Anonymita na webu se nejspíše stane ještě větší iluzí než dříve, výzkumníci z pensylvánské Lehigh University totiž demonstrovali novou techniku (PDF) fingerprintingu prohlížeče a počítače, která rozpozná surfaře nikoliv pouze podle jeho prohlížeče, ale rovnou počítače.
To znamená, že i když surfař změní prohlížeč a namísto Chromu použije třeba Firefox nebo Edge, tato identifikační technika bude tušit, že to je stále on, spočítala totiž jedinečný identifikátor (fingerprint) přímo pro jeho počítač.
Jak se to výzkumníkům podařilo? Jednoduše tak, že do hry zapojili maximum možných proměnných.
Nejjednodušším fingerprintem by mohl být vedle IP adresy podpis webového prohlížeče, tzv. User Agent, který na Windows 10 a v Chromu vypadá třeba takto:
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36
Je v něm sice hromada informací – proměnných, ale nejsou příliš unikátní, takový podpis mají totiž i další surfaři s Chromem a Windows.
Nejprimitivnější identifikátor bychom mohli postavit čistě na základě informací, které o sobě prozradí prohlížeč (tedy třeba název operačního systému, verze prohlížeče, rozlišení obrazovky, lokalizace atp.). Problém spočívá v tom, že podobné informace nejsou příliš unikátní a tedy ani fingerprint nebude dostatečně jedinečný.
V minulosti tedy vývojáři přišli se sofistikovanějšími technikami, které pracují i s tím, jaké doplňky prohlížeč používá aj., čímž se jedinečnost fingerprintu dramaticky zvýší. Stále je to však jen otisk prohlížeče a nikoliv systému.
Klíč spočívá v přístupu k CPU a GPU
Výzkumníci z Lehighu proto zapojili do hry desítky dalších proměnných a to pomocí WebGL. Díky WebGL může prohlížeč vykreslovat a akcelerovat 3D grafiku, do hry se tedy v plné síle zapojí grafická karta a procesor.
Fingerprinting pomocí WebGL. Pomocí nejrůznějších 3D úloh vznikne otisk prstu počítače pomocí jeho výkonu, který záleží nejen na hardwarové výbavě, ale i té softwarové.
Výkon přitom bude ovlivněn nejen hardwarovou specifikací, ale i aktuální zátěží, která je dána mimo jiné další softwarovou výbavou na počítači. Výkon GPU bude jednoduše řečeno trošku jiný na mém počítači s Windows 10 a X aplikacemi běžícími na pozadí, než na počítači sice s naprosto identickým GPU čipem, ale s Windows 7 a Y běžícími aplikacemi na pozadí.
Abych to neroztahoval, výsledný fingerprint z daleké Pensylvánie je sakra jedinečný a vy si to můžete ověřit v praxi na webu uniquemachine.org. Nejprve spočítejte otisk prstu počítače v jednom prohlížeči a pak v druhém. Pokud budou v obou případech stejné a na odlišném počítači jiné, skript vás dokáže na internetu odlišit od ostatních.
Dva různé prohlížeče, ale jeden počítač. Web uniquemachine.org to odhalil, Computer fingerprint je totiž v obou případech stejný. Pokud by byl skript součástí hromady webů (třeba v reklamním kódu), mohl by mě tedy autor sledovat nehledě na prohlížeč, který k surfování použiji.
Panika ale zatím není na místě, program totiž na průměrném starším notebooku generuje fingerprint poměrně dlouho – i déle než minutu, zatím je tedy opravdu jen experimentální a v praxi nepříliš použitelný. Kdyby však běžel třeba v kódu nějakého reklamního skriptu, který se zpracovává napříč všemožnými weby, autor by vás mohl sledovat při cestování internetem nehledě na cookies a prohlížeč, protože byste měli na jednom počítači stále stejný fingerprint.
Nutno podotknout, že surfaři nejednoho českého kabelového operátora včetně autora bleskovky mají doma beztak pevnou IP adresu, čili k jejich sledování není podobný pokročilý fingerprinting vlastně vůbec potřeba – tedy pokud nebudou surfovat schovaní za VPNkou.
