Websites gebruiken canvastekening voor trackingdoeleinden - update

Onderzoekers van de KU Leuven en Princeton University hebben een nieuwe manier van tracking op websites gevonden waarbij gebruikgemaakt wordt van canvastekeningen. Tal van websites gebruiken dit 'cookiealternatief', waaronder 32 websites met een .nl-domein.

De techniek wordt door de onderzoekers canvas fingerprinting genoemd. Daarbij wordt via de canvas-functie van de browser een onzichtbare afbeelding getekend waarna de getekende pixels via de canvas-api geanalyseerd worden. Aan de hand van unieke kenmerken van de computer, bijvoorbeeld de geïnstalleerde lettertypes, de tijd en browsergegevens, kan een gebruiker gevolgd worden, net als met cookies het geval is.

De onderzoekers troffen de canvastekeningen aan op tal van websites, waaronder YouPorn en Whitehouse.gov. Ook op 32 websites met een .nl-domeinnaam is deze trackingmethode gevonden, waaronder populaire sites als voetbalzone.nl, beslist.nl, buienradar.nl, flabber.nl, tvgids.nl en sbs6.nl, zo meldt De Correspondent.

Onder andere de firma AddThis maakt actief gebruik van deze trackingmethode. Het bedrijf claimt dat het gebruikersdata afkomstig van canvas fingerprinting alleen heeft gebruikt voor intern onderzoek en dus niet inzet om het surfgedrag van internetgebruikers in kaart te brengen. Verder meldt AddThis dat gebruikers de trackingmethode kunnen stoppen als zij een speciale cookie in hun browser plaatsen.

Het is voor eindgebruikers die zich zorgen maken over hun privacy, en bijvoorbeeld tracking cookies blokkeren en niet inloggen op diensten als Facebook, lastig om tracking via canvastekeningen tegen te gaan. Momenteel geeft de Tor-browser een waarschuwing als een site gebruikmaakt van canvas tracking, maar reguliere browsers doen dit niet.

Update, 12:15: Aantal namen van Nederlandse websites met omstreden trackingmethode toegevoegd.

Reacties (173)

[efari]

Ik begrijp de nieuwswaarde wel van dit bericht, maar niet de negatieve buzz hierover. Ik bedoel maar, gebruikers zijn al jaren te tracken zonder cookies. (en zonder deze canvas-api) Enkel en alleen door te kijken naar onder andere de user-agent string en alle andere gegevens die je browser doorgeeft en zodus zich identificeert. De Electronic Frontier Foundation heeft indertijd Panopticlick opgezet om dat te demonstreren, ga je gang, en controleer dat even? (indien je niet uniek bent op die site, ben je eigenlijk toch behoorlijk uniek )

[Reactie gewijzigd door efari op 23 juli 2024 08:06]

[E-PaiN]

Within our dataset of several million visitors, only one in 1,900 browsers have the same fingerprint as yours.

Currently, we estimate that your browser has a fingerprint that conveys 10.89 bits of identifying information.

Ook daar heb je addons tegen, in Firefox, althans.
Blender (addon) geeft je browser automatisch de op dit moment op het internet meest voorkomende userstring. Werkt overigens ook op Firefox mobile, maar dan krijg je op je mobiel wel desktop sites.

Dan gebruik ik nog: Adblock Edge, BetterPrivacy, Disconnect, HTTPS-Everywhere, NoScript, Privacy Badger, RequestPolicy en Self-Destructing Cookies

[efari]

Zo zie je maar, privacy is wel mogelijk blijkbaar. Maar je moet er als gebruiker ferm naar zoeken. Ik zou al die add-ons liever ingebakken zien in de browsers, of liever nog in het OS

[E-PaiN]

Dat klopt, maar niet alle addons werken prettig, een aantal in dat lijstje van me werken zeer gebruikersonvriendelijk (sites worden amper geladen totdat je uitzonderingen maakt) en kan ik niet iedereen aanraden.

En dan nog moet je inderdaad niet overal inloggen met je Facebook e.d. want dan heeft het nog steeds weinig nut, zelf heb ik geen social media, maar ik moet van het werk een smartphone hebben, links of rechtsom ben je nagenoeg altijd wel te tracken.
Maar dat betekent niet dat je dus alles maar moet opgeven ben ik van mening

[Reactie gewijzigd door E-PaiN op 23 juli 2024 08:06]

[Anoniem: 343906]

Weet niet 1-2-3 hoeveel waarde je aan de resultaten op die pagina's moet hechten.

Bij mij komt ie met 'Your browser fingerprint appears to be unique among the 4,309,932 tested so far.'

Terwijl ik geen enkele plug in gebruik.

[E-PaiN]

De resultaten lijken me wel correct.

De fingerprint van jouw browser is uniek uit ruim 4.3 miljoen resultaten onder andere omdat je geen plugins gebruikt.

Javascript staat zonder plugins standaard aan, de test kan dan al je plugins, je timezone, je resolutie en kleurdiepte, lettertypen en andere data gebruiken om van jouw browser een unieke fingerprint te maken.
Juist de combinatie van zaken maakt je uniek, verwijder je één lettertype, of installeer je bijvoorbeeld Office die lettertypen installeert, dan krijg je weer een andere fingerprint.

Met noscript, en dus Javascript standaard uit, zul je al veel minder "identifying information" doorgeven aan de website.

Met noscript aan zijn je user agent en je HTTP_ACCEPT Headers de grootste "uniekmakers".

De user agent is dan nog veel generieker te maken door de addon Blender te gebruiken, dankzij Blender geeft mijn browser een user agent string mee die 1 in de 187 browsers hebben, iets wat dus relatief generiek is.

[efari]

inderdaad. je kan de test herhalen zonder javascript, door &js=yes weg te halen uit de resultatenpagina. als ik dan ook nog eens cookies afzet, ben ik alsnog uniek, enkel en alleen met de useragent en HTTP_ACCEPT

[Anoniem: 343906]

Aha, op die manier. Dank!

[albino71]

Ik heb ze allemaal ook even geinstalleerd...

Mijn hemel wat een instellingen; afschrikwekkend!

[Anoniem: 221563]

Die vereist Java, en laat ik nou nét geen java programma's accepteren via de browser

[Blaise]

Het werkt ook zonder Java. Naast Java wordt er informatie opgevraagd d.m.v. Flash, JavaScript en browser-headers. Ook zonder Java ben je uniek identificeerbaar.

Edit: Ik heb het ook over Panopticlick.

[Reactie gewijzigd door Blaise op 23 juli 2024 08:06]

[Anoniem: 221563]

Ik heb het over de link die efari plaatste. Panopticlick. Die doet bij mij niets omdat hij geen toestemming heeft om Java te mogen gebruiken.

Edit: krijg nu iets meer info te zien, maar niets boeiends. Gewoon de standaard $_SERVER waardes.

[Reactie gewijzigd door Anoniem: 221563 op 23 juli 2024 08:06]

[max3D]

Your browser fingerprint appears to be unique among the 4,309,280 tested so far.

Goede zaak voor mij en voor EFF, die nu weer een extra sample heeft.

[E-PaiN]

In welk opzicht een goede zaak voor jou mag ik vragen?
Het feit dat je browser als "uniek" wordt gezien maakt je (beter) trackbaar op het internet, als consument lijkt het me altijd (?) positief om juist geen unieke fingerprint te hebben!

[dog4life]

Precies wat ik dacht!

[stresstak]

Panopticlick wordt niet bereikt / niet gevonden. Is dat een teken van veiligheid voor mij ?
Of is het een schoolvoorbeeld van goede zaken in Linux, in mijn geval Ubuntu 12.4 lts met ghostery en alle andere blockers aan op full-safety ? ...

[aliencowfarm]

Vindt sommige links in reacties nog schrikbarender dan het artikel zelf
Zou mooi zijn als ze in HTML 5.1 meer oog hebben voor privacy. Dit soort grappen zou moeten worden uit gebannen. Tenminste voor zover dat mogelijk is.

Panopticlick:
Snap eigenlijk niet waarom Firefox alle plug-in informatie deelt. Bijvoorbeeld wat heb ik er aan als een website weet dat ik een pdf lezer heb. Zou mooi wezen als je als gebruiker meer controle krijg over wat je browser deelt.

[kimborntobewild]

Ik begrijp de nieuwswaarde wel van dit bericht, maar niet de negatieve buzz hierover.

Dan begrijp je dus blijkbaar niet dat het grote publiek niet weet dat ze nu al getrackt worden. Elke keer dat er een (al dan niet nieuwe) methode in het nieuws zal komen die je trackt, zal er negatieve buzz over zijn.
Totdat we een wereld zoals in 1984 helemaal gewoon zijn. En helaas gaan we hard die kant op.

[Anoniem: 562563]

En weer het zoveelste bericht waaruit blijkt dat er allerlij tracking zooi op alle sites zitten, vraag me af of ghostery deze canvastekening blokeert, volgens het bericht moet ik aannemen dat dit niet zo is?

Ik zou willen dat websites nou eens zouden stoppen met al dat tracking, dit is natuurlijk geen realistisch beeld, maar is wel zeer jammer.

[Bosmonster]

Ik vind het grappig dat we zo vallen over dat tracking op internet. Het is toch niet meer dan logisch dat dit bijgehouden wordt?

In winkels wordt je al jaren geteld als je een winkel binnenloopt of worden al je gegevens bijgehouden als je weer eens met je Bonuskaart aftrekent.

In de echte wereld vinden we het de normaalste zaak van de wereld, maar online is het ineens heel slecht als sites iets over hun bezoekers willen weten.

[halofreak1990]

In de echte wereld vinden we het de normaalste zaak van de wereld, maar online is het ineens heel slecht als sites iets over hun bezoekers willen weten.

Als ze iets over mij willen weten, dan moeten ze, net zoals in de echte wereld, mij dingen vragen.
Niet stiekem allerlei data van mij verzamelen.

Dat ik (vaak) niet bereid ben om te antwoorden is pech voor hun, maar geeft ze geen enkel recht om dan maar op slinkse manier aan dezelfde gegevens (die nu dus illegaal verkregen zijn) te komen.

[Martinspire]

Maar dan moeten er wetten komen die beperken wat ze wel en niet mogen weten. In plaats van het blokkeren van cookies, de aanleiding dus wegnemen.

[CAPSLOCK2000]

Die wet hebben we. In de volksmond wordt dat de 'cookiewet' genoemd. In die wet komt het woord cookie niet voor, er staat in welke informatie websites niet mogen bijhouden zonder toestemming. Voor veel websites is dat helaas nogal onhandig en dus wordt er alles aan gedaan om het voor te doen komen of het een domme aanval op cookies is. Ik snap ook wel dat het behoorlijk ellendig is als je inkomstenbron zo onderuit wordt gehaald, maar eigenlijk doet de wet precies wat je als gebruiker wil: voorkomen dat websites zomaar alles over je opslaan en doorgeven.

[Martinspire]

Onjuist: de cookie wet stelt alleen dat je toestemming moet vragen aan de gebruiker. En ook voor hele specifieke dingen. In principe mag elke website je vragen om je NAW

[Reactie gewijzigd door Martinspire op 23 juli 2024 08:06]

[kimborntobewild]

Oh en sinds wanneer gaat zo'n bedrijf toestemming vragen voordat het zo'n canvastekening gebruikt voor trackingdoeleinden? Juist: nooit.

[incaz]

Het een sluit het andere niet uit. Betere wetgeving is prima, EN ik draag zelf mijn steentje bij waar ik kan om dit tegen te gaan, en ook om aan te geven dat ik het onwenselijk vind.

[Anoniem: 51637]

In winkels wordt je al jaren geteld als je een winkel binnenloopt

Maar de IKEA weet daarmee nog niet dat ik vlak daarvoor bij de Mac geweest ben.

als je weer eens met je Bonuskaart aftrekent.

Die heb ik niet.

In de echte wereld vinden we het de normaalste zaak van de wereld

Jij vindt het de normaalste zaak van de wereld dat - om maar eens een real-world voorbeeld te gebruiken - elke winkel waar jij komt een sticker op jouw rug plakt, zodat precies bekeken kan worden waar jij allemaal wel niet geweest bent en wanneer en welke artikelen je daar bkeken hebt? En dat ze dat gewoon doen zonder te vragen? En als de wetgever zegt 'dat mag niet' dat ze er dan gewoon mee doorgaan op een andere manier?

[incaz]

Geteld worden en een paar algemene gegevens registreren is niet zo erg. Maar als winkels achter mij aan lopen om alles te weten van mij, om al mijn vorige bezoeken bij te houden EN te weten in welke winkels ik nog meer kom, wordt het behoorlijk creepy.

Zeker, fysieke winkels zijn dat nu ook aan het doen met wifitracking. En ja, dat vind ik dus behoorlijk creepy en dat gebeurt dan ook niet met mijn foon.

En ik probeer het verder inderdaad te voorkomen, door zo min mogelijk de bonuskaart te gebruiken, die ook geen toestemming heeft voor het delen van persoonlijke informatie - al zal ik niet durven zeggen dat 'ie anoniem is, en meestal contant te betalen, klantenkaarten te weigeren en zelden mijn gegevens op te geven.

Kortom: ik vind het offline niet de normaalste zaak van de wereld en online ook niet - alleen blijkt het online nog veel moeilijker te voorkomen te zijn dan offline.

[Martinspire]

Dus ze houden het bij, en wat dan? Enige wat een AH doet met de bonuskaart is volgens mij nu gewoon bijhouden welke producten gewild zijn bij pashouders. Daar kunnen ze de aanbiedingen op baseren. Ik denk niet dat ze op dit moment zo diep gaan met die informatie. Dat is ook helemaal niet nodig (voor nu).

[incaz]

Doet er niet toe. Het gaat ze niet aan, en ik zie niet in waarom we vrijwillig mee zouden werken aan surveillancenetwerken en dossieropbouw waar de USSR jaloers op geweest zou zijn. Zodat als er een of andere mafkees binnenvalt, die gegevens er gewoon niet zijn.

[The Zep Man]

Ik vind het grappig dat we zo vallen over dat tracking op internet. Het is toch niet meer dan logisch dat dit bijgehouden wordt?

Nee.

In winkels wordt je al jaren geteld als je een winkel binnenloopt of worden al je gegevens bijgehouden als je weer eens met je Bonuskaart aftrekent.

Tellen is anoniem (1 bezoeker = 1 bezoeker, geen uniek identificerende kenmerken). Bonuskaart is opt-in en een eigen, vrijwillige keuze.

In de echte wereld vinden we het de normaalste zaak van de wereld, maar online is het ineens heel slecht als sites iets over hun bezoekers willen weten.

In de echte wereld vindt jij het de normaalste zaak van de wereld. Spreek niet voor mij.

[LandnHoning]

Tellen is anoniem (1 bezoeker = 1 bezoeker, geen uniek identificerende kenmerken). Bonuskaart is opt-in en een eigen, vrijwillige keuze.

Goh, is boodschappen doen een vrijwillige keuze? En hoe zit dat met het openbaarvervoer (ov-chipkaart). En ook deze laatste is niet annoniem immers moet hem met je pin opladen.

Iedere supermarkt hangt VOL met camera's, (dus je bonuskaart redenatie kan je in je "boodschappen"-tas houden). Digi-d, zorgverzekeringen die van alles en nog wat verzamelen. De overheid die er vervolgens vrolijk aan mee werkt. Denk aan het elec. patienten-dosier. En hoe zat dat ook al weer met die poortjes over de snelwegen?

Beste The Zep Man, internet is een vrijwillige keuze. Zeker als de off- en online realiteit naast elkaar wilt leggen.

Neemt niet weg dat dit soort praktijken, in mijn optiek, goed in de gaten moeten worden gehouden. Maar niet dat men door slaat, zoals nu met de onzinnige cookie-wet. Helaas zij wij overgeleverd aan een minister die de batterijen van zijn VHC-afstandbediening nog niet eens zelfstandig kan vervangen.

[CAPSLOCK2000]

Beste The Zep Man, internet is een vrijwillige keuze. Zeker als de off- en online realiteit naast elkaar wilt leggen.

Ik weet niet of dat nog waar is en over een paar jaar zeker niet meer.
Probeer maar eens belasting te betalen, je bankzaken te doen, een studie te volgen, een baan te zoeken of een uitkering aan te vragen zonder internet.

Natuurlijk, je hebt altijd nog de keuze om in een kartonnen doos onder de brug te gaan wonen maar voor de meeste Nederlanders is een normaal leven zonder internet eigenlijk niet meer mogelijk.

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 08:06]

[LandnHoning]

Volledig mee eens. Ik ben ook 100% afhankelijk van het internet.
Maar als je wil, kun je zonder. (vraag me aub. niet hoe...)

En uiteraard is dat een enkeltje zwart-reisende richting: stenen-tijdperk (geen ov-chip).

[stresstak]

Natuurlijk, je hebt altijd nog de keuze om in een kartonnen doos onder de brug te gaan wonen maar voor de meeste Nederlanders is een normaal leven zonder internet eigenlijk niet meer mogelijk.

Het is inderdaad maar wat je gewend bent. Voor Nederlanders is dat iets anders dan iemand in Hoetsietoetsiestan of in de rimboe. Ik heb anderhalf jaar niet geïnternet, behalve eenmalig belastingaangifte en dat was niet op mijn eigen pc.
Zelfs die aangifte had vermoedelijk nog op papier gekund. Het kan dus wel maar is afhankelijk van allerhande zaken. Dwangmatigheid, verslaving, gewoonte.

[Martinspire]

Mja het is niet heel raar dat ze bijhouden wie wat doet op de website. Het is gewoon een soort marketingtool. Een andere reden is vaak dat men moet weten wie wat doet zodat hetgeen in het winkelwagentje beland ook echt bij die persoon hoort. Nou gebeurt dat vaak wel via de server, maar het moet bijgehouden worden.

Je kunt je natuurlijk blijven verschuilen, maar op een gegeven moment hebben sites informatie nodig. Die is niet altijd even belangrijk en ze hebben ook niet overal recht op, maar je moet het internet dan ook als openbare ruimte behandelen. Ook daar ontkom je niet altijd aan het delen van informatie. Is het je auto ergens heen rijden, dan is het wel het afrekenen in de winkel.

Een cookie wet is dan ook een lapmiddel. Het zou eigenlijk moeten gaan over welke informatie men wel of niet mag hebben.

[Anoniem: 51637]

Iedere supermarkt hangt VOL met camera's, (dus je bonuskaart redenatie kan je in je "boodschappen"-tas houden). Digi-d, zorgverzekeringen die van alles en nog wat verzamelen. De overheid die er vervolgens vrolijk aan mee werkt. Denk aan het elec. patienten-dosier. En hoe zat dat ook al weer met die poortjes over de snelwegen?

Dat een bedrijf of instelling het doet betekent toch niet dat je het dan automatisch ook maar goed moet vinden?

[MucGhuine]

[...]
Tellen is anoniem (1 bezoeker = 1 bezoeker, geen uniek identificerende kenmerken).

Zoals tweakers al eerder heeft aangegeven, is het tellen van bezoekers niet meer zo anoniem, wifi-tracking is een breed ingezette methode:
reviews: Wifi-tracking: winkels volgen je voetsporen
Kortom, zowel op internet als in het winkelcentrum gebeurt dit. @Bosmonster is dus blijkbaar niet de enige die dit de normaalste zaak van de wereld vind, diverse winkelketens zijn het met hem eens.

[CAPSLOCK2000]

Kortom, zowel op internet als in het winkelcentrum gebeurt dit. @Bosmonster is dus blijkbaar niet de enige die dit de normaalste zaak van de wereld vind, diverse winkelketens zijn het met hem eens.

Dat het gebeurt betekent het nog niet dat het wenselijk is of dat mensen er geen bezwaar tegen hebben. Zoek de nieuwsberichten over Wif-tracking in winkels maar op, dan zie je ook dat er veel boze reacties zijn van mensen die zich in hun privacy aangetast voelen. In het artikel dat je zelf linkt zijn er genoeg te vinden.

De 'normaalste zaak van de wereld' is dan ook maar een slecht argument. Dat kinderarbeid in grote delen van de wereld voorkomt is misschien wel 'de normaalste zaak van de wereld' maar ik ben er nog steeds tegen. Dat grote winkelketens weinig op hebben met ethisch gedrag is ook wel bekend. Het ene kwaad is geen argument om het andere kwaad goed te keuren.

[MucGhuine]

Sorry, ik had wat helderder moeten zijn.
Ik schaar mezelf niet onder de groep die dit de normaalste zaak van de wereld vind, maar gezien het gebeurt blijken er genoeg te zijn die er wel zo over denken. Voor een wifi-tracking setup heb je toch minimaal een ontwikkel team, een sales team en winkel eigenaren die dit willen nodig. Dat is minimaal zo'n 20 personen die dit normaal moeten vinden.

[The Zep Man]

Sorry, ik had wat helderder moeten zijn.
Ik schaar mezelf niet onder de groep die dit de normaalste zaak van de wereld vind, maar gezien het gebeurt blijken er genoeg te zijn die er wel zo over denken.

Dat is een zeer gevaarlijke manier van denken waar bedrijven vaak misbruik van maken. Door herhaaldelijk proefballonnetjes omhoog te laten gaan is het mogelijk om de publieke opinie te wijzigen wanneer dit soort aannames wordt gedaan. Misschien is er niemand in de wereld die er zo over denkt anders dan het bedrijf dat het implementeert. Dat maakt het niet automatisch correct om het toch te doen.

[johnkeates]

En wat ga je er aan doen? Op een geven moment kunnen bedrijven eisen dat je traceerbaar bent als je iets met ze te maken wil hebben. Dat is geen probleem als je keuze hebt, maar wat als alle benzinestations dat bijvoorbeeld gaan doen, waar ga je dan benzine kopen? Op de zwarte markt? Via een tussenhandelaar?

Behalve als er een wet is die verplicht om verkopers dingen te laten verkopen aan mensen zonder ze te verplichten geïdentificeerd, getraceerd enz. te worden is er volgens mij voor een bedrijf geen reden om het niet te doen. Ze bestaan niet om lief te doen voor klanten, maar om geld te verdienen. Dat kan dan niet leuk zijn, maar een of ander board of directors heeft daar gewoon schijt aan, die willen resultaten en geld. Moeten we dat soort mensen dan maar gewoon in de gevangenis stoppen of afschieten?

Een echter oplossing is er gewoon nog niet, jezelf nu afschermen is een tijdelijke oplossing, en op z'n best een kat-en-muis spel, waarbij de partij met de meeste middelen uiteindelijk helaas gewoon wint.

[Anoniem: 328374]

Ik heb nog nooit meegemaakt dat een winkel je weigerde iets te verkopen als je niet je persoonlijke gegevens afgeeft (tenzij je laat leveren, financieren of waarborg aankoopt) .

Er zijn uiteraard wel winkels die proberen maar de discussie over dat het geen kwaad kan en waarom je die gegevens niet wil geven etc duurt net tot het moment dat je zegt: hou je spullen maar, ik ga wel ergens anders en dan is het opeens geen enkel probleem meer.

[johnkeates]

Ik heb het ook niet meegemaakt, ik schets een scenario waarbij tracking door verkopers niet meer als optioneel gemaakt wordt.

Stel dat alle mogelijke winkels waar je brood kan kopen tracking vereisen, dan kan je niet ergens anders naar toe gaan. Je keuzes zijn dan wel of niet brood kopen.

Daarnaast is het ook wel een beetje een illusie dat 'ik ga wel ergens anders heen' een oplossing is. Als 1% van mijn klanten zich zo opstelt dan ben ik ze liever kwijt dan rijk. De klant is geen koning, maar een partij waar ik mee samen werk voor een oplossing. Werken ze niet meer maar tegen, dan kan ik mijn energie en tijd beter in iemand anders steken.

[kimborntobewild]

En wat ga je er aan doen?

Je kan er alleen iets aan doen als je héél veel geld (en wellicht tijd) hebt en elk detail laat uitzoeken door dure juristen en vele vele rechtszaken gaat aanspannen.
Zelfs community founding voor een rechtszaak lijkt me hier vrij nutteloos: zelfs als je wint: het volgende bedrijf zal 't op een iets andere manier doen, en je staat weer op nul.

[Reactie gewijzigd door kimborntobewild op 23 juli 2024 08:06]

[stresstak]

Sorry, ik had wat helderder moeten zijn.
Ik schaar mezelf niet onder de groep die dit de normaalste zaak van de wereld vind, maar gezien het gebeurt blijken er genoeg te zijn die er wel zo over denken.

Dat is de wereld waarin we al tijden leven. Voor elke groep die een actie bedenkt is er wel een andere groep die er tegen is. En een groep die het niet weet, niet interesseert of niet kan of wil begrijpen.

[skatebiker]

Kwestie van je wifi uitzetten buitenshuis. Voor Android heb je daar Wifi OFF maar ook andere apps voor die wifi uitzet als je buiten bereik van een verbonden router komt.

[Cerberus_tm]

Pry-Fi van onze eigen Chainfire kan MAC-adressen e.a. spoofen, opdat je niet meer getrackt kunt worden door de Wifi op je telefoon, terwijl je je Wifi wel gewoon aan kunt laten staan. Hij is alleen even gestopt met de ontwikkeling, en de huidge bèta werkt niet voor iedereen even goed:
http://forum.xda-developers.com/showthread.php?t=2631512

[johnkeates]

Tsja, dan gaan we toch gewoon tracken op TCP fingerprinting? En als dat dan niet meer werkt, dan komt er vast een bedrijfje dat sensors in de grond stopt om je loop te detecteren. Nokia had dacht ik al research gedaan vroeger waarmee je met de manier waarop je loopt geïdentificeerd kon worden. En als dat niet genoeg is, dan komt er vast een methode om heel snel je DNA te lezen van al die dode huidcellen en haar die je maar lekker rondstrooit als mens. Of er komt een manier om op afstand je hartslag te meten en dan kan je aan de hand daar van weer herkend worden, want dat is ook uniek.

En stel dat alle tracking mogelijkheden uiteindelijk uitgeput zijn en alles te anonimiseren is, dan komt er wel een bedrijf dat verzint dat je alleen nog maar iets met je te maken willen hebben als je een tracker van ze accepteert en gebruikt.

[Cerberus_tm]

Dat is inderdaad een probleem, het is een kat- en muisspel. Maar hoe werkt TCP-fingerprinting dan, en hoe kan een winkel mij daarmee volgen?

[johnkeates]

TCP fingerprinting werkt op basis van je TCP/IP stack op je apparaat te gebruiken als identificatie. Elke hardware/software combinatie is anders, hebben andere manieren en timings binnen de TCP spec. Het is allemaal wel compatible, maar de manier waarop het verwerkt wordt verschilt en kan subtiele verschillen opleveren.

Manieren waarop je dat bijvoorbeeld met nmap kan doen: http://nmap.org/book/osdetect-methods.html

Nu is dat bij dat voorbeeld vooral puur om een OS te 'vinden', maar je kan het als je de juiste gegevens hebt dus ook specifieker inzetten. Dat is nog vooral theorie, en weinig praktijk, maar als tracking bedrijven iets nieuws moeten verzinnen als er weer iets verboden wordt of publiekelijk gehaat wordt dan komen ze daar vanzelf wel op uit.

Een ander ding is natuurlijk gewoon verkeer tappen. Of 'gratis wifi' aanbieden. (en nee, VPN of Tor gaat je dan niet helpen) Of gewoon speciale hardware bouwen om alle Bluetooth en 802.11 MAC-adressen en BSSID's na te doen zodat iemand toch wel connect.

Of een GPRS/3g/4g relay opzetten, en dan je IMEI of wat er dan ook gestuurd wordt uitlezen. Of alleen maar gprs/3g/4g monitoren en tappen... en ja, dat kan en is niet supermoeilijk. MITM is niet onmogelijk. A51 en A52 zijn ook al gekraakt, maar door de snelle sleutelwissel niet in te zetten om bijvoorbeeld aan de lopende band iedereen z'n gesprekken en data af te luisteren. Maar het is dus wel prima in te zetten om cell data die alleen van het ping achtige type is snel te kraken. En zo kunnen we nog wel even door gaan. Bijvoorbeeld unieke afwijkingen in de radio circuits.. die veranderen niet en kan je ook niet 'verbergen'.

[Cerberus_tm]

Ik geloof absoluut dat bepaalde methodes mogelijk zijn. Dat GPRS-relay van je is een beetje zoals een Stingray?

Maar dat TCP-fingerprinting begrijp ik nog niet helemaal. Mijn telefoon maakt toch helemaal geen contact met apparatuur van de winkel, tenzij ik op hun gratis Wifi inga (wat je dus niet doet als je niet getrackt wilt worden)?

[johnkeates]

Je hoeft ook niet perse contact te hebben, sniffen is genoeg. In plaats van dat je Layer 2 frames gaat sniffen ga je dus Layer 3 frames of packets sniffen.

[Reactie gewijzigd door johnkeates op 23 juli 2024 08:06]

[Cerberus_tm]

Sniffen, hoe dan? Welk dataverkeer, welke verbinding?

[Reactie gewijzigd door Cerberus_tm op 23 juli 2024 08:06]

[johnkeates]

Het hoeft geen actieve verbinding te zijn. Er moeten uiteraard wel pakketjes zijn om te sniffen. De enige reden dat die er niet zijn is als iemand al z'n draadloze verbindingen uit heeft staan. Of de complete telefoon.

[Cerberus_tm]

Nou, als je Pry-Fi aan hebt staan en verder alleen op de gebruikelijke manier met 3G communiceert, dan kan de winkel toch geen pakketjes zien? Het gaat er mij om of zo'n duistere winkel nog andere manieren heeft om jouw telefoon te identificeren naast de normale Wifi-dingetjes die telefoons zonder Pry-Fi uitzenden.

[johnkeates]

Pry-Fi doet niks anders dan random MAC-adressen genereren voor je PHY. Het gaat je niet helpen tegen iets als een WiFi-Pineapple of gewoon tappen. En als je Pry-Fi gebruikt en nog steeds probes verstuurd voor bekende netwerken, dan kan je dus nog steeds profielen op basis van de selectie van bekende netwerken. Stel dat je daar je thuis-wifi bij hebt zitten en dat netwerk heeft een uniek SSID, dan ben je op zekere hoogte al redelijk goed te tracken.

Daarnaast is het niet heel moeilijk om TCP/IP verkeer te forceren als iemand WiFi aan heeft staan. Dus zelfs als je zelf geen WiFi verbinding hebt op het moment dat je een winkel binnen loopt, maar de winkel een SSID van KPN, de NS, Ziggo, of een ander bekend publiek netwerk uitzend, dan ga je al verbinding maken en dan krijg je al dat er IP verkeer plaatsvind al is het maar voor DHCP, of misschien captie portal detectie. Dus ook zonder semi-illegale dingen als een pineapple kan je dus verkeer door de devices laten generen.

[Cerberus_tm]

Nee hoor, Pry-Fi doet meer dan dat, het zorgt ervoor dat je niet je lijst van SSIDs broadcast. Op welke andere manier zou een winkels je telefoon kunnen identificeren?

Okee, de SSID van een bekende hotspot faken kan inderdaad wel effectief zijn. Maar dat vind ik minder erg, omdat je daar als gebruiker makkelijk iets tegen kunt doen. Ik heb sowieso geen publieke hotspots op mijn telefoon die automatisch verbinding maken, omdat Wifi in de trein meestal langzamer is dan mijn 3G en ik verder nooit iets met hotspots zou doen.

[johnkeates]

Tsja, stel dat Pry-Fi je WiFi radio effectief uit zet of monitor mode only zet, dan kan je daar dus niet op getracked worden, en dan blijft er bluetooth eh 1g/2g/3g/4g monitoring over. En als je die ook uit zet, dan is radio tracking niet meer mogelijk.

Het punt is een beetje dat zodra je draadloze communicatie een beetje normaal wil gebruiken, het ook te tracken is, ongeacht wat je doet.

[Reactie gewijzigd door johnkeates op 23 juli 2024 08:06]

[Cerberus_tm]

Dat is nu juist het goede van Pry-Fi: je kunt je Wifi gewoon blijven zoals je gewend bent, maar hij zendt je SSIDs niet zomaar uit, en hij spooft je MAC-adres. Dan kunnen winkels je gewoon niet meer identificeren op basis van je Wifi-dingetjes, toch?

Wat betreft, 1–4G, kan een winkel je realistisch gezien op basis daarvan identificeren, afgezien van apparatuur zoals Stingrays e.d.? Dat is toch versleuteld genoeg?

[Reactie gewijzigd door Cerberus_tm op 23 juli 2024 08:06]

[johnkeates]

Nee, GSM encryptie is jaren geleden al gekraakt. 3g/4g is dan weer lastiger, maar niet veel moeilijker dan WPA2, en zonder de encryptie te kraken nog steeds bruikbaar om te tracken. Daar is al open source software voor, en tot en met 2g ook open source hardware. Met 3g en hoger kan je een gehackte femtocel gebruiken.

Pry-Fi zorgt er alleen maar voor dat je niet op MAC-basis getrackt kan worden, verder niks. Het maakt niet uit of het probes stopt of random MAC-adressen aanmaakt. Dus, stel dat een winkel alleen maar 802.11 MAC tracking apparatuur heeft, dan kan die een Pry-Fi apparaat niet tracken. Maar dat is niet de enige mogelijkheid om mensen via WiFi te tracken en er zitten ook nog eens een heleboel voorwaarden aan.

Als je Wifi-dingetjes in het algemeen neemt, dan ben je nog steeds te tracken. Wifi is meer dan een SSID en een MAC-adres.

[Reactie gewijzigd door johnkeates op 23 juli 2024 08:06]

[Cerberus_tm]

Daarom was mijn vraag dus, op welke andere manieren kun je iemand via Wifi tracken? Zoals ik al zei zorgt Pry-Fi ervoor dat je telefoon niet langer de hem bekende SSIDs broadcast en spooft hij je MAC-adres.

Ik weet dat GSM gekraakt kan worden, maar daar heb je toch speciale apparatuur voor nodig, en het is illegaal, neem ik aan? Dus ik denk niet dat Dixons dat gaat doen.

[johnkeates]

Je kan als er WiFi verkeer is de packets onderscheppen en op basis daar van ID doen. Als er geen WiFi verkeer is kan dat niet.

De apparatuur om GSM te tracken/kraken/spoofen is niet illegaal, maar is een software defined radio. Dat je die kan inzetten om GSM te kraken maakt niet niet opeens illegaal, net als dat een hamer niet illegaal is. (maar iemand op z'n hoofd timmeren mag dan weer niet)

[Cerberus_tm]

Bedoel je Wi-Fi-verkeer met de winkel, of kunnen ze je ook identificeren als je Wi-Fi-verkeer hebt met een andere hotspot, versleuteld of via VPN? In elk geval, bij de meeste winkels zal ik überhaupt geen Wi-Fi-verkeer hebben, dus dan kunnen ze daar niets mee.

De apparatuur om gsm te kraken is niet illegaal, maar het kraken zelf wel, en dat zal Dixons toch wel niet doen. Terwijl Wi-Fi-tracken dus wel mag. Daarom vind ik het bijzonder nuttig om daar iets tegen te doen.

[johnkeates]

Tsja, laat ik het dan op de meest makkelijke manier zeggen: als je wifi aan hebt staan en er verkeer is ben je te tracken. Als je wifi uit hebt staan, of wifi aan hebt staan maar niets verzend, dan ben je niet te tracken. Dus als het aan staat, en je met een andere hotspot verbinding hebt, ook al gebruik je WPA2 en VPN, dan ben je nog steeds te tracken.

[Cybertek]

Who needs WiFi!?

het is alom bekend dat de gsm/satteliet telefoon sinds het begin af aan
gevolgt worden! Ik bedoel de jaren 80!

Dus wat denk je dat het is geworden? Alleen maar makkelijker!
Ik zal geen namen noemen, want op dit gebied zijn zelfs 'onze Nederlandse Hackers' mee bezig!

Ik denk dat het gewoon een vorm van evolutie is, met de nodige reversed enginering en effecten van de oorzaak!

Neem gerust je simkaart uit je telefoon en RA-RA wat...
Je kunt gewoon bellen, dus wat denk je zelf?

[Reactie gewijzigd door Cybertek op 23 juli 2024 08:06]

[Cerberus_tm]

Er zijn inderdaad andere manieren om ons te volgen. Winkels kunnen dat in elk geval niet. Ze kunnen wel Wifi-tracking toepassen, en het is dus goed als we dat kapot kunnen maken. Met name het vervuilen van hun databases met de "war" knop in Pry-Fi is aantrekkelijk.

[Martinspire]

Maar dat wil niet zeggen dat camera's een ander persoon gaan zien. In theorie is het mogelijk je te volgen vanaf het moment dat je de auto uit stapt, tot aan de kassa en weer terug de auto in. Ook al draag je dezelfde verhullende kleding.

Vooropgesteld dat er nergens blind-spots zijn natuurlijk, maar theoretisch is het ook mogelijk om zonder wifi oid je helemaal te volgen. Misschien niet met koppeling van adres en persoonsgegevens, maar wel wie waar loopt, wat doet en wat koopt.

[HenkEisDS]

Zet dan ook je GSM uit, bedek je gezicht en kleed je elke keer anders. Ik heb niet de illusie dat dit op den duur genoeg is.

Zelfs je hartslag is op afstand af te lezen en het ritme hiervan zal ook vast uniek zijn. Kan even geen bron vinden. Waar ik wel een bron van kan vinden is ECG, wat op dit moment volgens mij nog niet op afstand is uit te lezen, maar dat komt heus wel. http://ieeexplore.ieee.or....jsp%3Farnumber%3D1134388

[Anoniem: 457607]

De situatie in een echte winkel is niet te vergelijken. Op een content site (zoals bijv Tweakers) consumeer je al direct door in de "winkel" te zijn. Het produkt is namelijk de content. Tegenover die content staat een betaling, geen financiele, maar via gegevens, die weer leiden tot ads.

Overigens ben je ook met tracking nog steeds grotendeels anoniem. Het advertentiesysteem weet niet wie je bent. Het heeft alleen doelgroep informatie, zoals je interesses e.d.

[stresstak]

Het heeft alleen doelgroep informatie, zoals je interesses e.d.

Dat is tevens een nadeel. De kans is groot dat ik door die tracking vooral ads krijg passend bij mijn vermoedelijke interesses. Maar niet bij mijn niet-bekende interesses.
En vermoedelijk ook geen nieuwe uitdagingen, want niet bekend en te algemeen.

[SuperDre]

Bonuskaart is opt-in en een eigen, vrijwillige keuze.

klopt, maar je bent bv bij de appie-heijn toch echt een dief van je eigen portemonee als je geen bonuskaart gebruikt, scheelt echt honderden euro's per jaar voor een gemiddeld gezin (in iedergeval scheelt het mij als alleenstaande al honderden euro's per jaar)..

[r_j]

Heb je wel eens overwogen waarom ze zo'n bonuskaart hebben. Het kost AH natuurlijk wel een hoop geld. Het omzetverlies en de kosten worden kennelijk meer dan goed gemaakt op aan herhaalbezoeken en impulsaankopen (vanwege gerichte reclame).

[GateKeaper]

Alsof er met de huidige hoeveelheid pin transacties nog een bonuskaart nodig is om je klanten/aankopen te kunnen tracken.

[skullsplitter]

Tellen is prima, het ongevraagd bijhouden een tweede. Een Bonuskaart werkt enkel als je toestemming geeft immers, waar een electronisch oog enkel het aantal passanten kan bijhouden zonder verdere gegevens op te slaan.

Het probleem is dat het interessant is maar dat het je als gebruiker ook volgt over een langere periode.

[Niemand_Anders]

Supermarkten koppelen je boodschappen ook andere aan je bankrekening als je met pin betaal. Een pinpas behoort uniek te zijn en je mag hem zelfs eigenlijk nog niet eens aan een ander geven. Bonuskaarten worden vaak door een huishouden gedeeld.

Verschillende winkels doen ook aan Wifi tracking. OOK als je de winkel niet betreed maar er gewoon langs loopt... En wat zegt de organisatie (CBP) welke onze privacy moet beschermen? Dan moet je Wifi op je telefoon maar uit zetten. Dat is de wereld op zijn kop!

Gisteren stond hier een artikel over spyware via banner netwerken en dat om spyware te voorkomen je eigenlijk bijna een adblocker moet gebruiken. Hoe lang denk je dat het gaat duren voordat men massaal overgaat naar javascript blokkers..

[skullsplitter]

Nee, dat was het voornemen van naar ik meen de SNS-bank of ING. De betaling wordt niet gekoppeld aan het soort pas. Een bonuskaart geeft zichzelf die ruimte en kent een juridisch kader, een bankpas wordt momenteel niet gekoppeld aan type boodschappen.

[Niemand_Anders]

Nee, de ING wou inderdaad betaalinformatie verkopen aan derden partijen.

Als jij via pin je boodschappen betaald staan jouw pasgegevens op de kassabon. Alles wat op de kassabon staat, staat ook in het systeem van de supermarkt. De betreffende supermarkt doet verder niets met bijvoorbeeld de naam van de klant, maar het rekeningnummer wordt wel gebruikt om profielen zoals 'welke producten worden gekocht door terugkerende klanten'..

Daarnaast staat op elke kassabon een unieke orderid. Dat orderid zie niet alleen jij gewoon op je bankafschrift, maar welke retailer welke pin betalingen accepteert. Banken bieden zakelijke regelingen eenvoudige exports aan waarin datum/tijd, klantnaam, woonplaats, rekeningnummer, orderid, terminalid, bedrag en de opmerkingen staan.

Omdat JIJ aangeeft met pin te willen betalen, geef je de retailer op dat moment toestemming om jouw gegevens te verwerken.

De supermarkt gebruikte het rekeningnummer ook om te achterhalen welke filialen regelmatig worden bezocht. Als een relatief grote groep naar twee verschillende filialen gaat, dan ging men kijken of misschien een derde supermarkt een optie was.

Het rekeningnummer wordt in de profiel modellen alleen gebruikt als groeperingssleutel. Men kijkt dus niet specifiek naar jouw nummers, maar naar alle nummers in het algemeen.

supermarkten combineren ontzettend grote data stromen om elk filiaal het beste product aanbod te geven. Daarin zit zelfs een voorspellend model, want zodra er mooi weer op komst in, krijgt de filialen automatisch vanuit de centrale magazijnen extra BBQ producten. Gaat het (flink) vriezen, dan is er extra voorraad voor stampotten en gebonden soepen.

Supermarkten zijn op dit vlak echt niet zoveel anders dan een Google. Het draait allemaal om process optimalisatie. En hoe beter (completer) je profielen, hoe beter je forecoasting werkt..

[The Zep Man]

Supermarkten koppelen je boodschappen ook andere aan je bankrekening als je met pin betaal.

Bron? Ik claim niet dat het niet gebeurd, maar een (wetenschappelijk onderbouwd) artikel zou een handige referentie zijn in de toekomst.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 08:06]

[Martinspire]

Het elektronische oog kan wel dingen opslaan. Niet alleen passant-informatie. Tegenwoordig wordt het steeds makkelijker om mensen te herkennen op basis van gezicht of andere uiterlijke kenmerken. Zelfs het loopje of de manier waarop wij ons bewegen is te gebruiken.

Wifi tracking is ook maar 1 van de dingen. Wie zegt dat ze niet aan pakketten van het provider-netwerk kunnen zien wie wat is.

[jurrie]

In de echte wereld kun je dit tegengaan door geen bonus- of actiekaarten te gebruiken en contant te betalen. Ik doe niet aan zgn "voordeelpasjes" omdat ik niet geloof dat ik er uiteindelijk beter van word.

Ik vind het zeker niet de normaalste zaak van de wereld, en dat zal voor veel mensen die online tracking blokkeren ook gelden. Ik werk ook bij een bedrijf dat tracking toepast op hun websites en mijn ervaring is ook dat de sites hier veel trager door worden (voor de gebruiker). Nog een reden al die poespas te blokkeren.

[Martinspire]

Ga je dan ook je vingerafdrukken weghalen of je gezicht bedekken? Want dat gaat straks ook gewoon gebeuren door sommige winkels. Neem je een ander loopje aan of winkel je niet meer dan 1x in dezelfde winkel? Hoe voorkom je dat je DNA ergens komt?

Er is straks meer mogelijk dan dit hoor?

[Reactie gewijzigd door Martinspire op 23 juli 2024 08:06]

[5trife]

Als er een bewakingscamera hangt moet men ook een bordje hangen waardoor je ingelicht wordt.

Voor cookies zijn er al gelijkaardige wetgevingen in bepaalde landen. Ik zou verwachten dat de canvastekening erin opgenomen wordt.

[CAPSLOCK2000]

Dat is al zo. De wet zegt niet dat je geen cookies moet gebruiken. In de wet staat dat je toestemming moet vragen als je gebruikers volgt. Welke techniek je daar voor gebruikt doet er niet toe. Of je nu cookies, canvastekeningen of post-it velletjes voor gebruikt maakt geen verschil.

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 08:06]

[TheStef]

Dat iets kan wil nog niet zeggen dat het dan ook maar zonder enige regulering geaccepteerd hoeft te worden. Met name op dit gebied blijft de overheid laakbaar achterwege en loopt hopeloos achter de feiten aan.

Maak datagraaien onder duidelijke voorwaarden mogelijk, geef echter hele duidelijke grenzen aan, ook strafrechtelijk.

[Anoniem: 457516]

Ik vind het niet meer dan logisch dat het NIET wordt bijgehouden. Blijkbaar verschillen wij daarin van mening.

Mijn bonuskaart is niet aan mij gelinkt. Ik heb een anonieme kaart, die ik deel met meerdere mensen. Als er dus al gegevens vanaf gehaald worden, dan zijn die niet meer alleen op mij te herleiden.

Ik vind het in de echte wereld net zo'n slechte zaak als online.

[stresstak]

In de echte wereld vinden we het de normaalste zaak van de wereld,

Wacht effe, ¨¨WE " ?? IK niet hoor. Er zijn mensen doe op hun privacy gesteld zijn en dus ook tegen die handelingen van winkeliiers zijn. Het is lastig om alles te voorkomen maar ik heb geen bonuskaart, airmiles, kortingskaart of pinpas. Ik kom niet in zaken waar ik niet contant kan betalen. En zo nog wat acties. Geen facebook en soortegelijke.

[elhopo]

Ghostery detecteert in ieder geval wel de AddThis tracker op whitehouse.gov. Je kan hem dan ook blokkeren, dus dat beantwoord denk ik je vraag.

Los daarvan is het belachelijk dat je iets dergelijks moet installeren en gebruiken als je niet getraceerd zou willen worden.

[Anoniem: 67950]

In sandboxie de browser draaien en daarna de inhoud legen helpt ook..

Avast plugin blokkeert hem ook (Addthis)

En ik kom er zowiezo niet mee in aanmerking omdat de meeste tracking-sites in mijn hosts file naar localhost wijzen 127.0.0.1

[Reactie gewijzigd door Anoniem: 67950 op 23 juli 2024 08:06]

[Alfa1970]

Dat helpt niet omdat er met deze techniek nooit wat opgeslagen wordt op je systeem.

[himlims_]

maakt niet uit waar opgeslagen wordt; wanneer de route en rechten niet hebt om iets op te vragen, valt er ook weinig op te slaan

[Alfa1970]

Voor beveiliging ben je niet alleen van het OS afhankelijk, maar ook van de applicatie bouwer.
Als die het niet zo nauw neemt, bijvoorbeeld Google, die z'n eigen spyware heeft ingebouwd om alles van je te weten te komen, dan is het dweilen met de kraan open.

[[FSF]Moses]

Enigzins offtopic:

Handig om te weten is dat wanneer er een update van Ghostery is (althans bij mij) dat je zelf handmatig de instellingen (Trackers) steeds moet controleren of alles nog wel wordt tegen gehouden. Dit is mij de afgelopen maanden al een aantal keren ontschoten en kreeg weer een zooi ads te zien op vele sites. Na het opnieuw aanvinken van de categorieen was dat weer gefixed.

Heb even vluchtig op de website van Ghostery gekeken maar kon zo 1 2 3 niet veel vinden over canvas fingerprinting vinden behalve dit:
https://purplebox.ghostery.com/post/1016024218

Voor de zekerheid nog even de pagina zelf waar de pdf in het artikel gevonden kan worden:
https://securehomes.esat....car/persistent/index.html

Nog wat informatie hierover:
http://gizmodo.com/what-y...-new-online-tr-1608455771

[bloksnor]

Daar heb ik ook last van gehad, maar je kunt tegenwoordig aangeven dat nieuwe trackers standaard geblokkeerd moeten worden. Dat werkt voor mij nu uitstekend.

[cyberstalker]

Klopt. Als je nu op de 'all trackers' optie klikt in de instellingen krijg je bovenin je scherm een balkje waarin gevraagd wordt of nieuwe trackers ook geblokkeerd moeten worden. Het is semi-transparant dus je kijkt er zo overheen.

[[FSF]Moses]

Bedankt voor de tip maar dat balkje verschijnt bij helaas niet ergens bovenin wanneer ik dit uitvoer. Zal proberen uit te zoeken waarom niet

[thefal]

Offtopic:

In Firefox heb ik 1 widget toegelaten (disqus). Net boven de tabel waar je kan aangeven wat je wilt blokkeren heb ik dit staan:

Enable tracker library auto-updating
Tracker library last updated on July 21 2014 9:18 AM. Update now.

Volgens mij wordt dan het wel automatisch geupdate toch?

[[FSF]Moses]

Automatisch updaten klopt wel, dat gebeurt bij mij ook alleen het automagisch blokkeren van nieuwe elementen lijkt niet goed te gaan. Op zich geen ramp aangezien er duidelijk een melding in beeld komt wanneer er wat bijgewerkt wordt.

Misschien kan ik iets vinden in de about:config mbt Ghostery in Firefox? Iemand een idee?

[Armin]

Ik zou willen dat websites nou eens zouden stoppen met al dat tracking

Het valt in ieder geval gewoon onder de EU richtlijnen betreft tracking, dus men zou het moeten melden (als in EU 'gevestigde' site).

Maar de beste manier is nog altijd InPrivate browser & varianten, of als je privacy echt belangrijk vindt gewoon de browsercache leeg maken bij afsluiten. Alles is dan weg, dus bij de volgende sessie is er niets te 'tracken'

Geen add-ons voor nodig in principe, al erken ik dat hel wel lastig is om wachtworoden etc opnieuw in te typen.

[R4gnax]

Maar de beste manier is nog altijd InPrivate browser & varianten, of als je privacy echt belangrijk vindt gewoon de browsercache leeg maken bij afsluiten. Alles is dan weg, dus bij de volgende sessie is er niets te 'tracken'

En juist dat is bij het opstellen van de fingerprints waar het hier over gaat niet het geval. Deze zijn gebaseerd op jouw browser zelf en op instellingen van of geinstalleerde zaken op jouw OS.

[Armin]

Dat weet ik, maar maakt niet uit aangezien dit tracking-image gedelete wordt. Het canvas kan dus niet als tracking-cookie alternatief gebruikt worden, want is niet beschikbaar voor een tweede website / bezoek

Naturlijk kan men proberen via mijn browser & IP en andere meta data een uniek ID maken, wat bij elk bezoek opnieuw berekend wordt. Echter tracking-cookies zijn nu net uitgevonden omdat we weten dat deze old-school pre-cookie-tijdperk tracking extreem onbetrouwbaar zijn, want of te generiek (zoals browser versie), or te veranderlijk (IP adres).

Ik betwijfel of deze methode opeens wel kan. Immers, het artikel geeft enkel generieke methoden (entropie-bronnen) die niet zomaar op elke browser mogelijk zijn (zoals plugin lijsten).

[Reactie gewijzigd door Armin op 23 juli 2024 08:06]

[smeaggie]

Het canvas is juist ter vervanging van de tracking-cookie om juist te tracken over InPrivate browsing en soortgelijke methoden. Normaal wordt er éénmalig een hash gemaakt en in een cookie geplaatst om jou te identificeren. Wat er met deze canvastekening gebeurd is dat dezelfde hash bij élk bezoek opnieuw gegenereerd wordt. De tekening wordt dus niet opgeslagen voor een herhalingsbezoek, maar bij het volgende bezoek opnieuw opgebouwd! Op basis van je browser instellingen blijkt dat dus al behoorlijk uniek te zijn per bezoeker. (zie enkele links hierboven genoemd om te zien hoe "uniek" je bent)

[Armin]

Dat snap ik, maar dat is nu net het punt. Het opnieuw renderen van het canvas en dan omzetten naar een hash, is onbetrouwbaar of generiek.

Immers, dezelfde hardware zal dezelfde canvas geven. Nu denk jij aan PC's, maar ik denk aan de meerderheid van internet devices zoals telefoons en tablets waar de hardware identiek is tussen miljoenen gebruikers. Het artikel stelt dan ook als voorbeeld dat men hiermeer het OS en systeem kan identificeren. Welnu dat geloof ik wel, maar dat is wat anders dan mijn persoon.

De andere zaken (hoge entropie bronnen) zijn speculatie als je goed leest. Bovendien vaak - zoals pluginlijsten - ook niet mogelijk of ook weer generiek.

Het is dus een informatie-lek dat gesloten moet worden, maar nog geen bewezen tracking middel.

Men probeert al 10+ jaar een unieke ID te genereren. Dat is tot nu toe elke keer mislukt, laat staan dat het gekoppeld kan worden aan een persoon. Zo kan men mij in beperkte mate wel tracken, maar weet men niet of ik op mijn telefoon dezelfde ik is als ik op mijn tablet. Vandaar dat tracking cookies uitgevonden zijn.

Het artikel van de onderzoekers gaat niet voor niets ook in op twee methoden die in feite geavanceerde cookies zijn, en het wissen van de client proberen te omzeilen.

[SkyStreaker]

Ik dacht dat dit "html5-cookies" waren? Evenzo, dit krijg ik wel weg met bijv. BleachBit, mocht iemand daar interesse voor hebben.

[himlims_]

voorkomen is beter dan achteraf genezen met schoonmaak tool;
- https://www.ghostery.com/nl/
- https://tails.boum.org/
- http://noscript.net/
etc

[Benji87]

Als het over HTML5 cookies gaat, gaat het meestal over HTML5 Local Storage. Dat is een cookie alternatief die tenminste niet de data zelf steeds naar de server stuurt. Ook is het makkelijk voor de gebruiker om de local storage te legen.

Dit gaat over tracking door kenmerken van de PC van de gebruiker (wel met een nieuwe HTML5 techniek idd (canvas), maar ik geloof niet dat het over het algemeen HTML5 cookies worden genoemd), zoals aanwezigheid van bepaalde fonts enzo. Ik weet ook niet hoe BleachBit daar tegen wil gaan beschermen?

[Reactie gewijzigd door Benji87 op 23 juli 2024 08:06]

[SkyStreaker]

BleachBit verwijderd ze. Ik wou nl. een programma hebben die de "persistant cookies" (vziw zijn dat html5-cookies) kon verwijderen.

[Reactie gewijzigd door SkyStreaker op 23 juli 2024 08:06]

[Benji87]

Wat verwijdert BleachBit dan? Je lettertypen?
Het idee van fingerprinting is dat je geen cookies nodig hebt die de gebruiker kan verwijderen. Je maakt gewoon een plaatje, vult die met teksten in alle fonts die je kan bedenken, en afhankelijk van de fonts die op de computer staan komt daar een ander plaatje uit. Vervolgens gooi je nog andere informatie die vrij beschikbaar is zoals de browser en operating system net zo lang totdat je een uniek plaatje hebt voor elke bezoeker.
Vervolgens maak je een hash van het plaatje, store je die op de server en de volgende keer dat de gebruiker langs komt zal hij hetzelfde plaatje aanmaken en weet de server dus dat het dezelfde gebruiker is.

De enige manier om dit te voorkomen is dus door iedere keer genoeg informatie te veranderen (installeren en deïnstalleren van font packs, veranderen van browser, etc.) zodat de server je niet meer kan herkennen. Of met z'n alle een browser gebruiken die alleen Comic Sans in canvas afbeeldingen rendert, zodat bijna iedereen hetzelfde plaatje krijgt.

[primanocte]

is het niet zo dan dat je browser alleen de beschikking heeft over de web-safe fonts? of kunnen ze je hele font library uitlezen? .. dat lijkt me op zich al een probleem dan, toch? is niet echt iets wat ik via m'n browser beschikbaar wil hebben die informatie

[goeroeboeroe]

web-safe fonts bestaan niet. Dat zouden dan fonts zijn, neem ik aan, die op elke computer/tablet enz .zijn geïnstalleerd? Je had ooit wel web-safe kleuren, maar dat is inmiddels achterhaald.
Je kunt inderdaad al je fonts uitlezen. Twee sites waar je kunt zien wat je browser zo allemaal doorstuurt (als JavaScript utistaat, wordt dat gelijk 'n heel stuk minder):
https://panopticlick.eff.org/index.php
http://browserspy.dk/

[kimborntobewild]

Panopticlick lijkt me niet zo geschikt. Ze geven aan allerlei gegevens van je op te slaan (en dus niet direct weer weg te gooien na je bezoek).
Moet je die vertrouwen?

[Finraziel]

Maar is je verzameling fonts dan zo uniek? Ik doe nooit iets met fonts, ik zou verwachten dat ik dezelfde verzameling fonts zou hebben als de meeste andere windows 7 gebruikers die nooit iets met fonts doen. Of installeren andere programma's geregeld fonts mee als ze zelf geïnstalleerd worden?

[HenkEisDS]

Niet uniek genoeg om voor trackingdoeleinden te gebruiken, maar voeg daar andere gegevens zoals in de link van goeroeboeroe staat (https://panopticlick.eff.org/index.php) dan wel.

Kijk voor de grap maar eens in je eigen C:/Windows/Fonts mapje, voeg de kolom 'Date modified' toe door met je rechtermuis op de kolomheader te klikken en sorteer daar op. Je ziet dan welke allemaal na je Windows install zijn toegevoegd. Dit kan gewoon door een windows update zijn, die niet iedereen uitvoert, maar ook door andere software zoals je zelf al aangeeft. Gare bloatware van je printer/scanner, Adobe Photoshop, Flash. Ik kwam er 1 tegen van een Joomla template die ik volgens mij niet bewust heb geïnstalleerd.

[SiGNe]

Na een check op panopticlick zie ik dat ik redelijk identificeerbaar ben aan de hand van m'n browser-plugins, 1 op de 4,3miljoen computers hebben dezelfde plugins dus de kans dat ik het niet ben is ook klein.

M'n bankplugin ga ik op "ask to activate" zetten in elk geval, erg handige app maar elke website kan in principe zien bij welke bank ik bankier.

[Reactie gewijzigd door SiGNe op 23 juli 2024 08:06]

[Finraziel]

Inderdaad, bij mij is dat hetzelfde. Alleen het is nog iets erger, er staat dat je uniek bent in de 4,3 miljoen tot nu toe geteste browsers op die site, dus het kan best zijn dat de kans dat je iemand met dezelfde configuratie treft nog veel kleiner is.
Mijn fonts zouden volgens die site 1 op 1442283,33 zijn, dat is die 4,3 miljoen gedeeld door drie, oftewel er zijn pas 2 keer eerder systemen geweest die die test gedaan hebben met dezelfde font configuratie als ik... bizar!
Als ik al die factoren met elkaar vermenigvuldig dan kom ik ergens in de duizend miljard miljard. Zo simpel zal het wel niet liggen (sommige factoren correleren waarschijnlijk), maar toch illustreert het inderdaad vrij duidelijk hoe ik met deze informatie uniek identificeerbaar ben...

[kimborntobewild]

...oftewel er zijn pas 2 keer eerder systemen geweest die die test gedaan hebben met dezelfde font configuratie als ik... bizar!

Daar is absoluut niks bizars aan. Het is gewoon simpele rekenkunde.

[Cerberus_tm]

Of regelmatig je browser agent te veranderen: die gebruiken ze ook om hun fingerprint op te baseren. En Noscript blokkeert standaard Javascript van Addthis, ook als je Javascript van het domein van de website waar je op bent wel toestaat, dus dan werkt het ook niet. Daar zouden ze wel weer op kunnen anticiperen, maar voorlopig doen ze dat niet en kun je je privacy enigszins beschermen.

[kimborntobewild]

Als je NoScript gebruikt kan je dus gelijk 99% van de websites niet meer fatsoenlijk gebruiken.

[Cerberus_tm]

Nee hoor, je kunt javascript b.v. aanzetten voor Tweakers.net maar uitlaten voor Addthis. Dan kunnen advertenties geen javascript laden maar de hoofdsite wel.

[MBV]

Dit zijn zoals SkyStreaker al zegt geen cookies, maar wat javascript zonder opslag. Hij test of je pak-em-beet Arial hebt geinstalleerd, de combinatie van al dit soort features is goed genoeg om personen individueel te kunnen tracken.

[Anoniem: 13087]

Er zijn zoveel manieren om cookies "vast" te zetten... geen idee waarom iedereen zich zo druk maakt om het verwijderen, maar probeer deze site eens om te kijken of jouw tool alles aan kan http://samy.pl/evercookie/

Ik vind het eigenlijk best slim wat ze allemaal bedenken

[Cerberus_tm]

Ik heb Javascript toegestaan voor die site, maar toch blijft hij hangen bij *creating...*. Ook als ik "click to rediscover" klik blijft hij hangen bij *checking...*. Dus ik vermoed dat evercookies niet werken in mijn Firefox, mogelijkerwijs door Noscript.

[RangedNeedles]

Hmm, ik begrip het niet helemaal. Hoe kan een gebruiker via een getekende afbeelding gevolgd worden? Dit wordt toch clientside getekend? Of wordt de image telkens geüpload en dan vergeleken met elkaar?

**EDIT**
OK, volgens onderstaande tekst uit het verslag, gebruiken ze de image niet zelf, maar een tekstuele voorstelling hiervan.

When a user visits a page, the fingerprinting script
first draws text with the font and size of its choice and adds
background colors (1). Next, the script calls Canvas API's
ToDataURL method to get the canvas pixel data in dataURL format (2), which is basically a Base64 encoded representation of the binary pixel data.

[Reactie gewijzigd door RangedNeedles op 23 juli 2024 08:06]

[The Zep Man]

Hmm, ik begrip het niet helemaal. Hoe kan een gebruiker via een getekende afbeelding gevolgd worden? Dit wordt toch clientside getekend? Of wordt de image telkens geüpload en dan vergeleken met elkaar?

De gebruiker wordt niet direct gevolgd. Diens computer wordt uniek geïdentificeerd, wat vaak voldoende is om de gebruiker uniek te identificeren en te volgen. Een voorbeeld.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 08:06]

[njitter]

dit is een relevanter voorbeeld: https://www.browserleaks.com/canvas

[RangedNeedles]

Dus - in combinatie met m'n edit van m'n voorgaande post - kunnen ze me uniek identificeren en de unieke identifier opslaan in pakweg m'n local storage, voorzien door HTML5.

Wanneer ik dan andere pagina's bezoek, kunnen zij m'n local storage opvragen en dus ook de unieke identifier, en weten ze dat ik het ben. Maar... wat dan? Dan weten ze puur dat ik op dat moment die pagina bezoek? Of zit er nog wat meer achter?

**EDIT
OK, hebbes, thanks all

Om het tegen te gaan, kan je dan misschien best het uploaden blokkeren. Het blokkeren van het canvas element, heeft meer nadelen dan voordelen, lijkt me.

[Reactie gewijzigd door RangedNeedles op 23 juli 2024 08:06]

[Daanoz]

Ze gebruiken unieke browser/OS kenmerken, bijvoorbeeld fonts, kleuren, rendering om een afbeelding te tekenen. De afbeelding zetten ze om naar een base64 string. Deze string heeft een checksum van een x aantal tekens. Die sturen ze op naar een server, en die slaat deze op.
Op een andere pagina/website doen ze hetzelfde, in theorie komt hier weer exact dezelfde afbeelding uit, wederom versturen ze die naar de server. Voila, men weet waar je bent en waar je was.

[Maurits van Baerle]

De truc is juist dat het niets opslaat in je local storage. Zowel gewone cookies als 'HTML5 Cookies' slaan iets lokaal op. Als het lokaal is opgeslagen kun je het ook verwijderen.

Het verschil met canvas fingerprinting is dat er niets lokaal opgeslagen wordt. Er wordt server-side een unieke (of redelijk unieke) fingerprint van jouw machine opgeslagen. Als je dan de volgende keer langskomt weet de server je nieuwe sessie te koppelen aan de oude.

Cookie crushers, surfen in Private Session etc. helpen hier dus ook niet tegen. Het enige wat eventueel zou kunnen helpen is als het verzenden van de fingerprint wordt tegengehouden.

[incaz]

Met de functie 'ToDataUrl()' wordt de gerenderde image geconverteerd naar een url (base64-encoded.) Die url kun je vergelijken. Alleen hoe die informatie naar de servers gaat heb ik nog niet helemaal helder (en dus ook niet helemaal waarom dit niet zou worden tegengegaan door extensions die thirdparty informatie naar bepaalde sites blokkeren.)

De paper is trouwens interessant en goed te lezen. Heb het nog niet helemaal uit.

[WokeBroke]

Toen ik nog websites maakte gebruikte ik een md5 van ip+browser+os op mijn inlog systeem, inplaats van cookies.

[svenslootweg]

Dat is een bijzonder onveilig systeem.

[blorf]

Het is maar hoe je het bekijkt. Is de mogelijkheid om cookies op te slaan een kleiner risico dan mogelijk kwetsbaar zijn voor een session-id hijack? Sinds Assange en Snowden is "beveiligingstechnologie" een wat bredere term geworden. We hebben meer vijanden dan alleen hackersgroeperingen.

[Reactie gewijzigd door blorf op 23 juli 2024 08:06]

[PdeBie]

want? graag wat onderbouwing

[Maurits van Baerle]

Volgens mij is veiligheid helemaal niet z'n doel. Of het 'onveilig' is is dus irrelevant.

De vraag is hoe betrouwbaar het is. Wat is de kans op clashes? Clashes zijn niet ondenkbaar maar als die onder een acceptabel niveau blijven kan het best een aardig alternatief zijn. Als ze laag genoeg zijn is het misschien wel betrouwbaarder dan reguliere cookies.

[Reactie gewijzigd door Maurits van Baerle op 23 juli 2024 08:06]

[Ypho]

Ja, alleen is dat totaal niet handig als iemand op school in een Mediatheek zit, op kantoor waar iedereen dezelfde systemen gebruikt of de bibliotheek. Allemaal hetzelfde IP, en vaak ook dezelfde OS en Browser.

[Cryothic]

Maar in die gevallen is die canvas-tekening toch ook nutteloos?
Als alle machines dezelfde software draaien en zelfde fonts hebben e.d. binnen 1 netwerk? Of zie ik dat verkeerd?

[Ypho]

Ook de tijd wordt geregistreerd in zo'n tekening. Als de tijd in de tekening niet overeenkomst met wat zij (waarschijnlijk) in hun DB hebben opgeslagen, klopt de fingerprint niet. Nu is dit uiteraard ook niet 100% waterdicht... Maar cookies zijn ook niet waterdicht.

[WokeBroke]

Je hebt gelijk, maar ik maakte de website's niet voor derde, en ik gaf ook netjes aan dat het niet toegestaan was om aangemelden op een school of bedrijfs netwerk.

[msentinelb]

html 5 cookies zijn op "local storage" gebaseerd en daar kun je veel meer informatie in opslaan dan in een normale cookie.

[coolbvrobin]

Ik hoop dat er software komt wat dat tegenhoud.. het wordt wel steeds gekker.

[stresstak]

Ik hoop dat er software komt wat dat tegenhoud.. het wordt wel steeds gekker.

Ik zou alle ellende die op me afgevuurd wordt willen ´bouncen´. Opzouten met de spioneer- en graaimentaliteit. Bah !

[PdeBie]

Maar hiermee valt 'in-private browsing' dus ook om. Want de 'cookies' worden niet verwijderd nadat je de sessie sluit.

[Torched]

in-private is ook puur voor je eigen systeem. Oftewel zooi waarvan je niet wilt dat het op de lokale machine terug te vinden is. Zo zie ik het iig.

Niet dat ik deze manier van tracken goedkeur maar ik heb allang geen illusies meer over dat er niets wordt bijgehouden serverside.

[PdeBie]

ja zo zie ik het ook, maar omdat je cookies weg worden gegooid nadat je de browser sluit is het voor de site wellicht al een stukje moeilijker om je te koppelen aan een eerder profiel wat ze hadden. Dat gaat met dit weer een stuk makkelijker.

[Zyppora]

Het bedrijf claimt dat het gebruikersdata afkomstig van canvas fingerprinting alleen heeft gebruikt voor intern onderzoek en dus niet inzet om het surfgedrag van internetgebruikers in kaart te brengen

Je gaat mij niet wijsmaken dat trackingtechnieken op whitehouse.gov louter gebruikt worden om intern onderzoek te plegen, tenzij profiling bij de NSA als 'intern' beschouwd wordt.

Wat zijn de gevaren van dit canvas? Het lijkt er niet op dat er iets op de bezoekende machine gezet wordt (cookies, temp files, etc) dus hoe zit het met het risico van malware verspreiding via deze methode?

[Anoniem: 221563]

Ik snap het niet helemaal. Een cookie gebruik je om wat waardes in op te slaan. In geval van een tracking cookie dus een tracking code. Daarmee is de hele vergelijking met cookies ook klaar aangezien cookies hele andere toepassingen hebben.

"geïnstalleerde lettertypes, de tijd en browsergegevens". Mijn geinstalleerde lettertypes veranderen dagelijks, de tijd nonstop en browsergegevens ook. Dan krijg je toch iedere keer een nieuwe 'handtekening'?

Vind het trouwens wel een omslachtige methode om die gegevens eerst naar een afbeelding te zetten. Waarom niet gewoon direct hashen? Je kunt de extra variables zoals kleur ed gewoon meenemen.

[incaz]

Tijdzone, niet tijd. Als ik het goed begrijp gaat het bij device finger printing inderdaad om hashing van lettertypes, plugins en browsergegevens.
Canvastekeningen gebruiken zaken als font-aliasing en subpixel-rendering, en zijn daarom wellicht stabieler dan device fingerprinting.