Методы деанонимизации пользователя и способы защиты от них

Привет, друзья!

Вопрос сохранения анонимности в арбитраже трафика крайне актуален. Это важно и для получения адекватной аналитики, и для того, чтобы не получить бан на рекламной платформе, и даже для проведения независимого аудита на предмет шейва. Однако даже при всей этой важности многие арбитражники почему-то считают, что для сохранения анонимности достаточно заходить через прокси или VPN – якобы это сделает их неузнаваемыми в сети. Увы, это не так – существует уйма способов деанона, часть из которых мы и осветим в нашем сегодняшнем подкасте.

Браузерные фингерпринты

Подключаясь к любому веб-ресурсу с помощью браузера, пользователь автоматически передает запрашиваемую этим ресурсом информацию. К таковой может относиться USER-Agent (то есть ПО девайса, версия браузера, используемая ОС и многое другое), настройки локализации (используемый язык, местное время, национальная валюта и т.д.), размер экрана, поддержка технологии HTML 5, установленные в браузер плагины, подключенные шрифты и так далее. Анализируя одну лишь эту информацию, владелец сайта может идентифицировать пользователя с точностью от 90% и выше. Обязательно уделите внимание настройкам своего браузера и запретите передачу информации, которая позволит вас деанонимизировать. Либо же используйте специальные антидетект-браузеры, вроде Tor, Indigo, OCTOBROWSER или их аналогов. В противном случае вас сможет идентифицировать абсолютно любой ламер, имеющий минимальные познания в теме.

Идентификация по MAC-адресу

Здесь все просто. MAC-адрес – это уникальный идентификатор вашей сетевой карты. По простоте получения владельцем веб-ресурса и степени идентификации МАС-адрес стоит на одном уровне с IP-адресом. Вот только если IP-адрес арбитражники маскируют, то про MAC-адрес почему-то забывают. Просто установите программу для рандомизированной генерации MAC-адресов, либо включите соответствующую функцию в вашем смартфоне, если она есть. 

Идентификация по cookie

Освещение этой темы достойно не то, что подкаста, а полноценной научной работы. Однако немного ясности все же постараемся внести. Во-первых, обязательно запретите в браузере сторонние куки – они абсолютно не нужны для работы веб-ресурса и используются исключительно с целью сбора информации. Во-вторых, тщательно анализируйте, каким сайтам вы разрешаете записывать куки-файлы. Подумайте, стоит ли его посещение возможных рисков. В-третьих, установите автоочистку куки после каждого закрытия браузера. Да, это немного неудобно – зато за вами никто не будет следить.

Деанонимизация через видеокарту

Абсолютно все гаджеты, способные выводить на экран трехмерную графику, имеют видео-ядро. Это может быть как полноценная видеокарта, вроде тех, что используются для игр или работы с 3D-графикой на стационарных ПК, так и встроенные в процессор графические чипы, вроде тех, что применяются в лэптопах или смартфонах. Однако это не важно – важно то, что пользователя можно идентифицировать по его видео-ядру. Делается это до банальности просто – в сайт встраивается невидимый графический элемент. В процессе его обработки графическим ядром, сайту отправляется техническая информация, вроде «отрисовка такого-то элемента заняла столько миллисекунд», «такая-то графическая технология не поддерживается» и т.д. Так как у всех видеокарт и графических ядер разные характеристики, эта информация позволяет с 99% точностью определить тип вашей видеокарты либо графического ядра, что в свою очередь может быть использовано для деанона в дальнейшем. Обязательно отключайте поддержку браузером WebGL, либо используйте специальный софт для подмены такой информации, если хотите сохранить анонимность.

Деанон через кэш

Кэш браузера, буфер обмена (в особенности у смартфонов), незавершенные веб-сессии – все это также может быть использовано для вашей деанонимизации. Так, например, в кэш браузера может быть загружена картинка с зашифрованным уникальным номером. Для вас это будет лишь картинка. Однако для владельца сайта – полноценный ID. Причем очистка куки его не удалит – нужно чистить именно кэш. Аналогичная ситуация с буфером обмена. Это в особенности актуально, если речь об Android-устройствах, где буфер хранит несколько десятков скопированных значений. Обязательно полностью очищайте кэш, иначе ни о какой анонимности речи быть не может.

Помимо того, что мы сегодня рассказали, также существует множество других методик деанонимизации. Чего только стоит «экзотика» вроде деанона через анализ частоты нажатия клавиш или следящие за перемещением МАС-адресов коммерческие wi-fi колпаки в крупных городах. Чуть больше информации по теме, причем в довольно простом для усвоения виде, можно получить для себя вспомнив то, как работает ретаргетинг – в его основе ведь, по сути, тоже лежит деанонимизация. Надеемся, мы помогли вам понять, что одними лишь прокси да VPN вопрос сохранения анонимности не решается – это вечная гонка между теми, кто следит, и теми, кто хочет избежать слежки. Не ленитесь изучать сабж, будьте бдительны, думайте, какие разрешения даете очередному веб-ресурсу, и да прибудет с вами анонимность!

Удачи, друзья!