Bildnachweis: Getty Images
Mozilla hat die Anti-Tracking-Maßnahmen in seinem Firefox-Browser weiter verstärkt. In einem Blogbeitrag wurde gestern bekannt gegeben, dass Firefox 86 über eine zusätzliche Anti-Cookie-Tracking-Ebene verfügt, die in den strikten Modus „Enhanced Tracking Protection“ (ETP) integriert ist und als „Total Cookie Protection“ (TCP) bezeichnet wird.
Dieser „Major Privacy Advance“, wie er es nennt, verhindert Cross-Site-Tracking, indem Cookies von Drittanbietern pro Website gelöscht werden.
Mozilla vergleicht dies mit einer separaten Cookie-Dose für jede Site — so werden z. B. Facebook-Cookies nicht in derselben Wanne gespeichert wie Cookies für die Sneaker-Website, auf der Sie Ihre neuesten Kicks gekauft haben, und so weiter.
Die neue Datenschutzebene „bietet eine umfassende Partitionierung von Cookies und anderen Site-Daten zwischen Websites in Firefox“, erklärt Mozilla.
Zusammen mit einer anderen Anti-Tracking—Funktion, die es letzten Monat angekündigt hat — Targeting so genannte „Supercookies“ – aka Sneaky Tracker, die Benutzer-IDs in „zunehmend obskuren“ Teilen des Browsers (wie Flash-Speicher, ETags und HSTS-Flags) speichern. wo es für Benutzer schwierig ist, sie zu löschen oder zu blockieren, werden die Funktionen kombiniert, um „zu verhindern, dass Websites Ihren Browser „markieren“ können, wodurch die am weitesten verbreitete Cross—Site-Tracking-Technik eliminiert wird“, pro Mozilla.
Es gibt eine „begrenzte Ausnahme“ für Cross-Site-Cookies, wenn sie für Nicht—Tracking-Zwecke benötigt werden – Mozilla gibt das Beispiel beliebter Drittanbieter-Login-Anbieter.
„Nur wenn Total Cookie Protection feststellt, dass Sie beabsichtigen, einen Anbieter zu verwenden, gibt es diesem Anbieter die Erlaubnis, ein Cross-Site-Cookie speziell für die Website zu verwenden, die Sie gerade besuchen. Solche momentanen Ausnahmen ermöglichen einen starken Datenschutz, ohne Ihr Surferlebnis zu beeinträchtigen „, fügt es hinzu.
Das Blockieren von Trackern ist seit langem ein Wettrüsten gegen die Entschlossenheit der Adtech—Branche, Webnutzer weiterhin zu überwachen — und sich die Nase über den Begriff der Zustimmung zum Ausspionieren des Online-Geschäfts von Menschen zu reiben – und Ressourcen in die Entwicklung teuflischer neuer Techniken zu stecken, um zu versuchen, weiter zu beobachten, was Internetnutzer tun. Aber dieser Kampf hat sich in den letzten Jahren verstärkt, da Browser-Hersteller eine härtere Pro-Privatsphäre / Anti-Tracker-Haltung eingenommen haben.
Mozilla zum Beispiel hat bereits 2018 damit begonnen, die Blockierung von Trackern zum Standard zu machen – ETP wurde 2019 zum Standard in Firefox und blockierte Cookies von Unternehmen, die von seinem Partner Disconnect als Tracker identifiziert wurden.
Während Apples Safari-Browser 2017 eine „Intelligent Tracking Prevention“ (ITP) —Funktion hinzufügte, die maschinelles Lernen anwendet, um Tracker zu identifizieren und die Cross-Site-Scripting-Daten zu trennen, um den Browserverlauf der Benutzer vor den Augen Dritter zu schützen.
Google hat auch die Katze unter die Adtech-Tauben gebracht, indem es einen geplanten Ausstieg aus der Unterstützung für Cookies von Drittanbietern in Chrome angekündigt hat — von dem es sagte, dass er innerhalb von zwei Jahren im Januar 2020 kommen würde — obwohl es immer noch an diesem „Privacy Sandbox“ -Projekt arbeitet, wie es es nennt (jetzt unter dem wachsamen Auge der britischen Kartellbehörden).
Google macht seit 2019 Geräusche zur Stärkung der Privatsphäre, da der Rest des Browsermarktes auf Bedenken hinsichtlich des Online-Datenschutzes reagiert.
Im April letzten Jahres wurde eine Änderung rückgängig gemacht, die es Websites erschwert hatte, auf Cookies von Drittanbietern zuzugreifen, und Bedenken angeführt, dass Websites während der Pandemie wesentliche Funktionen ausführen konnten – obwohl dies im Juli wieder aufgenommen wurde. Aber es ist fair zu sagen, dass der Adtech-Riese der Nachzügler bleibt, wenn es darum geht, seinen behaupteten Plan zur Stärkung der Privatsphäre umzusetzen.
Angesichts des Marktanteils von Chrome sind die meisten Webbenutzer der Welt mehr Tracking ausgesetzt, als sie es sonst mit einem anderen, datenschutzfreundlicheren Browser tun würden.
Und wie Mozillas neueste Anti-Cookie-Tracking-Funktion zeigt, ist das Rennen, Adtechs Allergie gegen Privatsphäre (und Zustimmung) zu überlisten, auch nicht die Art, die eine Ziellinie hat. Langsam zu sein, um Datenschutz zu tun, ist wohl nicht sehr anders, als überhaupt nicht viel Datenschutz zu bieten.
Zu wit: Eine besorgniserregende Entwicklung — auf der Nicht-Drittanbieter-Cookie-basierten Tracking-Front – wird in diesem neuen Papier von einer Gruppe von Datenschutzforschern detailliert beschrieben, die eine Analyse des CNAME-Trackings (auch bekannt als DNS-basierte Anti-Tracking-Ausweichtechnik) durchgeführt und festgestellt haben, dass die Verwendung der hinterhältigen Anti-Tracking-Ausweichmethode in knapp zwei Jahren um rund ein Fünftel gestiegen war.
Die Technik hat seit etwa 2019 Bedenken hinsichtlich des „nicht blockierbaren“ Webtrackings geäußert – als Entwickler entdeckten, dass sie von einer französischen Zeitungswebsite in freier Wildbahn verwendet wurde. Seitdem hat die Nutzung laut Forschung zugenommen.
Kurz gesagt, die CNAME-Tracking-Technik tarnt den Tracker, indem sie ihn in den Erstanbieter-Kontext der besuchten Website einfügt — indem der Inhalt über eine Subdomain der Website eingebettet wird, die eigentlich ein Alias für die Tracker-Domain ist.
„Dieses Schema funktioniert dank einer DNS-Delegierung. Meistens handelt es sich um einen DNS-CNAME-Eintrag „, schreibt einer der Autoren des Papiers, der Datenschutz- und Sicherheitsforscher Lukasz Olejnik, in einem Blogbeitrag über die Forschung. „Der Tracker“ wird in einer Subdomain der besuchten Website gehostet.
„Die Anwendung eines solchen Systems hat gewisse Konsequenzen. Es täuscht die grundlegende Web-Sicherheit und den Datenschutz – zu denken, dass der Benutzer absichtlich die Tracker-Website durchsucht. Wenn ein Webbrowser ein solches Schema sieht, werden einige Sicherheits- und Datenschutzmaßnahmen gelockert.“
Lassen Sie sich nicht von der Verwendung des Wortes „entspannt“ täuschen — wie Olejnik weiter betont, hat die CNAME-Tracking-Technik „erhebliche Auswirkungen auf die Sicherheit und den Datenschutz im Internet“. Zum Beispiel, wenn Browser dazu verleitet werden, einen Tracker als legitimen Erstanbieter-Inhalt der besuchten Website zu behandeln (was wiederum „viele Vorteile“ freischaltet, wie z. B. den Zugriff auf Erstanbieter-Cookies — die dann an entfernte Server von Drittanbietern gesendet werden können, die von den Trackern gesteuert werden, damit die Überwachungseinheit mit den persönlichen Daten umgehen kann).
Das Risiko besteht also darin, dass ein Teil der cleveren technischen Arbeit, die zum Schutz der Privatsphäre durch Blockieren von Trackern geleistet wird, ins Abseits gedrängt werden kann, indem man unter das Radar der Anti-Tracker gerät.
Die Forscher fanden heraus, dass ein (berüchtigter) Tracker—Anbieter, Criteo, seine Tracking-Skripte auf das benutzerdefinierte CNAME-Cloak-Schema zurücksetzte, als er den verwendeten Safari-Webbrowser entdeckte – vermutlich als eine Möglichkeit, Apples ITP zu umgehen.
Es gibt auch weitere Bedenken hinsichtlich des CNAME-Trackings: Das Papier beschreibt, wie das Schema als Folge der aktuellen Webarchitektur „einen Weg für breite Cookie—Lecks freischaltet“, wie Olejnik es ausdrückt – und erklärt, wie das Ergebnis der eingesetzten Technik sein kann „Viele unabhängige, legitime Cookies“ werden an die Tracker-Subdomain gesendet.
Olejnik hat diese Besorgnis bereits 2014 in einer Studie dokumentiert — aber er schreibt, dass das Problem jetzt explodiert ist: „Als Spitze des Eisbergs haben wir breite Datenlecks auf 7.377 Websites gefunden. Einige Datenlecks treten auf fast jeder Website auf, die das CNAME-Schema verwendet (Analytics-Cookies lecken häufig). Dies deutet darauf hin, dass dieses Schema aktiv gefährlich ist. Es ist schädlich für Web-Sicherheit und Privatsphäre.“
Die Forscher fanden heraus, dass Cookies auf 95% der Studien-Websites undicht waren.
Sie berichten auch über das Auffinden von Lecks von Cookies, die von anderen Skripten von Drittanbietern gesetzt wurden, was darauf hindeutet, dass durchgesickerte Cookies in diesen Fällen dem CNAME-Tracker ermöglichen würden, Benutzer über Websites hinweg zu verfolgen.
In einigen Fällen stellten sie fest, dass durchgesickerte Informationen private oder vertrauliche Informationen enthielten — wie den vollständigen Namen, den Standort, die E-Mail-Adresse und (in einem zusätzlichen Sicherheitsproblem) das Authentifizierungscookie eines Benutzers.
Das Papier geht auf eine Reihe von Web-Sicherheitsbedenken zu erhöhen, wie zum Beispiel, wenn CNAME-Tracker über HTTP statt HTTPS serviert werden, die sie fanden oft passiert, und könnte Man-in-the-Middle-Angriffe erleichtern.
Die Verteidigung gegen das CNAME—Cloaking-Schema erfordert, dass einige wichtige Browser neue Tricks anwenden, so die Forscher – die bemerken, dass Firefox (globaler Marktanteil etwa 4%) zwar eine Verteidigung gegen die Technik bietet, Chrome jedoch nicht.
Ingenieure der WebKit-Engine, die dem Safari-Browser von Apple zugrunde liegt, haben auch an Verbesserungen des ITP gearbeitet, um dem CNAME-Tracking entgegenzuwirken.
In einem Blogbeitrag im vergangenen November schrieb der IPT-Ingenieur John Wilander, dass „ITP jetzt CNAME-Cloaking-Anfragen von Drittanbietern erkennt und den Ablauf aller in der HTTP-Antwort gesetzten Cookies auf 7 Tage begrenzt. Diese Obergrenze stimmt mit der Verfallsobergrenze von ITP für alle Cookies überein, die über JavaScript erstellt werden.“
Der Brave Browser kündigte im vergangenen Herbst auch Änderungen an, um das CNAME-Cloaking zu bekämpfen.
„In Version 1.25.0 hat uBlock Origin die Möglichkeit erhalten, CNAME-getarnte Anfragen mit Mozillas Webbrowser zu erkennen und zu blockieren.DNS-API. Diese Lösung funktioniert jedoch nur in Firefox, da Chromium den Browser nicht bereitstellt.DNS-API. Bis zu einem gewissen Grad können diese Anforderungen mithilfe benutzerdefinierter DNS-Server blockiert werden. Allerdings haben keine Browser mit CNAME-basierten Adblocking-Schutzfunktionen ausgeliefert und standardmäßig aktiviert „, schrieb es.
„In Kapitel 1.17, Brave Shields überprüft nun rekursiv die kanonischen Namenseinträge auf Netzwerkanforderungen, die ansonsten nicht mit einem eingebetteten DNS-Resolver blockiert werden. Wenn die Anforderung einen CNAME-Eintrag hat und dieselbe Anforderung unter der kanonischen Domäne blockiert würde, wird die Anforderung blockiert. Diese Lösung ist standardmäßig aktiviert und bietet Millionen von Benutzern einen verbesserten Datenschutz.“
Aber der Browser mit dem größten Marktanteil, Chrome, hat Arbeit zu tun, pro die Forscher, die schreiben:
Da Chrome keine DNS-Auflösungs-API für Erweiterungen unterstützt, konnte die Verteidigung nicht auf diesen Browser angewendet werden. Folglich stellen wir fest, dass vier der CNAME-basierten Tracker (Oracle Eloqua, Eulerian, Criteo und Keyade) von uBlock Origin in Firefox blockiert werden, jedoch nicht in der Chrome-Version.
In Bezug auf die Forschungsergebnisse sagte Tom Van Goethem, ein weiterer Autor des Papiers, dass die Daten des Teams zeigen, dass Web-Publisher, die CNAME-Tracking verwenden, es verwenden, um andere, „typischere“ Tracking-Methoden von Drittanbietern zu ergänzen.
„Unsere Daten zeigen, dass Publisher, die CNAME-basiert einsetzen, bereits eine beträchtliche Anzahl von Trackern haben (durchschnittlich 20+ pro Site) und feststellen, dass diese Anzahl von Trackern im Laufe der Zeit stabil bleibt. Dies deutet darauf hin, dass CNAME-basiertes Tracking nicht als Ersatz für das typische Tracking von Drittanbietern verwendet wird, sondern um ihre Tracking-Funktionen zu erweitern, z. B. um Benutzer mit einem Anti-Tracking-Mechanismus anzusprechen „, sagte er TechCrunch.
Die Forscher konzentrierten sich nicht darauf, eine kausale Erklärung für den Anstieg der Verwendung von CNAME-Cloaking zu finden. Aber Van Goethem sagte, dass sie einige Tracker gefunden haben, die es nur gegen den Safari-Browser verwenden („der bekanntermaßen strenge Anti-Tracking—Schutzmaßnahmen enthält“) – was (zumindest) eine teilweise Erklärung für die Verwendung der Technik nahelegt.
Auf die Frage, welche Art von Community-Antwort sie zur Bekämpfung des CNAME-Schemas sehen möchten, sagte er: „Im Idealfall sollten mehr Anti-Tracking-Abwehrmaßnahmen robuste Maßnahmen gegen CNAME-basiertes Tracking ergreifen, so dass Benutzer unabhängig vom verwendeten Browser geschützt sind.“
Browser müssen mehrere Abwehrmechanismen einsetzen, um eine Vielzahl von Techniken zu bekämpfen, um die Privatsphäre der Benutzer effektiv zu schützen. Im Falle der neuen TCP-Funktion von Firefox stellte Van Goethem fest, dass sie zwar das CNAME-basierte (First-Party-) Tracking „im Wesentlichen“ nicht beeinflusst, aber vor der Cookie-Synchronisierung zwischen Websites schützt, die First-Party-Tracking verwenden.
„Mit CNAME-basiertem Tracking kann der Tracker die Aktivitäten des Benutzers auf einer bestimmten Site (einschließlich des Trackers) verfolgen, muss jedoch Cookies mit anderen Sites synchronisieren, um die verfolgten Aktivitäten eines bestimmten Benutzers auf Site A mit den Aktivitäten desselben Benutzers auf Site B zu verknüpfen.
Andere nicht-Cookie-basierte Tracking-Techniken l- ike Device Fingerprinting und Ephemeral Fingerprinting – können auch verwendet werden, um browser-basierte Abwehrmaßnahmen gegen Cookie-basiertes Tracking zu umgehen. „Dies bedeutet, dass die Verteidigung vollständig sein und Schutz vor allen Arten von Tracking bieten muss, um die Benutzer zu schützen“, sagt Van Goethem.
„Wir hoffen, dass unsere groß angelegte Analyse, die zeigt, dass CNAME-basiertes Tracking auf dem Vormarsch ist, das Bewusstsein schärfen und Benutzer und Browseranbieter dazu anregen wird, die Abwehr gegen diesen Tracking-Mechanismus voranzutreiben“, fügte er hinzu.
„Darüber hinaus hoffen wir, dass unsere Studie die potenziellen Sicherheitsauswirkungen aufzeigen wird, denen Publisher durch die Einbeziehung von CNAME-basierten Trackern ausgesetzt sind. In einem Fall ist das Problem immer noch nicht behoben (trotz mehrfacher Versuche, den Tracker zu kontaktieren, um die Sicherheitsanfälligkeit zu melden), wodurch Besucher von Hunderten von Websites gefährdet werden.“
Regulatorische Maßnahmen / Durchsetzung könnten auch hilfreich sein, um die Verwendung der CNAME-Technik einzudämmen, schlug er ebenfalls vor.
Dieser Bericht wurde mit zusätzlichem Kommentar aktualisiert.
{{{ titel}}}
{{{ autor}}}
{{{Datum}}}