Появились первые версии Firefox с функцией запрета слежения

Появились первые версии Firefox с функцией запрета слежения

Mozilla выпустила первые тестовые версии популярного Интернет-обозревателя Firefox, в которых доступен функционал запрета слежения за пользователем ("do-not-track"). Все те, кому хотелось бы  опробовать новые возможности браузера в действии, могут загрузить и установить соответствующую альфа-сборку.



PCWorld напоминает, что на минувшей неделе Mozilla раскрыла свои планы относительно введения в функционал грядущей версии обозревателя Firefox - 4.0 - особой подсистемы, которая должна стать оптимальным решением для пользователей Сети, не желающих, чтобы их активность в Интернете отслеживалась рекламодателями. Не далее как вчера разработчики уведомили общественность о том, что новая функция (или, правильнее сказать, первая попытка ее реализации) уже вошла в состав последних тестовых сборок, и при желании ее можно проверить в работе.


Стоит отметить, что альфа-версии (сотрудники Mozilla называют их "nightly builds" - "вечерние сборки") предназначены только для проверки функционала; уровень их стабильности ниже, чем у бета-выпусков.


Включить новую подсистему можно в настройках обозревателя: на вкладке "Расширенные настройки" необходимо установить отметку напротив фразы "Сообщать сайтам о запрете на отслеживание".


Механизм "запрета" прост: при включении этого режима каждому сайту будет посылаться особый сигнал. Сейчас он выглядит как "DNT: 1" (ранее предполагалось, что команда будет иметь вид "X-Do-Not-Track"). В теории, получив такой сигнал от обозревателя, ресурс Интернета должен будет отказаться от любых попыток отследить активность пользователя; иными словами, функционал полагается на добрую волю создателей веб-сайтов, которые, возможно, установят на сервере соответствующие настройки.


Разработчики Mozilla признали, что пока видимый эффект от включения новой подсистемы может не наблюдаться: вряд ли на данный момент какие-либо ресурсы Сети вообще способны распознать сигнал "запрета", не говоря уже о его обработке.


По мнению экспертов, потребность в "сотрудничестве" с операторами веб-сайтов (т.е. ожидание проявления доброй воли с их стороны) является основным изъяном этой системы. Многим организациям прекрасно известно, что практика сбора данных о пользователях без их ведома является довольно сомнительной с точки зрения этики, и что Федеральная комиссия США по торговле уже начинает принимать меры по борьбе с этой практикой, но, тем не менее, они продолжают заниматься слежкой за пользователями Сети. Соответственно, было бы несколько наивно ожидать, что они по собственной воле откажутся от этой деятельности только лишь на основании чьей-либо просьбы, которая юридически их ни к чему не обязывает.

" />

Сайты научились следить за пользователями через задержки в работе SSD

У сайтов появился новый способ шпионить за пользователями. Исследователи описали атаку под кодовым названием FROST, которая позволяет веб-страницам отслеживать активность человека через едва заметные задержки в работе SSD.

Полное название техники — Fingerprinting Remotely Using OPFS-based SSD Timing.

Работает она так: сайт загружает в браузере специальный JavaScript, работает с файловым хранилищем OPFS и внимательно смотрит, как меняется время операций чтения с накопителя.

По этим микрозадержкам можно понять, какие сайты открыты у пользователя в других вкладках и даже какие приложения запущены на устройстве.

И да, пользователю для этого почти ничего не нужно делать. Достаточно просто открыть сайт, на котором размещён атакующий код. Никаких кликов, разрешений и подозрительных загрузок, всё происходит тихо и незаметно.

 

В основе FROST лежит принцип атаки по сторонним каналам. Разные процессы обращаются к одному и тому же SSD, создают нагрузку, а атакующий сайт измеряет задержки при собственных операциях ввода-вывода.

Затем эти данные прогоняются через заранее обученную свёрточную нейросеть, которая пытается распознать активность пользователя по характерным следам.

Особенно неприятно здесь, что атака работает прямо из браузера. Предыдущие атаки такого типа на SSD обычно требовали более низкоуровневого доступа, а FROST обходится возможностями современных веб-платформ. Браузеры давно перестали быть просто окошками для сайтов: сегодня в них крутятся офисные пакеты, редакторы фото и видео, IDE и другие тяжёлые веб-приложения.

Для работы FROST используется OPFS — Origin Private File System, изолированное файловое хранилище, которое сайт может создать для своих задач. Формально оно находится в песочнице и отделено от других сайтов и системы. Но этого оказалось достаточно, чтобы измерять задержки операций чтения и строить по ним отпечаток активности.

Правда, у техники есть серьёзные ограничения. Атакующему сайту нужен очень большой OPFS-файл, скорее всего, размером от гигабайта и выше. Массовая эксплуатация такого трюка быстро стала бы заметной: пользователи могли бы увидеть странный расход дискового пространства. Кроме того, файл должен находиться на том же SSD, активность которого пытаются анализировать. Для вкладок браузера это обычно не проблема, а вот приложения на другом накопителе FROST уже не увидит.

Исследователи полноценно проверили атаку на macOS-устройстве с чипом M2. На Linux они показали, что базовый механизм измерения задержек SSD из JavaScript тоже работает, но полный сценарий атаки не запускали. Windows в исследовании не тестировали.

RSS: Новости на портале Anti-Malware.ru