Anonymita používatel'a v internete

Abstract

Abstrakt: Sledovanie používatel'a internetu a analyzovanie jeho správania sa je cˇoraz cˇastejším javom. Jednou zo základných techník sledovania používatel'a je stopovanie jeho webového prehliadacˇa. V tomto cˇlánku predstavíme teoretické východiská, rozoberieme niekol'ko základných techník a predstavíme vlastný systém na detekciu odtlacˇkov prehliadacˇov a histórie nimi navštívených stránok s ciel'om cˇo najpresnejšie identifikovat' používatel'a internetu. Pri tvorení systému na deanonymizáciu sme kládli dôraz na jednoduchost' implementacˇného riešenia založeného na bežných webových technológiách ako PHP, CSS, JavaSript a Flash. Ciel'om predstavovaného výskumu je ako využit' jeho výsledky v oblasti bezpecˇnosti (ochrana súkromia cˇi ochrana systémov pred kyber útokmi) , tak aj využit' nazbierané dáta pre dôkladnejšiu analýzu návštevnosti web stránok. Na overenie navrhnutého systému sme tento nasadili na stránky Univerzity Komenského v Bratislave a jej fakultách, cˇo nám umožnilo nazbierat' dostatocˇné množstvo dát a v konecˇnom dôsledku zárovenˇ pomohlo získat' dôležité informácie o návštevnosti a správaní sa používatel'ov na jednotlivých stránkach univerzity. Ako ukazujú výsledky nášho výskumu, identifikovanie používatel'a cez jeho prehliadacˇ, cˇi zistenie jeho histórie, môže uskutocˇnit' l'ubovol'ná web stránka. Za sledované jednomesacˇné obdobie sme boli schopní jednoznacˇne identifikovat' 75.74% z 225 154 prehliadacˇov a 10.01% prehliadacˇov umožnilo detekciu histórie.

-

Strata anonymity pre niektorých l’udí znamená vážny problém. Väcˇšina z nich si neuvedomuje, že k nej môže dôjst’ rôznymi spôsobmi. Oblasti záujmu a informácie o jednotlivých používatel’och sa dajú dobre zistit’ aj cez známe internetové vyhl’adávacˇe ako Google, Bing atd’. Internetové vyhl’adávacˇe vedia kategorizovat’, prípadne dostatocˇného množstva dopytov aj identifikovat’, používatel’ov podl’a sémantiky vyhl’adávacích dopytov a zobrazovat’ výsledky, ktoré by mali byt’ pre nich zaujímavejšie.

Pomocou dobre mierených dopytov sa dá dostat’ i k citlivým informáciám ako sú emailové adresy, zle nakonfigurovaným alebo k zranitel’ným serverom. Pre odhal’ovanie takýchto dopytov bol vyvinutý framework SearchAudit (vid’ [ 1 ]). Identifikuje škodlivé dotazy z logov rozšírených vyhl’adávacích strojov s úmyslom odhalit’ ich spojitost’ s potencionálnym útokom. Špecializované dotazy môžu útocˇníkom odhalit’ vel’mi konkrétne informácie z vyhl’adávacˇov, ktoré by vlastnými nástrojmi len vel’mi zložito získavali, navyše im poskytuje urcˇitú mieru krytia.

Dˇalším zo spôsobov využitia deanonymizacˇnej techniky je deSEO (vid’ [ 2 ]). Autori tohto cˇlánku vytvorili systém deSEO, ktorý odhal’uje SEO útokom. deSEO je systém na automatické detekovanie útokom nakazených výsledkov vyhl’adávania bez skúmania obsahov webových stránok. Za dobu trvania experimentu a preskúmania stoviek miliárd URL adries z vyhl’adávacˇov Bing a Google dosiahli zaujímavé výsledky: 1. deSEO identifikoval viacero skupín škodlivých URL.

Každá z týchto škodlivých skupín korešpondovala s kampanˇou ovplyvnˇujúcou tisícky URL. 2. deSEO je schopné identifikovat’ SEO kampane, ktoré používajú zložité techniky ako je cloaking a majú meniacu sa štruktúru liniek. 3. Odvodenie signatúr regulárnych výrazov na detekciu škodlivých URL skupín umožnilo zistit’, že až 36% všetkých výsledkov hl’adania Googlu a Bigu obsahujúci vo svojich top výsledkoch asponˇ jeden škodlivý link.

Systém HostTracker (vid’ [ 3 ]) využíva ID odvodené z logov aplikacˇnej vrstvy, s ciel’om vytvorit’ jedinecˇné identifikátory host-a a sledovat’ väzby host-ov s IP adresami. HostTracker bol nasadený na jednom z najväcˇších poskytovatel’ov emailovej komunikácie, kde dokázal 76% udalostí v logoch systému priradit’ používatel’ovi a 92% z nich dokázal vysledovat’. Pocˇas jednomesacˇného nasadenia odhalil 12,6 milióna úcˇtov botov s chybou false positive 0,4%. Za toto obdobie pomohol zablokovat’ 20,8 milióna škodlivých úcˇtov.

Projekt Panopticlick (vid’ [ 4 ]) podáva zaujímavé výsledky o tom, že aj po 2 428 097 identifikovaných prehliadacˇoch, stále dokážu unikátne identifikovat’ nové. Toto je priamy dôkaz toho, kol’ko informácií sa dá z nich dozvediet’. Autor cˇlánku uvádza, že ich identifikacˇný systém dokáže úspešne identifikovat’ až 94,2% prehliadacˇov. Problém updatu prehliadacˇa jednotlivých používatel’ov dokázali vyriešit’ jednoduchou heuristikou, kde využívajú 85% zhodu starého a nového odtlacˇku. Táto heuristika im dokázala správne zaradit’ až 99,1% odtlacˇkov. Najväcˇšiu entropiu v tomto projekte dosahovali doplnky a fonty.

Dˇalší podobný výskum, ale vo väcˇšej miere, prebehol na pôde Microsoftu (vid’ [ 5 ]), kde analyzovali a porovnávali IP adresy, informácie prehliadacˇa, cookies a používatel’ské prihlasovacie ID nazbierané pocˇas jedného mesiaca z Hotmailu a Bingu. Podl’a zistení 60% – 70% návštevníkov sa dalo identifikovat’ s použitím iba user agent ret’azca. S pridaním IP adresy sa úspešnost’ zvýšila na 80%. User agent ret’azec spolu s IP adresou mali v tomto výskume väcˇšiu entropiu, 20,29 bitov, ako kombinácia doplnkov prehliadacˇa, rozlíšenia, cˇasovej zóny a systémových fontov.

V súcˇasnej dobe sa stále zvyšuje záujem používatel’ov internetu o sociálne siete, s ktorými tiež súvisí deanonymizácia. Spojenie skupín v sociálnych siet’ach s detekciou histórie v prehliadacˇi viedlo k jednoznacˇnej identifikácii 42% používatel’ov (vid’ [ 6 ]). O prepojení informácií z viacerých sociálnych sietí píšu autori v (vid’ [ 7 ]), kde dokázali prepojit’ tisícky úcˇtov rôznych sociálnych siet’ach a tým zhromaždit’ viac súkromných informácií o používatel’och. Zaujímavému a cˇoraz aktuálnejšiemu prepojeniu sociálnych sietí a mobilných zariadení sa venujú výskumi (vid’ [ 8 ] a [ 9 ]).

1.1 k-anonymita

S deanonymizacˇnými technikami nevyhnutne súvisia aj ich inverzné techniky – anonymizacˇné. Tieto sa snažia upravit’ citlivé dáta tak, aby ich cˇast’ mohla byt’ bezpecˇne zverejnená. S týmto problémom sa cˇasto v praxi stretávame pri lekárskych záznamoch. Kompletné lekárske záznamy sú vysoko súkromné údaje, ku ktorým by mali mat’ prístup iba kompetentné osoby. Na druhej strane je pre všeobecný prospech vedecká analýza týchto dát, ktorá môže pomôct’ odhalit’ negatívne trendy. Jednoduché odstránenie identifikátorov (napr. rodné cˇísla, cˇíslo sociálneho poistenia) a mien z takýchto záznamov nezarucˇuje, aby sa znovu nedali identifikovat’ konkrétny l’udia.

Výskum ohl’adne anonymizácií citlivých dát viedol k formalizovaniu prístupu nazvaného ako k-anonymita (vid’. [ 10 ] a [ 11 ]). Tento prístup sa zakladá na výbere podmnožiny atribútov, kvázi-identifikátorovQI, danej tabul’ky v databáze, ktoré sp´lnˇajú podmienku k-anonymity. Podmienka k-anonymity Všetky zverejnené dáta musia byt’ také, že každá kombinácia hodnôt z kváziidentifikátorov môže byt’ nepriamo zhodná asponˇ s k záznamami.

Samotná k-anonymita sa definuje ako:

k-anonymita Nech T (A1, A2, ..., Am) je tabul’ka a nech QI je kvázi-identifikátor zviazaný s T . Hovoríme, že T sp´lnˇa k-anonymitu s ohl’adom na QI vtedy a práve vtedy, ked’ každá sekvencia hodnôt T [QI] sa vyskytuje v T [QI] asponˇ k-krát.

Dˇalšou možnost’ou anonymizácie je generalizovanie údajov daného atribútu. Napríklad vynechanie posledných dvoch cˇísel v PSCˇ . Týmito spôsoby sa môže cˇast’ citlivých údajov zverejnit’ d’alším výskumom bez toho, aby bola porušená anonymita pôvodných dát.

Avšak, ani vyššie uvedená k-anonymita nemusí vo všeobecnosti zabezpecˇit’ úplnú anonymitu údajov, a teda vylúcˇit’ budúcu deanonymizáciu. Útoky na k-anonymitu sú založené na d’alších informáciach, ku ktorým sa útocˇníci môžu dostat’. Napríklad použitím anonymizovaných lekárskych a volebných údajov obyvatel’ov sa dajú získat’ o niektorých pacientoch úplné informácie (vid’. [ 12 ]). Ochranu proti takémuto útoku zabezpecˇuje silnejšia podmienka na anonymitu `-Diversity.

Pre náš výskum bolo zaujímavé prepojenie nášho detekcˇného systému s teóriou k-anonymity na zistenie stupnˇa anonymity daného prehliadacˇa. Tento prístup rozpracovávame v cˇasti výsledky.

1.2 Zhrnutie analýzy

Z uvedených príkladov je zrejmé, že deanonymizacˇné techniky majú vel’ký význam v pocˇítacˇovej bezpecˇnosti, a to hned’ z dvoch dôvodov. Jednak ako narušenie súkromia a odhal’ovanie identít používatel’ov útocˇníkmi a jednak na odhal’ovanie útocˇníkov, ktorí sa snažia narušit’ bezpecˇnost’ systému. Rôznych spôsobov deanonymizácie je niekol’ko. V našom projekte sme sa rozhodli vytvorit’ systém na deanonymizáciu používatel’ov internetu za pomoci zachytávania odtlacˇkov a histórií prehliadacˇov. Pri analýze nazbieraných dát zase využijeme k-anonymitu na urcˇenie anonymít prehliadacˇov.

Pre stále rastúci pocˇet užívatel’ov, ako aj webových stránok, cˇi aplikácií, sme si dali za ciel’ zistit’, ako dobre sa dá bežný užívatel’ internetu identifikovat’. Pri každom dopyte na webovú stránku, webový prehliadacˇ za sebou zanecháva stopy – odtlacˇky, podl’a ktorých ho možno d’alej sledovat’. V niektorých kombináciách typu prehliadacˇa a operacˇného systému je možné z prehliadacˇa zistit’ aj cˇast’ histórie navštívených stránok. 1.3

Organizácia cˇlánku

V prvej cˇasti sme opísali viacero prístupov a využití deanonymizacˇných techník. V druhej cˇasti popisujeme architektúru a cˇinnost’ vytvoreného detekcˇného systému. Dˇalšia, tretia cˇast’ sa venuje analýze nazbieraných dát. V nej prehl’adne prezentujeme najzaujímavejšie dosiahnuté výsledky. V predposlednej, štvrtej cˇasti, vyvodzujeme závery a objasnˇujeme niektoré dosiahnuté výsledky, v ktorej predkladáme aj niekol’ko usmernení pre aplikacˇnú prax, t.j. rád pre používatel’ov ako ostat’ na internete cˇo najviac anonymný. V poslednej cˇasti predstavujeme plány do budúcna a d’alšie možnosti využitia implementovaného systému. 2

Detekcˇný systém

Prezentovaný výskum o anonymite sme zavr´šili vytvorením systému na detekciu návštevníka webovej stránky, teda na získavanie otlacˇkov jeho prehliadacˇa, ktorého principiálnym znakom je jednoduchost’ riešenia. Funkcˇné riešenie, ktoré sa nám podarilo implementovat’ do podoby jedného <iframe>, je založené na bežných webových technológiách ako PHP, JavaScript a Flash.

Z vyššie uvedeného vyplýva, že podobný detekcˇný systém si môže v dnešnej dobe naprogramovat’ každý tvorca webových stránok. Tento fakt je pre nás výskum dôležitý, lebo dokazuje schopnost’ l’ubovolnej internetovej stránky identifikovat’ užívatel’ov prehliadacˇ. Tieto dáta sa dajú následne z viacerých stránok spájat’ a tak budovat’ pomerne presný pohyb užívatel’a.

Jednoduchost’ a štandardnost’ riešenia nám zárovenˇ odstranˇuje problém s oznacˇením nášho systému za škodlivý. Pri použití d’alších technológií ako napríklad Java Appletov by sa dalo pristúpit’ k d’alším zaujímavým informáciám, akými sú odhadnutie výpocˇtového cˇi zobrazovacieho výkonu daného zariadenia. Tieto vlastnosti sú aj pri rovnakých zariadeniach (napríklad mobilných zariadeniach jedného typu) cˇiastocˇne rozdielne. Ich výkon totiž závisí aj od rozdielnej verzie systému a najmä od aplikácií bežiacich na pozadí. Nevýhodou tohto riešenia je, že niektoré prehliadacˇe (IE 10+ a Chrome) sú prednastavené, aby podobný obsah blokovali a oznamovali to používatel’ovi. Ten následne môže bud’ daný prvok zakázat’, alebo povolit’. Takéto správanie systému, na cˇasto navštevovanej stránke ako je univerzitná stránka, nebolo žiaduce, na cˇo sme pri vývoji museli brat’ dôraz.

Dˇalším prvkom, ktorý by mohol byt’ užitocˇný pri identifikácii používatel’a, je poloha jeho zariadenia. Moderné mobilné zariadenia môžu svoju polohu poskytnút’ navštívenej stránke pre zobrazenie relevantnejšieho obsahu. Aj pri tejto technológii je však obdobný problém ako s Appletmi, nakol’ko používatel’ musí toto poskytnutie informácie o polohe potvrdit’ súhlasom. 2.1

Otlacˇky

Odtlacˇky sú informácie, ktoré za sebou používatel’, resp. jeho webový prehliadacˇ, zanecháva. Podl’a rôznych kombinácií zozbieraných informácií z odtlacˇkov vieme následne identifikovat’ daný prehliadacˇ. Za predpokladu, že bežný užívatel’ používa iba jeden cˇi dva obl’úbené prehliadacˇe 1, je pomerne dobre vystopovatel’ný.

Samozrejme, neexistuje zarucˇený spôsob ako prepojit’ viaceré prehliadacˇe daného používatel’a bez prihlásenia sa do systému, ktorý by jednoznacˇne identifikoval užívatel’a. Sú prípady, kedy by odhalenie danej súvislosti bolo možné. Napríklad, ak existujú stránky, ktoré sú navštevované niektorými prehliadacˇmi cˇastejšie v istých cˇastiach dnˇa 2 alebo ojedinelá kombinácia navštívených stránok.

Dˇalšia možnost’ prepojenia viacerých prehliadacˇov k jednému užívatel’ovi, môže viest’ cez detekciu histórie. Avšak, táto možnost’ je omedzená iba na niektoré prehliadacˇe.

V našom systéme zbierame 38 rôznych odtlacˇkov. Tie najvýznamnejšie uvádzame tu:

1jeden vo svojom notebooku a druhý v mobile

2cez pracovnú dobu z pocˇítacˇa v práci, po nej z mobilu, alebo z pocˇítacˇa doma www….uniba.sk <iframe> so scriptami

PHP script

JavaScript Generovanie odkazov

Získanie základných informácii

FlashScript pre detekciu fontov CSS Uloženie údajov do

DB

Ajax Ukladanie histórie do SESSION

Obr. 1: Architektúra detekcˇného systému

User Agent obsahuje mikroverziu prehliadacˇa, verziu operacˇného systému, jazyk, toolbary a obcˇas aj d’alšie informácie, ktoré sa líšia s použitým prehliadacˇom.

Hlavicˇky HTTP ACCEPT

Povolenie cookies

Farebná h´lbka obrazovky

Cˇ asová zóna

Doplnky prehliadacˇov

Rozlíšenie obrazovky sa dá zist’ovat’ v dvoch smeroch a to: rozlíšenie celej obrazovky a rozlíšenie prehliadacˇa.

Systémové fonty sa dajú zist’ovat’ za pomoci flashu. Ten má prístup k ich zoznamu. Okrem zistenia jednotlivých fontov je zaujímavý už len ich pocˇet, ktorý sa od používatel’a k používatel’ovi mení. Identifikácia fontov v podobe, ako ju používame, nefunguje na mobilných zariadeniach.

Test na partial supercookie cˇi sa dajú vytvorit’ cookie

domény 1. úrovne.

Trieda CPU dá sa zistit’ iba v niektorých prehliadacˇoch. História dá sa sledovat’ najmä prehliadacˇoch Opera a v

Interne Exploreri vo Windows XP. 2.2

Architektúra

Vyvinutý detekcˇný systém využíva niekol’ko webových technológií. Prepojenie jednotlivých cˇastí je znázornené na obrázku 1.

Systém je nasadený na jednotlivých stránkach pomocou jedného <iframe>. V nˇom sa sa spúšt’ajú všetky skripty, ktoré odchytávajú jednotlivé odtlacˇky. Dôležitou podmienkou je, aby vel’kost’ <iframe> bola asponˇ jeden pixel. V prípade, ak táto podmienka nebude splnená, v <iframe> sa nicˇ nevyrenderuje a skripty sa nezavolajú. Tým, že sme umožnili, aby <iframe> mal minimálnu vel’kost’ iba jeden pixel, sme sa nestretli s tým, aby narušil dizajn stránky, a teda môže byt’ široko používaný.

Základné otlacˇky ako meno, verzia prehliadacˇa, IP adresa, URL navštívenej stránky, sa zist’ujú pomocou PHP. Snažili sme sa, aby sme pomocou PHP odchytávali cˇo najviac odtlacˇkov pre prípad vypnutého JavaSriptu. JavaSript odchytáva väcˇšinu d’alších otlacˇkov, z ktorých najvýznamnejší je zoznam rozšírení (pluginov) prehliadacˇa. Flash sa využíva na detekciu nainštalovaných fontov v OS. 2.3

História

Na zist’ovanie histórie sa požíva špeciálne CSS, ktoré formátuje odkazy na vybrané stránky. Ak je stránka odkazu navštívená, prehliadacˇ ju naformátuje pomocou pseudotriedy visited, ktorá sa odvoláva na náš detekcˇný systém.

Zist’ovanie histórie navštívených webových stránok má viacero zaujímavých využití. Okrem lepšej identifikácie užívatel’a používajúceho viaceré prehliadacˇe, prípadne aj operacˇné systémy, sa dajú celkom dobre odhadnút’ aj jeho záujmy. Takáto informácia by bola vel’mi žiadaná napríklad v reklamnom priemysle, kde by užívatelia dostali iba reklamy, ktoré by ich mali zaujímat’. Na druhú stranu história sa dá považovat’ za súkromnú informáciu a asi väcˇšina l’udí by ju nechcela zverejnit’. Aj preto sa snažia prehliadacˇe históriu dobre chránit’.

V roku 2010 bol publikovaný cˇlánok Feasibility and real-world implications of web browser history detection (vid’ [ 13 ]), ktorý popisuje zist’ovanie histórie navštívených stránok. Uvádza dve odlišné metódy, ktoré sa zakladajú na CSS štýlovom príznaku visible.

Príznak visible umožnˇuje zvolit’ rozlicˇný štýl pre webové odkazy, ktorých stránky už používatel’ navštívil a ktoré nie. Táto vlastnost’ je pri tvorbe webových stránok pomerne obl’úbená u používatel’ov, ktorí takto vedia zistit’, ktoré stránky z daného menu už navštívili.

Využit’ na detekciu histórie sa dá príznak visible dvomi spôsobmi. Prvý je použitím JavaSrciptu. Konkrétne objektu style a jeho funkcie getPropertyValue. Táto funkcia vracia hodnotu štýlu, ktorý je použitý na nejaký HTML element. Za predpokladu vytvorenia dostatocˇne vel’kej databázy URL najrôznejších stránok, vieme zistit’ na ktorých stránkach z danej databázy užívatel’ bol a urobit’ si tak predstavu o jeho záujmoch. Tento spôsob však bol odhalený a všetky bežne používané prehliadacˇe nedovol’ujú dotazovanie na štýl odkazu, ktorý má nastavený príznak visible.

Druhý spôsob je využitie CSS vlastnosti background, ktorá nastavuje pozadie elementu. Do tejto vlastnosti sa dá vložit’ URL adresa, ktorá môže odkazovat’ na l’ubovol’né umiestnenie. Tým môže byt’ napríklad php skript, ktorý ako výsledok vráti obrázok do pozadia, a zárovenˇ si vie zistit’ pomocou get parametra odkaz, z akej stránky ho zavolal. Aj tento spôsob sa podarilo prehliadacˇom MSIE, Firefox, Chrome a Safari úspešne zablokovat’ tým, že nepodporujú URL v nastaveniach pozadia pre príznak visible. V prehliadacˇoch Opera je táto možnost’ stále otvorená. Jej funkcˇnost’ sme overili vlastným detekcˇným systémom odtlacˇkov.

Príklad štýlu, ktorý v našom systéme používame na zist’ovanie histórie: .n1:visited { color: green; background-image:

url(http://...sk/visited?web=1&user=46); }

Príklad odkazu, ktorý používame na zist’ovanie histórie:

<a href="http://google.com"class="n1»</a> 3

Výsledky

Presnost’ nášho systému sme overovali za pomoci cookies s dlhou exspiracˇnou dobou. Vo výslednej analýze nazbieraných dát sme zret’azili všetky odtlacˇky prehliadacˇa do jedného ret’azca. Vzniknutý ret’azec tvoril pre daný prehliadacˇ identifikátor, pomocou ktorého sme skúmali anonymitu daného prehliadacˇa. Využili sme teóriu k-anonymity, kde sme naše odtlacˇky prehliadacˇa dosadili za kvázi-identifikátor. Vo všeobecnosti sme zistili, že anonymitu prehliadacˇa najviac ovplyvnˇujú odtlacˇky ako rozšírenia prehliadacˇa a systémové fonty. Pocˇty prehliadacˇov sp´lnˇajúcich daný stupenˇ k-anonymity je uvedený v tabul’ke 1.

Systém bol nasadený na všetky stránky fakúlt Univerzity Komenského v Bratislave pocˇas dvoch období. Testovacia 8 dnˇová prevádzka zaznamenala 263 070 zobrazení fakultných stránok s 41 007 prehliadacˇmi. Jednoznacˇne sa nám podarilo pomocou zozbieraných otlacˇkov identifikovat’ 84,93% prehliadacˇov. Históriu sa nám podarilo zistit’ u 13,21%.

Pocˇas ostrého vyše jednomesacˇného nasadenia od 17.12.2012 do 24.1.2013 sme zaznamenali úspešnost’ identifikácie 75.74% z 225 154 prehliadacˇov. Všetky údaje v tomto cˇlánku sú za toto obdobie.

V tabul’ke 1 prehl’adne uvádzame, kol’ko nami zachytených prehliadacˇov sp´lnˇa daný stupenˇ k-anonymity. V prvom st´lpci uvádzame stupenˇ k-anonymity, v druhom pocˇet unikátnych identifikacˇných ret’azcov prehliadacˇov a v tret’om pocˇet prehliadacˇov spadajúcich do daného stupnˇa kanonymity. Prehliadacˇe patriace do prvého riadku tabul’ky vieme jednoznacˇne identifikovat’. Prehliadacˇe v druhom riadku už len s presnost’ou 50% atd’.

10.01% prehliadacˇov sa za skúmané obdobie asponˇ raz prihlásilo z IP adresy univerzity. Pocˇet zobrazených stránok bol 2 334 351 z cˇoho 19.22% tvorili návštevy z IP adPočet návštev ries patriacim univerzite. Pocˇet „migrujúcich“ prehliadacˇov sme zaznamenali 6 495 cˇo tvori 26.30% zo všetkých prehliadacˇov prihlásených z univerzity (24 693).

U 23 503 (10.39%) prehliadacˇov bola zistená história jedného z 18tich odkazov. Ak by sme rozšírili databázu odkazov, vieme pomerne dobre odhadnút’, aké stránky používatelia daných prehliadacˇov navštevujú. Detekciu histórie najviac umožnˇoval Internet Explorer, Opera a Handheld Browser (vid’ obr. 4).

Pomocou nášho systému sa dajú zistit’ aj iné zaujímavé štatistické zistenia ako najpoužívanejšie prehliaObr. 3: Pocˇet zobrazení vybraných stránok FMFI v jednotlivých hodinách Chrome Firefox Internet Explorer Handheld Browser Opera Safari Unknown Browser Maxthon Nokia Browser Konqueror Obr. 4: Zastúpenie prehliadacˇov pristupujúcich na stránky univerzity (vonkajší kruh) a zastúpenie prehliadacˇov pri úspešnej detekcii histórie (vnútorný kruh)

Tabul’ka 2: Najnavštevovanejšie stránky FMFI Pocˇet návštev Názov stránky 3928 AIS2 3020 Štúdium 2539 Bakalárske štúdium 2334 Študijné plány 2269 Bakalárske štúdium 2117 Kritéria pre prijímacie konanie 1895 Štúdium 1720 Aktuálne jedálne lístky 1637 Prvý stupenˇ 1615 Jedálenˇ FMFI dacˇe (Chrome 34.79%, Firefox 33.99%, IE 18.62%), operacˇné systémy (Windows 7 49.69%, Windows XP 28.74%, Windows Vista 7.29%, Android 2.96%, Mac OS X 2.35%), najmenej vyt’ažené dni (24.-25.12.), najaktívnejší prehliadacˇ/používatel’ (11 899, 7 768, 6 049 zobrazení), najnavštevovanejšia stránka univerzity http://www.fphil.uniba.sk/index.php?id=5885 Prijímacie konanie 2013 13072 zobrazení (0.56%), používatelia si zobrazili 2 743 stránok FMFI spolu 150 250 krát, atd’. Výsledky nášho výskumu poukazujú na to, že s pomerne dobrou presnost’ou môže identifikovanie používatel’a, cˇi v niektorých prípadoch zistenie jeho histórie, uskutocˇnit’ l’ubovol’ná web stránka. S porovnaním iných podobných projektov, ktoré sme uviedli v úvode (vid’ [ 4 ] a [ 5 ]), sme dosiahli menšiu úspešnost’. Tento fakt môže byt’ spôsobený nasadením systému v akademickej sfére, kde sa nachádza pomerne vel’a zhodných pocˇítacˇov. Dˇalším dôvodom môže byt’, že uvedené projekty zobrazujú výsledky spred niekol’kých rokov a dnes si vývojári prehliadacˇov dávajú ešte viac záležat’ na rýchlej a cˇastej aktualizácii, ktorá môže ovplyvnˇovat’ naše výsledky.

Úcˇinnost’ takéhoto systému, môže závisiet’ aj od konkrétnej web stránky, pre akých používatel’ov s akými prehliadacˇmi je zaujímavá. Ak stránka zaujme používatel’ov s ojedinelými prehliadacˇmi, cˇi so špeciálnymi rozšíreniami, je vysoká pravdepodobnost’ vel’mi dobrej úcˇinnosti systému.

Takéto identifikovanie prehliadacˇa sa dá následne jednoducho prepojit’ aj s d’alšími informáciami, ktoré na internete poskytujeme. Napríklad prepojenie prehliadacˇa a sociálnej siete cˇi e-mailového úcˇtu by umožnˇ ovalo zistenie komplexných informácií o danom používatel’ovi internetu, od jeho osobných údajov až po jeho aktivity v internete. 4.1

Ako o sebe prezradit’ menej

Ideálne pre zabezpecˇenie cˇo najväcˇšej miery anonymity pri prezeraní webového obsahu by bolo, používat’ najpoužívanejší prehliadacˇ webových stránok, s najrozšírenejším nastavením a množinou doplnkov, ktoré má najviac jeho používatel’ov. Dˇalší dobrý spôsob je následne použit’ jeden z anonymizérov, ktorý všetku komunikáciu presmeruje cez sériu proxy serverov. Otázkou samozrejme zostáva, kto je v pozadí takéhoto programu. Na internete sa ich dá nájst’ pomerne dost’ aj v podobe open source. Šest’ takýchto aplikácií je recenzovaných v cˇlánku [ 14 ].

Dˇalšou možnost’ou je používat’ prehliadacˇ s najprísnejším bezpecˇnostným nastavením, bez povolenia cookies, ukladania histórie, zakázaného JavaSriptu, nenainštalovaných žiadnych rozšírení, dokonca ani Flash, ci Java. Niektoré z týchto vlastností dnes všetky bežne používané prehliadacˇe podporujú pod súkromným prezeraním. Samozrejmost’ou je spúšt’anie všetkej komunikácie, cez niekol’ko proxy serverov. Týmto spôsobom sa síce st’aží stopovanie daného prehliadacˇa, ale vel’a webových aplikácií nebude vôbec funkcˇných, a aj obsah stránok môže byt’ vel’mi obmedzený.

Aj napriek tomuto sa dá užívatel’ vystopovat’ a identifikovat’ pomocou jeho dotazov a prezeraných stránok, napríklad v rozšírenom vyhl’adávacˇi. 5

Plány do budúcna V našom výskumnom projekte sa aj nad’alej zaoberáme novými deanonymizacˇnými technikami, ktoré postupne zapracovávame do vytvoreného a implementovaného systému s ciel’om zvýšit’ jeho presnost’. Skúmame d’alšie možnosti identifikácie a dlhodobo by sme chceli zistit’, napríklad kol’ko terajších uchádzacˇov o štúdium následne v septembri navštívi univerzitu, so svojimi prehliadacˇmi.

Náš systém je zárovenˇ aj ideálnou možnost’ou pre analyzovanie efektívnosti propagacˇných akcií na univerzite, cˇi na jednotlivých fakultách. V tejto oblasti rozvíjame spoluprácu s Centrom Informacˇných Technológii (CIT) Univerzity Komenského v Bratislave.

Vyvinutý systém by sme chceli použit’ aj na d’alšie praktické aplikácie, napríklad ako sledovanie správania sa používatel’a na stránkach a odhadovanie jeho záujmov, vyhodnocovanie návštevnosti jednotlivých noviniek na stránkach, dynamické tvorenie webového menu atd’. Literatúra

References

4 Záver

[1] J. P. John , F. Yu , Y. Xie , M. Abadi , and A. Krishnamurthy , “ Searching the searchers with searchaudit , ” in Proceedings of the 19th USENIX conference on Security, USENIX Security'10 , (Berkeley, CA, USA), pp. 9 - 9 , USENIX Association , 2010 .

[2] J. P. John , F. Yu , Y. Xie , A. Krishnamurthy , and M. Abadi , “ deseo: combating search-result poisoning ,” in Proceedings of the 20th USENIX conference on Security, SEC'11 , (Berkeley, CA, USA), pp. 20 - 20 , USENIX Association , 2011 .

[3] Y. Xie , F. Yu , and M. Abadi , “ De-anonymizing the internet using unreliable ids , ” SIGCOMM Comput. Commun. Rev. , vol. 39 , pp. 75 - 86 , Aug. 2009 .

[4] P. Eckersley , “ How unique is your web browser?,” in Proceedings of the 10th international conference on Privacy enhancing technologies , PETS'10 , (Berlin, Heidelberg), pp. 1 - 18 , Springer-Verlag, 2010 .

[5] T.-F. Yen , Y. Xie , F. Yu , R. P. Yu , and M. Abadi , “ Host Fingerprinting and Tracking on the Web: Privacy and Security Implications,” in Proceedings of the 19th Annual Network & Distributed System Security Symposium , Feb. 2012 .

[6] G. Wondracek , T. Holz , E. Kirda, and C. Kruegel , “ A practical attack to de-anonymize social network users,” in Proceedings of the 2010 IEEE Symposium on Security and Privacy , SP ' 10 , (Washington, DC, USA), pp. 223 - 238 , IEEE Computer Society, 2010 .

[7] M. Korayem and D. J. Crandall , “ De-anonymizing users across heterogeneous social computing platforms,” The 7th international aaai conference on weblogs and social media (ICWSM 2013 ), 2013 .

[8] N. D. Lane , J. Xie , T. Moscibroda , and F. Zhao , “ On the feasibility of user de-anonymization from shared mobile sensor data,” in Proceedings of the Third International Workshop on Sensing Applications on Mobile Phones , PhoneSense ' 12 , (New York, NY, USA), pp. 3 : 1 - 3 : 5 , ACM , 2012 .

[9] M. Srivatsa and M. Hicks , “ Deanonymizing mobility traces: using social network as a side-channel,” in Proceedings of the 2012 ACM conference on Computer and communications security , CCS '12 , (New York, NY, USA), pp. 628 - 637 , ACM, 2012 .

[10] V. Ciriani , S. D. C. di Vimercati , S. Foresti , and P. Samarati , “ k-anonymity,” in Secure Data Management in Decentralized Systems , pp. 323 - 353 , Springer US , 2007 .

[11] L. Sweeney , “k-anonymity: a model for protecting privacy,” Int. J. Uncertain. Fuzziness Knowl . -Based Syst ., vol. 10 , pp. 557 - 570 , Oct. 2002 .

[12] A. Machanavajjhala , D. Kifer , J. Gehrke , and M. Venkitasubramaniam , “L-diversity: Privacy beyond k-anonymity , ” ACM Trans. Knowl. Discov. Data , vol. 1 , Mar . 2007 .

[13] A. Janc and L. Olejnik , “ Feasibility and real-world implications of web browser history detection ,” 2010 .

[14] J. Sedlák , “Hlavn eˇ nenápadne,” Computer, vol. 18 , pp. 32 - 34 , Sept. 2011 .