VPNはあなたを救うことはありません：SuperCookiesを介して個人データが収集される方法

トーマス・ダニング氏は、「300パーセント[利益]で、たとえ絞首台の痛みだけであっても、彼[資本]が危険を冒さないという犯罪はない」と述べた。 19世紀に話されたこれらの言葉は、今日でも関連しています。インターネット上でビジネスを行う企業は、ユーザーをスパイするためのより洗練された方法を発明しています。 



Cookieの歴史は、プライバシー侵害に関連するいくつかのスキャンダルを経ており、Cookieを使用したブラウザの動作は徐々に変化し、ようやく文明化されたチャネルに入ったようです。私たちはデータを保護することを学び、クッキーを食べることは比較的安全になりました。



しかし、その後、Supercookiesが登場しました 。文字通りバイパスできないかなり粘着性のあるものです。 



実際に スーパークッキー特定のテクノロジーではなく、個人情報を収集および保存するさまざまな手段の総称であり、既知の制限をひそかに回避して機能します。スーパークッキーとは何か、どのように正確にデータを収集するか、そしてどのようにスーパークッキーから身を守るかを見てみましょう。

開発者の素朴さが個人データを収集するための基盤をどのように作成したか 

サイトデータをローカルに保存するというアイデアは、インターネットの黎明期に生まれました。当初、Cookieテクノロジーは非常に優れた目標を追求していましたが、ほとんどのプロトコルやテクノロジーと同様に、セキュリティをあまり気にせず、将来のネットワーク開発の実際の規模を想像できない理想主義者によって作成されました。 



これらの問題は、コンピューターが大きく、プログラマーがややナイーブだったときに始まりました。たとえば、セルラーネットワークの脆弱性の1つは、同じ素朴な理由から発生しました。SS7の 恐怖と恐怖です。 



クッキーも付いています。ユーザーがカートに追加した商品を記憶し、ページにアクセスするたびにパスワードを入力する必要がなく、サイトの外観などを記憶するというアイデアは素晴らしいです。何がうまくいかない可能性がありますか？



統計は広告のための一口です。ユーザー、サイトでのユーザーの行動、商品の選択の好み、ページで費やした時間に関する情報。ビジネスマンはそれのために何でもする準備ができており、広告戦略はそれに応じて構築されています。 



最初のアラームは1996年に発生しました。 Cookieが導入されてからわずか数年後、FinancialTimesはプライバシーへの脅威に関する記事を新聞に掲載しました。





米国連邦取引委員会が1996年と1997年に実施した調査の結果、Cookieが指定されました。その規定の1つは、サードパーティのCookieを完全にブロックするか、少なくともデフォルトでは機能しないようにすることでした。



 ユーザーのアクションを密かに監視する機能に加えて、最初のバージョンには他の欠点がありました。たとえば、それらは傍受されて置き換えられ、別のユーザーのパスワードを使用してサイトにアクセスするために使用される可能性があります。 Cookieの操作が進化する過程で、Cookieの使用に関するポリシーを強化するいくつかの指令が発行されました。たとえば、Cookieの操作期間を制限します。 



その後、Cookieは個人データと同等になり、ユーザーに関する情報を収集するための要件が​​徐々に厳しくなり、最もばかげて厄介な決定が行われました。サイトでCookieが使用されているというポップアップ通知と、この事実に同意する提案です。一部のブラウザではこれらのバナーを設定から削除する機能が含まれているため、すべての人がひどくなり、迷惑な警告をブロックするためにいくつかの拡張機能が作成されました。

Flash-Supercookieが個人データを収集する方法

スーパークッキーは当初、不快で潜在的に危険でした。通常のCookieとは異なり、それらのソースは特定のサイトアドレスからではなく、上位レベルのドメインからのものでした。たとえば、サイトhabr.comにバインドする代わりに、Cookieファイルがcomドメイン名に割り当てられ、このドメインゾーン内の任意のサイトでのユーザーの作業を制御できます。この可能性は非常に明白だったため、最初からブラウザによってブロックされていました。しかし、他の方法で個人情報を保存する方法があったとき、この名前は記憶され、それは固執しました。



非常に長い間、インターネットサイトで洗練されたインタラクション（ビデオ、アニメーションバナー、ブラウザゲームの表示）を提供する機能は、Flashテクノロジーの助けを借りてほぼ独占的に可能でした。悪名高いAdobeFlash Playerはプロセッサに大きな負荷をかけ、発生したエラーを適切にキャッチできなかったため、ブラウザがクラッシュして速度が低下しました。さらに、エンジンには、あらゆる種類の攻撃者によって容赦なく悪用された多くの脆弱性が含まれていました。 



営利企業は手段の選択において悪党と大差ないので、ユーザーに関する情報を収集するためにフラッシュの機能を使用することを躊躇しませんでした。このために、「ローカル共有オブジェクト」と呼ばれるテクノロジー "（LSO、ローカル共有オブジェクト）。もともとは、たとえば、ブラウザのフラッシュゲームの進行状況を保存したり、オーディオプレーヤーの音量を調整したりすることを目的としていました。 LSOは、Flash Playerを参照しているため、さまざまなブラウザから利用できます。彼らの助けを借りて、ユーザーが削除した場合、通常のhttp-cookieを復元でき、LSO自体の中に、コンピューターユーザーに関して収集された多くの情報を保存できます。 



長い間、このテクノロジーはセキュリティの専門家の注意を引くことはありませんでしたが、2009年にジェレミーカークはプライバシー問題に関する彼の研究を発表しました： 研究：AdobeFlashクッキーは厄介なプライバシー問題を提起します..。徐々に、サードパーティの拡張機能がFlash Cookieを制御および削除するように見え始めましたが、不器用なブラウザメーカーとAdobeはこの問題に急いで気づきませんでした。主流のブラウザがこれらのCookieを通常のCookieと同じように操作することを学んだのは2011年のことでした。 



しかし、結局、リークが多く動きの遅いFlashプレーヤーがようやく全員を獲得し、HTML5が十分に普及したため、Flashテクノロジーを完全に取り除くことができました。彼らは彼を長い間そして痛々しいほど殺しました、製造会社は非常にゆっくりとその発案を放棄しました。 2012年、アドビは約10年以内にテクノロジーのサポートを終了することを約束しました。 2017年に、サイトからFlashPlayerを削除する期限が発表されました-2020年12月。同社によれば、この3年間は、開発者がサイトをHTML5に適応させるために必要でした。 1か月前にこの期間が終了し、プラグインがどこからでも削除されているという迷惑な警告がすべてのブラウザに表示され始めましたが、これについてユーザーに通知する理由は明確ではありません。サイトの内部構造の複雑さに特に興味がない人。



これに関して、フラッシュクッキーのトピックは完全に使い果たされたと見なすことができます。 リソースの現在のバージョンがロードされたものと異なるかどうかに関係なく、リクエストに応答するHTTPヘッダーの識別子の1つであるETagに



基づくスーパーCookieは、ほぼ同じように機能しました 。これらのCookieは、Flash-Supercookieとほぼ同時期に発見され、2011年の訴訟の後、比較的まれでした。 

HTTPスーパークッキー：VerizonとAccessがデータをサイレントに販売する方法

Cookieを介してユーザーをスパイする方法はFlashだけではありません。 



これらのデータ収集と取引の両方の話は、一般ユーザーがテクノロジーの複雑さを実際に理解していなかったという事実のために可能でした。セキュリティスペシャリストは熱心に警告を発しましたが、彼らは耳を貸さず、非常に長い間、HTTP接続のプライバシーにほとんど注意が払われていませんでした。 



SSL暗号化を使用しないHTTPプロトコルは、非常に長い間使用されてきました。SSL証明書は支払われ、時にはまったく安くはありませんでした（一部の企業は100ドル以上で販売していました）。 2番目の理由は、使用の複雑さです。これで、1つのスクリプトを実行することで証明書がインストールおよび更新され、MozillaがLet'sEncryptイニシアチブを開始する前に 、すべての管理者がSSLのインストール方法を学ぶ必要があると考えたわけではありません。



しかし、その間、ISPは、HTTPを介してユーザーを追跡する機能を悪用して広告主に販売していました。 



それはかなり洗練された方法で機能しました。ユーザーがサイトにアクセスすると、プロバイダーはHTTPヘッダーに特別な情報を挿入しました。UIDH（一意の識別子ヘッダー）はユーザーごとに一意であり、ページを開いたコンピューターまたはスマートフォンを完全に一意に識別できます。このような操作には、センセーショナルなDPIテクノロジーが使用されました 。 



問題は、すべてがインターネットアクセスサービスプロバイダーの側で行われるため、ユーザーがこのプロセスに実質的に影響を与えないことでした。 IDは、リクエストがサイトに向かう途中でブラウザを離れた後に埋め込まれます。 



このスーパーCookieの情報はローカルに保存されないため、削除できません。広告ブロッカーも何もできません。 UIDHは、ブラウザがアクセスするサイトのアドレスとリクエストの時間に加えて、ユーザーがインターネットを閲覧している携帯電話番号、リクエストの時間、その他のデータに関する情報を送信できます。



ユーザーを追跡するこの方法を含む最も有名なスキャンダルは、米国の携帯電話プロバイダーであるVerizonに関係しています。 Verizonは2012年にUIDHを使用してパーソナライズされた広告を配信し、顧客の個人データを積極的に取引し始めました。同社がこの事実を公に認めたのは2014年のことであり、その言及はWebサイトのQ＆Aの奥深くに埋め込まれていました。それにもかかわらず、これは気づかれ、ユーザーに対するそのような恥知らずな態度に対する批判の嵐がVerizonに降りかかりました。 2015年、同社はユーザーの個人アカウントに設定を追加して、デバイスでのUIDHの使用を無効にすることを余儀なくされ、2016年にようやく終了しました。 FCCは会社に135万ドルの罰金を科しました。 



残念ながら、Verizonだけではありません。  Access



社 は、特別なWebサイトAmibeingtracked.com（現在のアドレス：www.accessnow.org/aibt/）を作成し、 テストに同意した携帯電話ユーザーのHTTPヘッダーの分析を開始しました。リクエストの15.3％にスーパーCookieが含まれていることが判明しました。世界中のユーザーが参加しました。ほとんどすべての主要な携帯電話会社がこの方法でユーザーをフォローしていることが判明しました。 



先に述べたSSLの普及により、この方法が適切でなくなったという理由だけでVerizonが後退した疑いがあります。そして、法案が数億ドルに達する最近の独占禁止法の罰金と比較して、金額は印象的ではないようです。ベライゾンはPDの販売からはるかに多くのお金を稼いだ可能性があります。 



さらに、HTTPSプロトコルを介して動作するサイトは、このような監視から保護できるだけでなく、VPNを介したサーフィンも可能であることに注意してください。この場合、プロバイダーはUIDHを代用することもできません。両方の保護方法が関連しており、最近のカーペットロックは多くのコンピュータリテラシーを教えており、多くの人々がVPNについて学びました。

HSTS-Supercookie：SSLが私たちを救わない理由

暗号化は盗聴に対する保護を提供するはずですが、これはプライバシーを保証するものではないことが判明しました。次の方法は純粋に学術的で、ほとんど実用的ではなく、2015年にこのメカニズムを実証したRadicalResearchのSamGreenhalghの洗練された実証です。



これは、ブラウザのサイトごとに、HTTPSまたはHTTPを介してユーザーがサイトにアクセスした方法の状態を格納する特別なブール変数があるという事実に基づいています。たとえば、ユーザーが最後にHTTPS経由でサイトhabr.comにアクセスし、サイトflibusta.isにHTTP経由でアクセスしたとき（残念ながら、これはライブラリ管理者の動きが遅いために関連しています）。ブラウザには次のようなデータがあります。

habr.com: 1;
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

また、flibusta.isはHSTSデータベースには記載されません。 



したがって、00-hsts-supercookie.net、01-hsts-supercookie.net、02-hsts-supercookie.net、03-hsts-supercookie.netの形式の複数のドメインを登録できます。 



次に、サイトに入るときに、ユーザーごとに一意のテンプレートに従って「Cookie」への呼び出しを生成し、ブラウザーのHSTSデータベースにフォームの値を含むテーブルを形成するスクリプトを記述します。

00-hsts-supercookie.net: 1;

02-hsts-supercookie.net: 1;
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
    

次に、「cookies」のデータを読み取り、データベースにないサイトを0に置き換えます。この例では、番号1010が形成されます。2つまたは3ダースのサイトを登録すると、理論的にはサイトにアクセスできるすべてのサブスクライバーに一般に一意の識別子を提供するのに十分です。 



公平を期すために、ブラウザ開発者がこの情報に反応し、Cookieがこのテーブルのデータとともにクリアされることに注意してください。しかし、このフラグに加えて、最近のブラウザは他の多くの情報を保存します。これについては以下で説明します。 

HTML5-スーパークッキー

進歩は進んでおり、HTML5は自信を持ってインターネットを征服し、Flashは廃止されました。新しい標準の機能により、以前はアクセスできなかったページに奇跡を起こすことができます。しかし、インターネットはより安全になりましたか？残念だけど違う。



これらのテクノロジーはすべて、ブラウザーの固有の「デジタル指紋」を形成するための多くの情報を提供します。 



最新のサイトにアクセスする場合は、HTML5の機能を使用します。つまり、ユーザーエージェント、キャンバスサイズ、画面の解像度と色深度、システムフォントなどの情報が、適切にレンダリングするためにサイトに送信されます。ブラウザで..。さらに、HTML5標準では、Cookieをクリアしたり、履歴にアクセスしたり、ブラウザのキャッシュを使用したりするための通常のメニューではユーザーが利用できない特別なストレージであるLocalstorageにデータを保存できます。



ブラウザがwww.deviceinfo.meのサイトに送信するすべてのものを見ることができます 。入力してみてください-情報の量は印象的です！ 



送信されたすべての情報を比較し、特定のデバイスが他の多くの中でどれほどユニークであるかを計算するサイトもあります。たとえば 、非営利の人権団体Foundation Electronic Frontier（Electronic Frontier Foundation、EFF）によって宣伝されているサイトcoveryourtracks.eff.orgにアクセスした ところ、次のことがわかりました。

結果



ブラウザのフィンガープリントは、過去45日間にテストされた300,802の中で一意であるように見えます。



現在、お使いのブラウザには、少なくとも18.2ビットの識別情報を伝える指紋があると推定されています。



この結果を得るために使用した測定値を以下に示します。私たちの方法論、統計結果、およびフィンガープリントに対するいくつかの防御について詳しくは、こちらをご覧ください。

理論的には、プロキシまたはVPNとプライベートブラウザモードを使用することで、ブラウザの一意性をわずかに減らすことができると考えられています。残念ながら、これはあまり役に立ちませんでした。Operaに組み込まれているVPNを介してプライベートタブで得られた結果は、ほぼ同じ結果をもたらしました。 

結果



ブラウザのフィンガープリントは、過去45日間にテストされた300,854個の中で一意であるように 見えます。



現在、お使いのブラウザには、少なくとも18.2ビットの識別情報を伝える指紋があると推定されています。



この結果を得るために使用した測定値を以下に示します。私たちの方法論、統計結果、およびフィンガープリントに対するいくつかの防御について詳しくは、こちらをご覧ください。

30万台に1台のデバイスが海にあり、数億台のスマートフォンやデスクトップが浮かんでいますが、隠れ場所があります。

キャッシュ-スーパークッキー：キャッシュを介してユーザーを認証する高度な方法

ユーザーをスパイするもう1つの方法は、キャッシュされた情報の高度な使用です。一部のサイトはページで同じ画像を使用し、ブラウザはデータをキャッシュすることでディスク容量と帯域幅を節約します。画像またはフォントを一度ダウンロードしてから、ローカルストレージからロードします。この技術はインターネットと同じくらい古いものですが、それでもあるユーザーを別のユーザーと区別する方法がありました。



たとえば、トラッカーは一意のIDを単一のサイトからキャッシュされた画像にエンコードします。もう1つは同じ画像を使用し、ユーザーが2番目のサイトにアクセスすると、トラッカーはキャッシュされた画像からIDを抽出します。



異なるサイトのキャッシュを分離することで、このようなスーパーCookieと戦うことができます。 1週間前、Firefoxチームは 報告しましたこのメカニズムが85バージョンのブラウザに含まれていること。キャッシュされたデータの量は増加しますが、ユーザーの追跡はより困難になります。

今後、どのようなクッキーが提供されますか？

このすべての闘争は正しいように思われます。プライバシーは、現代の世界では、どうしても私たちから引き離そうとしているものです。顔やナンバープレート認識サービスに接続されたカメラは長い間現実のものとなり、犯罪者を捕まえてスピード違反の切符を発行します。モバイル事業者向けのDPIは、残りの少数のトレントクライアントのトラフィックを形成し、帯域幅を減らして、YouTubeビデオを視聴している他のクライアントの邪魔にならないようにします。ブロックされた「禁止」サイト。



私は最近、ロシアの小さな町で、監視カメラの助けを借りて、孤独な通行人を殴って楽しんでいるゴプニクのグループを捕まえ、警察に言わないように脅迫したという話を聞きました。パトロール隊員が現場に駆けつけたとき、ゴプニクは安全を気にせず静かに立っていたが、車から降りた警官は質問すらせず、関係者全員をひねっただけだった。殴打を撮影したカメラは彼ら全員を顔で認識し、追加の証言は必要なかったからです。



したがって、広告会社がインターネット上で私たちの行動を追跡することはとても怖いですか？



わかりにくい。それは監視だけではなく、迷惑な「パーソナライズされた」取引です。一方で、私の記憶では、「広告」とマークされた検索結果からの広告オファーを一度だけ使用しました。何年にもわたって、人々は「バナーブラインド」を開発し、広告ブロッカーがなくても、この方法はもはやうまく機能しません。一方、Google、Amazon、またはAliExpressでの高い検索関連性は、私たちの活動を追跡する巧妙なトラッカーのおかげで機能します。



しかし、ほとんどの人は不思議な話を思い出すことができます。実際の会話や電報チャットで商品のカテゴリについて言及し、数分後、スマートフォンは議論されたもののバナーを含むサイトを表示しました。そして、最も厄介な革新は、ボタンを押して同意するまで消えないCookieの使用に関する警告をクロールアウトすることです。 



それは良いですか悪いですか？おそらくどちらでもない。それは当たり前になり、プライバシーは幻想です。