seconda estensione è il naturale complemento di no-script mentre la terza è un fork di AdBlockPlus con regole anti-pubblicità più rigide, quindi senza la whitelist degli 'acceptable ads'.
  • Ok. Chiaro.
    Comunque, ho fatto una capatina alla tua pagina di test, ma a parte il rettangolo con le 2 curve, non é comparso nulla, ne la scritta ne l'alert.
    Una capatina anche su http://www.browserleaks.com/canvas che dovrebbe fare anche lui un test, mi da risultati negativi.
    Non avrei mai immaginato fosse possibile creare immagini ed analizzare il risultato ottenuto.
    Grazie.
    non+autenticato
  • - Scritto da: umby
    > Una capatina anche su
    > http://www.browserleaks.com/canvas
    > che dovrebbe fare anche lui un test,
    > mi da risultati negativi.

    Su Firefox standard non appare nessun messaggio di allerta per il semplice motivo che Firefox non è in grado di intercettare questi tentativi di profilazione via Canvas: non devi usare Firefox ma TorBrowser con JavaScript abilitato sulla pagina del test (e i permessi li devi concedere da no-script), altrimenti - con JavaScript bloccato - questo tentativo di fingerprint via Canvas non avviene e quindi non compare nessun messaggio di allerta da parte di TorBrowser; se esegui il test alle condizioni di cui sopra e poi vai a vedere nel dettaglio il risultato della scansione alla voce 'General Conclusion' noterai:

    ''Canvas Protection was detected, it seems that Tor Browser is here!''
  • - Scritto da: thinshadow

    > 1) Tor e NoScript (e, meglio ancora, Javascript
    > disattivato), in prima battuta. Probabilmente
    > basterebbe.

    Se ti riferisci a TorBrowser leva il 'probabilmente': TorBrowser di default impedisce il tracciamento via Canvas e ti avverte (tramite il pop-up degli add-on) chiedendoti se vuoi bloccare l'elemento oppure consentirne l'esecuzione.

    ----

    @Alfonso
    Un nuovo metodo di tracciamento? nuovo come Babbo Natale...Occhiolino

    Articolo accademico della UCSDCSE, University of California in pdf del 18-06-2012:
    http://cseweb.ucsd.edu/~hovav/dist/canvas.pdf

    In realtà i primi studi in tal senso (vedere bibliografia del pdf) risalgono al 2009...
  • La profilazione è, come si diceva una volta, una "tigre di carta" per uno che sappia davvero difendere la propria privacy e il proprio anonimato.

    1) Tor e NoScript (e, meglio ancora, Javascript disattivato), in prima battuta. Probabilmente basterebbe.

    Ma se non bastasse ecco che si passa a

    2) in seconda battuta: Tor e NoScript usati in una macchina virtuale, crittografata dentro uno hidden volume di TrueCrypt: anche se riuscissero a "profilare" la VM a cosa gli servirebbe? E' invisibile e introvabile, possono esaminare finchè vogliono il PC ma la famigerata "impronta digitale" della profilazione (oltre ad ogni altra informazione significativa!) non la troverebbero mai.

    Il pericolo della profilazione è tale solo per chi non si protegge o lo fa in modo troppo "light".
    E il sopravvalutarlo fa commettere errori come quello fatto dagli sviluppatori di Tor, che per "diminuire le possibilità di profilazione" hanno lasciato (e tuttora lasciano!) Javascript attivato di default in Tor, consentendo attacchi de-anonimizzanti come quello di un anno fa che sfruttava un exploit JS sulle vecchie versioni di Tor.
    L'anonimato compromesso per "paura della profilazione": una follia.

    Se avete davvero bisogno di privacy ed anonimato, nascondete l'intero ambiente operativo, usando VM criptate, e qualunque cosa venga "profilata" non potrà essere trovata.
    E se invece non avete bisogno di tanto anonimato (per la verità, ce n'è sempre più bisogno, spesso anche per chi pensa di non averne bisogno!), probabilmente possono pure profilarvi senza causarvi danni, anche perchè probabilmente non verranno mai a cercarvi.
    non+autenticato
  • - Scritto da: thinshadow

    > E se invece non avete bisogno di tanto anonimato,
    > probabilmente possono pure profilarvi senza
    > causarvi danni, anche perchè probabilmente non
    > verranno mai a cercarvi.

    Motivo per cui la paura della profilazione è più paranoia che una reale paura giustificata dai fatti.
    non+autenticato
  • - Scritto da: ...
    > Motivo per cui la paura della profilazione è più
    > paranoia che una reale paura giustificata dai
    > fatti.

    Esatto.
    Ed è per questo che trovo grave la cocciutaggine degli sviluppatori di Tor, che perfino dopo i noti fatti continuano a lasciare Javascript attivato di default "per ridurre la profilazione".
    Occorrerebbe invece sensibilizzare gli utenti e far loro capire che ogni elemento eseguibile controllato dal server web è potenzialmente un pericolo e che anche senza Javascript molti siti sono utilizzabili.
    L'attivarlo dovrebbe essere l'eccezione (come ha sempre fatto chi ne capisce un minimo) e, comunque, non dovrebbe essere il default.
    non+autenticato
  • - Scritto da: thinshadow
    > 1) Tor e NoScript (e, meglio ancora, Javascript
    > disattivato), in prima battuta. Probabilmente
    > basterebbe.
    >
    >
    > Ma se non bastasse ecco che si passa a
    >
    > 2) in seconda battuta: Tor e NoScript usati in
    > una macchina virtuale, crittografata dentro uno
    > hidden volume di TrueCrypt: anche se riuscissero
    > a "profilare" la VM a cosa gli servirebbe? E'
    > invisibile e introvabile, possono esaminare
    > finchè vogliono il PC ma la famigerata "impronta
    > digitale" della profilazione (oltre ad ogni altra
    > informazione significativa!) non la troverebbero
    > mai.
    3) Far saltare la scheda di rete con 2kg di C-4
    non+autenticato
  • vecchia lezione, sempre valida.

    Nello specifico si puo' vedere che il 99% degli spammatori indicati sono del tutto inutili (aka il js che iniettano nella tua pagina non serve alla fruizione del servizio), ergo un uso banale di no-script li tiene fuori dal collioni.
    Peggio sono i flash cookie (+ subdoli.. spesso parte del servizio... aka se mi vuoi vedere devi attivare flash ,se mi attivi potrei paciugarti & co)

    Cmq, come sempre, resta un tema preoccupante... gli spammer aumentano, si piazzano come parte integrante del servizio (il malvezzo di far ogni sternuto in html riempiendolo di API terze non aiuta) e, ovviamente, rimane la questione mobile browser. di default + limitati e proni a fastidi.
    non+autenticato
  • - Scritto da: bubba
    > vecchia lezione, sempre valida.
    >
    > Nello specifico si puo' vedere che il 99% degli
    > spammatori indicati sono del tutto inutili (aka
    > il js che iniettano nella tua pagina non serve
    > alla fruizione del servizio), ergo un uso banale
    > di no-script li tiene fuori dal
    > collioni.

    io sono uscito dal tunnel di no-script: mi ero rotto di aggiungere eccezioni. Ci vorrebbe una lista di eccezioni predefinite come le liste di adblock.

    Esistono?
    non+autenticato
  • - Scritto da: domanda
    > - Scritto da: bubba
    > > vecchia lezione, sempre valida.
    > >
    > > Nello specifico si puo' vedere che il 99%
    > degli
    > > spammatori indicati sono del tutto inutili
    > (aka
    > > il js che iniettano nella tua pagina non
    > serve
    > > alla fruizione del servizio), ergo un uso
    > banale
    > > di no-script li tiene fuori dal
    > > collioni.
    >
    > io sono uscito dal tunnel di no-script: mi ero
    > rotto di aggiungere eccezioni. Ci vorrebbe una
    > lista di eccezioni predefinite come le liste di
    > adblock.
    >
    > Esistono?
    mhh non comprendo la domanda... nel senso ..noscript -alla grossa- ha 2 liste, gli fqdn fidati e i non fidati. sono fqdn salvabili/caricabili. ma di default GIUSTAMENTE la lista dei fidati e' MOLTO corta (e anzi c'e' troppa gente ).
    Cio' di cui reputa di fidarsi Caio, non e' cio' di cui mi fido io, quindi .. a che pro avere delle liste predefinite da un estraneo (tantopiu' che varia anche sull'ampiezza del dominio... 1,2'liv, host..)?
    E in seconda istanza... cio' di cui mi fido oggi, magari non e' cio di cui mi fido domani (es: lo spam di facebook sparpagliato nei -mila siti deve stare a cuccia di default... ma se domani mi devo loggare proprio su FB, me lo abilito)
    Il tutto e' -come dicevo- detto grossolanamente, xche si possono fare setup piu' "fini" e/o integrati tra le due categorie (con ABE, il clickjacking ecc). noscript cmq ha effettivamente 2-3 cose noiose nel setup (non granulare e/o trooopo hackish) che mi piacerebbe mettessero, ma cmq...
    non+autenticato
  • - Scritto da: bubba
    > - Scritto da: domanda
    > > - Scritto da: bubba
    > > > vecchia lezione, sempre valida.
    > > >
    > > > Nello specifico si puo' vedere che il 99%
    > > degli
    > > > spammatori indicati sono del tutto inutili
    > > (aka
    > > > il js che iniettano nella tua pagina non
    > > serve
    > > > alla fruizione del servizio), ergo un uso
    > > banale
    > > > di no-script li tiene fuori dal
    > > > collioni.
    > >
    > > io sono uscito dal tunnel di no-script: mi ero
    > > rotto di aggiungere eccezioni. Ci vorrebbe una
    > > lista di eccezioni predefinite come le liste di
    > > adblock.
    > >
    > > Esistono?
    > mhh non comprendo la domanda... nel senso
    > ..noscript -alla grossa- ha 2 liste, gli fqdn
    > fidati e i non fidati. sono fqdn
    > salvabili/caricabili. ma di default GIUSTAMENTE
    > la lista dei fidati e' MOLTO corta (e anzi c'e'
    > troppa gente ).
    >
    > Cio' di cui reputa di fidarsi Caio, non e' cio'
    > di cui mi fido io, quindi .. a che pro avere
    > delle liste predefinite da un estraneo (tantopiu'
    > che varia anche sull'ampiezza del dominio...
    > 1,2'liv, host..)?
    >
    > E in seconda istanza... cio' di cui mi fido oggi,
    > magari non e' cio di cui mi fido domani (es: lo
    > spam di facebook sparpagliato nei -mila siti deve
    > stare a cuccia di default... ma se domani mi devo
    > loggare proprio su FB, me lo
    > abilito)
    > Il tutto e' -come dicevo- detto grossolanamente,
    > xche si possono fare setup piu' "fini" e/o
    > integrati tra le due categorie (con ABE, il
    > clickjacking ecc). noscript cmq ha
    > effettivamente 2-3 cose noiose nel setup (non
    > granulare e/o trooopo hackish) che mi piacerebbe
    > mettessero, ma
    > cmq...

    forse è cambiato un po' dall'ultima volta che l'ho usato, non c'era niente di default.

    tuttavia star lì ad indovinare quale script abilitare per far funzionare un sito non è mai stata una mia passione. Meglio rendere il brower più anonimo possibile e cancellare tutti i dati di navigazione ad ogni sessione.

    Ah si c'era un'altra cosa che mi dava fastidio: si aggiornava due o tre volte al giorno.
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 6 discussioni)