Деанонимизация пользователей VPN и proxy через User agent и отпечатки браузера

В этом курсе у нас не одна глава будет посвящена этим отпечаткам, здесь скажу кратко. Canvas и WebGL – отпечатки, получаемые благодаря тому, что все наши браузеры обрабатывают 2D- и 3D-графику немного по-разному. В совокупности эти отпечатки обладают довольно высокой уникальностью. Посмотреть свой отпечаток Canvas вы можете тут, а WebGL – тут.

Audio fingerprint – отпечаток, получаемый благодаря особенностям обработки звука. Посмотреть свой отпечаток можно по данной ссылке.

Уникальность каждого отдельного отпечатка не так высока, если вы не используете какой-нибудь плагин для подмены Canvas или WebGL. Обычно такие плагины выдают абсолютно уникальное значение отпечатка, и вот в этом случае ваша уникальность становится стопроцентной. Сложно придумать что-то хуже использования подобного плагина.

Но даже если вы не используете таких плагинов, когда ваши отпечатки складываются вместе, к ним добавляются иные данные браузера, и уникальность становится очень высокой, вплоть до 1-10 устройств во всем мире.

Итак, с помощью данных браузера и отпечатков мы уникализировали браузер пользователя, а как же происходит деанонимизация, иными словами, получение подлинного IP-адреса или сразу личности пользователя?

Представьте себе ситуацию: преступник покупает в интернет-магазине товар, расплатившись краденой картой. Магазин использует антифрод систему, которая собирает данные о покупателях, включая все их отпечатки. У владельца магазина на руках IP-адрес, который, естественно, не принадлежит пользователю (у подобного рода мошенников распространено проксирование трафика с использованием SSH-туннеля), и все данные его браузера, включая User agent и отпечатки.

Во-первых, владелец магазина может добавить его в черный список, и преступник, не сменив отпечатки, более ничего не купит, а если он их сменит, современные антифрод системы обнаруживают такие подмены и ограничивают пользователей.

Во-вторых, он может обратиться в правоохранительные органы. Представим, что владелец магазина потерял много денег и обращается к правоохранительным органам. За дело берется ФБР. Кибермошенничество уже давно стало их коньком, и много киберпреступников из разных стран мира посетили скамью американского суда.

Из информации о преступнике есть IP-адрес сервера, через который он проксировал интернет-трафик. И первым делом они, безусловно, проверят, кто подключался к серверу. Часто мошенники используют купленные на черном рынке взломанные сервера и подключаются к ним через SSH.

У ФБР есть контакт и с Интерполом, и со всеми ведущими хостинг- и интернет-провайдерами, а даже если нет, мало кто решится не ответить на их запрос. Киберпреступник, вероятно, использует несколько уровней защиты, подключаясь к конечному прокси через другой инструмент проксирования трафика. Это не вызовет проблем, просто займет немного больше времени.

Киберпреступники из России, как правило, хорошо осведомлены о данных возможностях спецслужб и не переоценивают защиту, даваемую proxy и VPN. Потому используют мобильный интернет при помощи 4G-модемов и купленных без оформления на свои данные сим-карт, в результате в руках спецслужб оказывается лишь примерное место выхода киберпреступника в сеть.

И здесь на помощь приходят отпечатки браузера. Вы, вероятно, ждете услышать, что берутся отпечатки браузера, оставленные преступником, и по ним он деанонимизируется? Нет, это невозможно, как бы вас ни пугали отпечатками, они не столь опасны в этом случае.

Однако они эффективны в другом случае. Например, мошенник имеет несколько аккаунтов в Google в одном браузере. С одного из них он шлет мошеннические письма, другой использует в личных целях. Это не обязательно должен быть Google, пусть это будет Facebook. И Google, и Facebook собирают отпечатки и используют их для поиска аккаунтов, зарегистрированных с одного устройства.

Мошенник хорошо разбирается в вопросах безопасности, использует режим инкогнито для «грязных дел» и разные VPN. Но благодаря User agent и отпечаткам, система видит, что это один человек.

Дальше его преступления ложатся в основу уголовного дела, и правоохранительные органы отправляют запрос условному Google с целью получить данные о пользователе, включая информацию, какие еще аккаунты у него есть. Как вы понимаете, они получат все аккаунты мошенника, включая личные, по которым его можно вычислить.

Предложенный метод практически не работает против пользователей браузера Тор, хотя многие компании и пытаются их уникализировать, по моим сведениям, пока это получается у них весьма посредственно.Ну а главной защитой от данной угрозы является использование разных браузеров. В этом случае и User agent, и отпечатки браузера будут отличаться.