HTML5 staje się narzędziem do śledzenia użytkowników przez reklamodawców

Odkrycia dokonali naukowcy z uniwersytetów w Princeton, oraz KU Leuven. Wykorzystana jest tutaj swoista „luka” w mechanizmie rysowania canvas. Dzięki niej można określić coś, co zostało nazwane „odciskiem palca” przeglądarki bez badania jakichkolwiek identyfikatorów takich jak np. ciąg User-Agent, czy też ciasteczka zapisywane przez strony. Sam element HTML5 Canvas jest nieco inny na każdym komputerze, na jakim zostanie wykonany, bo jest tu wiele zmiennych czynników: inne silniki przetwarzania obrazu, inne opcje eksportu, stopnia kompresji. W efekcie finalny obraz ma inny hash, co pozwala przy jego wyświetlaniu na wielu stronach stwierdzić, że odwiedza je ten sam internauta.

Przykład działania tej techniki możecie sprawdzić na stronie, która opisuje ten nietypowy problem. Warto zadać sobie pytanie, czy jest ona już gdzieś stosowana. Okazuje się, że i owszem. Z listy 100 tysięcy najpopularniejszych stron internetowych na świecie używa jej aż 5,5%. Nie jest to jednak w każdym wypadku zupełnie inna implementacja. Jak mówią wyniki przeprowadzonych testów, w większości wypadków chodziło o wykorzystanie skryptów sieci AddThis.com. Pozwala ona na stworzenie przycisków udostępniania i szybką integrację witryn z sieciami społecznościowymi. Używa jednak takiej opcji śledzenia użytkownika: w niewidocznym (ukrytym) elemencie canvas wyświetla obrazek służący do pomiaru hasha i identyfikacji użytkownika.

Szef AddThis, Rich Harris nie kryje tego, że technika canvas fingerprinting bardzo interesuje jego firmę, bo pozwala na zastąpienie ciasteczek. Eksperymentowanie z nią trwa od początku tego roku. Oczywiście zastrzegł, że wszystkie działania są podejmowane w ramach etyki i przepisów prawa, dodatkowo wykorzystywane jedynie w wewnętrznych celach firmy. Jeżeli użytkownik zdecyduje się na instalację dedykowanego narzędzia, dane zebrane przez canvas nie będą wykorzystywane do personalizacji reklam. To tylko przykład jednej firmy, a skryptów było więcej. Całkiem możliwe, że ta technika zacznie zdobywać wśród reklamodawców coraz większą popularność, bo może być znacznie bardziej skuteczna niż ciasteczka.

Jak to zablokować? Cóż, na nic nie zda nam się blokowanie poprzez Adblocka i filtry usuwające elementy śledzące. Na nic dodatki takie jak Ghostery, na nic również wyłączanie obsługi cookies. Oczywiście firmy, które postanowią skorzystać z takiej opcji zdecydowanie zignorują także opcjonalny nagłówek Do Not Track, poprzez który możemy poprosić o to, aby nas nie śledzono. Ratunkiem może być używanie TORa, tym bardziej, że od czerwca oficjalna przeglądarka informuje użytkownika o takich próbach śledzenia ze strony odwiedzanych witryn. Rozwiązaniem jest także stosowanie bardziej zaawansowanych dodatków jak NoScript dla Firefoksa. Problemem jest to, że wtedy musimy samodzielnie decydować, na działanie których skryptów pozwolimy, a które po prostu zablokujemy. Możemy także skorzystać z eksperymentalnego dodatku Chameleon dla Google Chrome, który ma za zadanie zablokować tego typu działania.

Pewną słabością tej techniki jest skuteczność wynosząca „tylko” 90%, oraz kiepska obsługa urządzeń mobilnych. Trudno jednak wyobrazić sobie ciągłe przeglądanie sieci tylko za pomocą telefonu. Oczywiście AddThis ma zamiar kontynuować swoje badania i umieszczać funkcje odpowiedzialne za śledzenie na kolejnych witrynach (a obsługuje ich przeszło 13 milionów). To kwestia czasu, gdy podobną strategię przyjmą inne firmy.