Prohlížeč Brave odstraní striktní ochranu před otisky prohlížeče. Jednak to rozbíjí spoustu webových stránek a také to používá pouze asi jen 0,5 % uživatelů.
Tím se ale tito uživatelé také nechtěně identifikují pro webové stránku a striktní ochrana má tedy spíše opačný efekt. Stejně kontraproduktivní bude i striktní ochrana v jiných prohlížečích, například ve Firefoxu.
(zdroj: bleepingcomputer)
Ke stejnému jsem došel s LibreWolf, což je fork Firefoxu s vyšší fingerprinting odolností. Dosahuje toho mj. "zkriplením" základní funkcionality tak, abych vypadal jako typický BFU na windows, např.
- stránka se nevykresluje v plné velikosti ale trošku v menším pod-okně, které má rozměry nějakého typického chromu na typické menší obrazovce s typickým windows dockem a dekoracemi. Pamětníkům připomenu hru DOOM ve zmenšeném výřezu, aby se to nesekalo na 386... tak vypadá LibreWolf :-)
- všechno je na pevno s light theme, nelze na stránkách aktivovat dark theme
- timezone a další locale je vždy kdesi v USA, takže na stránkách narážím na fahrenheity, stopy, míle, am/pm, MM/DD/YY a podobné středověké nesmysly
- posílá to user agent chromu na windows, což jednak křiví statistiky a jednak to občas rozbije funkci webu, který podle toho posílá upravený frontend
... a přes tohle všechno mě stejně FP detektory unikátně identifikují i napříč restarty, změnami IP adres i kompletní wipe profilu prohlížeče. Identifikují mě jak syntetické detektory (např. amiunique), tak ty praktické (pornhub mi nabízí můj úzce specifický content i když mám kompletně nový firefox profil :-)
Je to prostě marné, dokud si libovolný web může ke mě poslat spustitelného agenta a oboustranně s ním komunikovat, tak mě bude moct nějak identifikovat. NoScript je jediná 100% funkční ochrana, ale web pak v podstatě nefunguje.
Tak on ani není problém v tom, že vás identifikuje jeden web, ale v tom, že vás identifikuje někdo, kdo má hodně dat. Kouzlo je hlavně v tom propojování. Pochopitelně i ten, kdo má dat málo je může prodávat ale už je to celé podstatně komplikovanější i méně přesné. Takhle mám dlouhé roky a roky důkladně vypnutý třeba (a nejen) Facebook a když jsem tam pak chtěl zřídit účet kvůli Marketplace, prý že neexistuju a ať jim pošlu doklady totožnosti... (Účet tam atokonto nemám dodnes.)
Horší je, že třeba Google úplně odstřihnout prakticky nelze protože na jeho službách doslova závisí kdejakej blbě napsanej web.
Místo NoScript používám ublockorigin, tam je jednodušší vyklikat externí části webu, které jsou potřeba a web potom funguje normálně. Jen si člověk musí pohrát se skoro každou stránkou.
Nějak nechápu vývojáře v tom, že používají externí fonty, ajax, gstatic, bootstrap, node.js a další když musí vědět, že každá z těchto služeb doluje data z webu na který to nasadí.
Google mi nevadí u komerčních služeb, ale k**va proč je to například potřebné na stánce identitaobcana.cz nebo dron.caa.cz k registraci majitele dronu atd.
(Mimochodem je to je také důvod proč nedodržuji zákon a registraci drona jsem odmítl.)
Tak node.js bežne v client-side nenájdeš, aj keď už existuje riešenie, ako to na client-side spustiť (viď StackBlitz (WebContainers)), takže to píšeš nezmysel. Ajax je tiež len technológia na komunikáciu medzi clientom a serverom. Ajax rozhodne problém nie je. Skôr je problém ako je to použité...
to je ako keby si sa sťažoval že výrobcovia predávajú nože, ktoré môžu byť použité ku vražde.
Osobně mám Gůgl
na blacklistu, a pokud na tom něco závisí, tak
a) se bez toho obejdu a jdu jinam,
b) milostivě to na chvíli povolím.
Nejhorší je všudypřítomná CAPTCHA, která o sobě nedá ani vědět, takže člověk netuší, proč se na ouřední stránku nemůže probojovat. (Pak to zapnu - a po půl hodině marných pokusů přesvědčit tu potvoru, že nejsem robot, to zase vypnu.)
experimentoval jsem také s takovýmito věcmi až mi došlo, že prostě izolaci na svoji stanici neudělám, čím více to ohradím, tím více to bude unikátní.
Pro různé experimenty a penetrační testy mám běžný notebook za 10tis, internet přes lte, windows bootuji z iscsi z snapshotu (každý restart se dostane do původního stavu), v něm prohlížeč, vzdálenou plochu (používám rustdesk).
Paradoxně největší problém dělají samotné prohlížeče, ona totiž kombinace IP (AS), jazyku, rozlišení a verze prohlížeče (který prostě svoji verzi propaguje do hlaviček a mění se měsíčně) dělají nevětší problém.
Každopádně pořád takovouhle stanici rád používám, protože mám plně pod kontrolou její zatížení, provoz, změny na FS po spuštění různých aplikací nebo stránek. Mohu si tak dělat snapshot síťového provozu a stavu na disku pro pozdější analýzu.
Já používám NoScript - ne proto, abych znemožnil sledování, ale především proto. že na některých stránkách tvoří sledovací prvky 75 % stahované velikosti a 80 % zátěže CPU. (Pravda, někdy to trumfne reklama.)
Takže se držím striktního pravidla: povolím jen scripty ze stejné domény, na kterou lezu. (Pár výjimek to pravidlo má, ale opravdu jen pár.)
Jenomže oni vás nesledují protože jim jde o vaše prachy. To bych samotné snad ještě pochopil. Oni vás sledují proto, aby ty prachy z vás mohl dostat někdo jiný. Jakkoliv i to je na hraně, za hranou je hlavně to, že o toho "někoho jiného" navíc opravdu nestojíte a stejně vás sleduje.
Ve slušné společnosti se tomuhle říka "šmírování".
