[KacperSzurek]

Jak to się dzieje, że sklepy proponują nam to – czego kilka dni temu szukaliśmy w Internecie?
Wykorzystuje się do tego mechanizm browser fingerprinting. #od0dopentestera
Sporo osób myśli, że aby stać się niewidzialnym wystarczy uruchomić tryb prywatny.
Ale to nie do końca prawda. Mechanizm ten sprawia, że przeglądarka nie przechowuje historii oraz ciasteczek.
Ale istnieją inne, mniej znane mechanizmy mogące rozpoznać użytkownika i jego komputer.
Co można zrobić z tym informacjami?

Jeżeli przeglądałeś materiał na blogu na temat samochodów, jest spora szansa, że jesteś nimi zainteresowany. Może nawet rozglądasz się za nowym pojazdem.
To cenna informacja dla reklamodawców. Jeżeli tylko mogą rozpoznać, że osoba korzystająca z danej przeglądarki jest zainteresowana motoryzacją, to salony samochodowe mogą chcieć wyświetlić takiej osobie reklamy nowego modelu.
Konieczny jest zatem mechanizm przechowywania unikalnego identyfikatora użytkownika w przeglądarce.
Ten identyfikator jest następnie pobierany i wysyłany do serwerów firm reklamowych wraz z informacją o stronie, na której obecnie jesteś.
W taki sposób można stworzyć Twój wirtualny profil – to co lubisz, co Cię interesuje, w jakim mniej więcej wieku jesteś.
W przeszłości używano do tego celu ciasteczek – ale dziś ta metoda praktycznie nie działa.
Pojawiły się nowe.
Korzystasz z Adblocka? Jego zadaniem jest blokowanie reklam. Ale każdy z nas może skonfigurować ten program w nieco inny sposób.
Reklamy są blokowane na podstawie list a każdy z nas może mieć włączone inne listy.
Osoby z Polski najprawdopodobniej będą korzystały z tych, które blokują reklamy w naszym Internecie a Niemcy – takie, przystosowane do ich języka.
Obecność blokerów można wykryć. Jak? Za pomocą kodu JavaScript tworzymy nowy element na stronie. Jego nazwa jest specjalna i pokrywa się z tą, która jest blokowana przez daną listę.
Po paru milisekundach sprawdzamy, czy element, który właśnie stworzyliśmy – nadal istnieje na stronie.
Jeśli go nie ma – znaczy to, że został usunięty przez Adblocka.
Posiadając listę unikalnych nazw elementów, możemy tak sprawdzić z jakich list korzysta Internauta.
Ale to nie koniec.

Przeglądarki mogą posiadać różne czcionki.
Nie istnieje API, które zwróciło by nam listę czcionek obsługiwanych przez daną przeglądarkę.
Ale możemy posłużyć się pewną sztuczką.
Za pomocą kodu CSS możemy zdefiniować jakiej czcionki ma użyć przeglądarka do wyświetlenia naszego tekstu.
Jeżeli taka czcionka jest obsługiwana – tekst zostanie wyświetlony właśnie z jej pomocą.
Jeżeli czcionka nie istnieje w danym systemie – przeglądarka wykorzysta standardowy font.
Za pomocą kodu JavaScript możemy sprawdzić szerokość i wysokość elementu div, w którym znajduje się nasz tekst.
Ponieważ wielkości liter w każdej czcionce delikatnie różnią się między sobą – ten sam tekst zapisany innym fontem najprawdopodobniej będzie miał różną szerokość i wysokość.
Posiadając listę czcionek, możemy sprawdzić, które z nich są obsługiwane przez daną przeglądarkę.
Takich pojedynczych metod na sprawdzanie przeglądarek jest dużo więcej.
Osobno nie za wiele nam mówią. Ale jeśli połączymy je razem okazuje się, że są wystarczająco unikalne.
No bo jeżeli dana przeglądarka posiada font A i C oraz listę D i G z adblocka – to ile podobnych komputerów jest na świecie?
Chcesz zobaczyć więcej? Sprawdź mój materiał na ten temat.

Chcesz otrzymywać takie materiały na swój email? Dołącz do newslettera.
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Subskrybuj kanał na YouTube lub dołącz do kanału na Discord.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#ciekawostki #security #polska #bezpieczenstwo #gruparatowaniapoziomu #informatyka #programowanie #programista15k #javascript #webdev

[KacperSzurek]

Wołam zainteresowanych z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

[KacperSzurek]

[KacperSzurek]

[KacperSzurek]

[jaj0]

@KacperSzurek: dzięki, za ciekawe info, dobra robota.

[szukammamy]

@KacperSzurek: super ciekawa informacja. Czy można się przed tym jakoś ustrzec? Zwłaszcza na smartfonach?

[r0k0]

@szukammamy:
https://blog.mozilla.org/firefox/how-to-block-fingerprinting-with-firefox/
https://www.privacytools.io/

[DestroDevil]

@KacperSzurek czy fingerprint to po polsku palec w dupie?

[X.....9]

@KacperSzurek: mi spamują ciągle seksszopami i laskami na jedną noc
a patrze na różne strony nie tylko pornusy

[Finsky]

@KacperSzurek: wpis bardzo ciekawy, natomiast ja jestem o wiele bardziej ciekaw jak to jest, że social media i przeglądarki potrafią mi proponować reklamy na podstawie czego NIE wyszukiwałem w internecie xD tj. np sytuacja w której byłem z mamą w sklepie meblarskim pomóc jej wybrać nową kanapę, pobuszowaliśmy trochę, skupiliśmy się na jednej, parę dni później gdy wróciłem już na swoje śmieci dostaję propozycję dokładnie tej samej kanapy którą widziałem w

[kaktvs_]

@Finsky: lokalizacja w tel pewnie

[Trust_Me_Im_Engineer]

@Finsky: korzystałeś z wifi u niej w domu? Jeżeli tak to Twoje urządzenie jest pewnie uznawane za jej urządzenie

[Finsky]

@Trust_Me_Im_Engineer: tak, brałem to pod uwagę, bo mój brat który wrócił ze studiów ze względu na koronę ma profilowanie totalnie mamine na fb, co jest dla mnie bardzo zabawne xD tylko że to nie jest jedyna taka sytuacja, ta jest przykładowa, zdarzało mi się, że proponowane mi były narzędzia lub środki czystości, po tym jak rozmawiałem o tym z kimś, reklamy pojawiały się dzień-dwa później. Oczywiście może to być przypadek, ale

[przemek-sobota]

@ochar: ok, wiem jak działa odcisk palca przeglądarki, ale jak on jest wykorzystywany w praktyce? Wchodzę do sklepu, oglądam towar, sklep ma mój odcisk i wie czym się interesuję. Jak jest to zrealizowane, że na innej stronie, nie związanej ze sklepem jest reklama sklepu i konkretnego towaru? Jak działa ten remarketing? Google zapisuje fingerprinty na stronie czy mozna wyeksportować do google ads jakoś pary fingerprint i towar?

[suvroc]

@przemek-sobota: Google Analytics zbiera info na temat stron które odwiedza user w postaci pary (fingerprint - identyfikator klienta, strona).
Każda strona jest kategoryzowana przez Google w zależności od treści i od tego jak i gdzie się pozycjonuje w wyszukiwarce.
Na podstawie tego Google zna preferencje danego Klienta: w 70% czyta o samochodach (czytał już o Volvo - 20%, Skoda - 50% i Seat - 30%) i w 30% o butach.
Następnie

[przemek-sobota]

@suvroc: czyli wszystko jest robione automatycznie przez Google. Zastanawiałem się czy można jakoś wykorzystać fingerprinty samemu, pewnie da się tylko śledzić powracających userow i wyświetlać im treści, którymi się interesowali, ale raczej nic więcej

[suvroc]

@przemek-sobota: Siłą Google jest to, że jego skrypty śledzące istnieją na wielu innych stronach.
Samemu możemy to zrobić tylko w zakresie naszej strony. Tak jak było to opisane w poście @KacperSzurek