WEB TRACKING WIE WIR BEIM SURFEN VERFOLGT WERDEN. Stefan Schlott

Transkript

1 WEB TRACKING WIE WIR BEIM SURFEN VERFOLGT WERDEN Stefan Schlott

2 WER UND WARUM

3

4 SEITENBETREIBER Neugierde Infos für Partner, Management, Marketing: Was wird wie lange angesehen Welche Seiten werden in welcher Reihenfolge betrachtet Was führt zum Verkaufsabschluß

5

6

7 WERBEINDUSTRIE Werbebanner-Verkäufe Marktforschung seitenübergreifendes Tracking!

8 VISUALISIERUNG ( Lightbeam)

9 WIE: COOKIES

10 FUNKTION COOKIES (1)

11 FUNKTION COOKIES (2)

12 COOKIES LÖSCHEN Dilemma: Ohne Cookies funktioniert faktisch keine Webseite Cookies am Sitzungsende löschen : Sitzung wird faktisch nicht mehr beendet Addon Self-Destructing Cookies: Löscht Cookies x Sekunden nach Verlassen der Webseite (außer bei gesetzten Ausnahmen)

13 WIE: E-TAGS, LOKALER SPEICHER

14 E-TAG Ursprünglicher Zweck: Caching (bei unbestimmter Cache-Zeit) E-Tag = Fingerabdruck einer Datei Browser liefert E-Tag in Anfrage mit (wie Cookie) Server kann ggfs. mit ist nicht verändert antworten Mißbrauch als Cookie-Ersatz möglich

15 Addon E-TAG-PROBLEM VERMEIDEN Ausweg: Caching deaktivieren (auch nicht gut ): about:config, browser.cache.disk.enable, browser.cache.memory.enable http UserAgent Cleaner erlaubt es, E-Tag-Header zu blockieren

16 LOKALER SPEICHER Es gibt weiteren lokalen Speicher neben den Cookies! html5 Offline Web Content: Mindestens auf Rückfragen stellen Lokaler Flash-Speicher: Blockieren oder Rückfragen (über die Systemeinstellungen)

17 EINZIGARTIG?

18 GESCHWÄTZIGER BROWSER ( Panopticlick)

19 VIELE INFO-LECKS ( IP Check)

20 WIE: FINGER- PRINTING

21 HEADER-FINGERPRINTING ( Panopticlick)

22 HEADER-FINGERPRINTING Kombination verschiedener Angaben macht Browser einmalig Abhilfe: Wenig Informationen streuen - als Endanwender schwierig zu steuern

23 CANVAS-FINGERPRINTING Ausgabe von Schrift, Linien, etc. in verstecktem Bereich der Seite Anschließendes Auslesen des Ergebnis Unterschiede aufgrund von installierten Schriften, Grafiktreibern, etc. Studie von 2014: Auf ca. 6% der Webseiten!

24 JAVASCRIPT DEAKTIVIEREN JavaScript: Eröffnet viele Tracking-Möglichkeiten Faktisch jede Webseite verläßt sich aber auf JavaScript Selektives Aktivieren von JavaScript mit NoScript umatrix: Einschränkungen speziell im Hinblick auf Privatsphäre Beides leider recht unkomfortabel, eher für technisch Versierte

25 WIE: SUBVERSIVE PLUGINS

26 TROJANISCHES PFERD IM BROWSER Vermeintlich hilfreiches Plugin mit verborgener Zusatzfunktion Oder: Übernahme eines populären Plugins, Ausrollen der Schnüffelfunktion durch Updates

27 BEISPIEL: WEB OF TRUST / PROXTUBE Plugins mit ursprünglich sinnvoller Funktion übermittelten jede aufgerufene URL ungefiltert an Server Anonymisierung höchst unzureichend Siehe Vortrag Build your own NSA auf dem 33C3

28 BLOCKIEREN VON TRACKERN PRO UND CONTRA

29 WERBEFINANZIERTE DIENSTE Viele Seiten werbefinanziert Es fehlen alternative Bezahlmöglichkeiten Micropayment wie flattr nicht etabliert

30 VERGLEICH HINKT! Werbung a la Zeitung ok Aber: Meine Zeitung blinkt nicht! Aber: Meine Zeitung macht nicht plötzlich Musik! Aber: Die Werbung meiner Zeitung ploppt nicht plötzlich heraus Aber: Meine Zeitung spioniert nicht!

31 MALWARE-SCHLEUDERN Werbe-Industrie: Gegenseitiges Misstrauen Werbetreibende wollen Content selber ausliefern (einzige Möglichkeit der Kontrolle der Anzahl der Impressions) Kein Einfluss auf Inhalt durch Werbenetzwerk! Perfekt, um maßgeschneidert Schadsoftware zu verteilen Google-Werbenetzwerk Ads wegen Malware

32 ESKALATIONS-STUFEN Kommunikation erlauben Daten, die identifizieren könnten, filtern Kommunikation komplett unterbinden

33 VERHALTENS- BASIERTES BLOCKIEREN

34 DO NOT TRACK Standardisierter Header bei http-anfragen Opt-Out: Ich will nicht überwacht werden! Nutzen zweifelhaft

35 DO NOT TRACK DURCHSETZEN Plugin Privacy Badger von der EFF Beobachtet Verhalten von inkludiertem Content Verdachtsmomente: Cookie mit hoher Entropie (Verdacht auf eindeutige ID) Supercookie Verwendung von Fingerprinting-API Auf 3 unterschiedlichen Seiten erwischt? Blockieren! Whitelist (zentral gepflegt): Inhalt Laden, aber Cookies o.ä. blockieren

36

37

38

39

40 BLACK- UND WHITELIST Benutzer kann Quellen manuell sperren Seiten können durch ein Privacy-Agreement sich von Privacy Badger freistellen

41 LISTEN- BASIERTE BLOCKER

42 DATENSCHNÜFFLER BLOCKIEREN Werbeblocker ublock Origin kann nicht nur Werbung, sondern auch beliebige andere Elemente blockieren. Konfigurierbar über abonnierte Listen : EasyPrivacy+EasyList: Blockiert Werbung und viele bekannte Web Bugs Fanboy's Social Blocking List: Blockiert von Facebook & Co eingebettete Inhalte Malware Domains: Blockiert Webseiten, die als Virenschleudern bekannt sind

43 VOR- UND NACHTEILE Sehr komfortabel, hohe Usability Selektiver Eingriff, macht nichts kaputt Hilft nur gegen bekannte Tracker

44 MEHRERE BROWSER (PROFILE)!

45 MEHRERE BROWSER-PROFILE Eigentlich für Benutzer-Verwaltung gedacht Erlaubt es, denselben Browser mehrfach zu starten mit unterschiedlichen Einstellungen, Daten, etc.!

46 PRIVATE BROWSING Sandbox -Browsersitzung Cookies, etc. werden nach Schließen des Fensters gelöscht

47 KLARNAMEN-BROWSER Alles, was mit dem eigenen (echten) Namen assoziiert ist Einkaufen, Banking, etc. Möglichst wenig Aktionen hiermit machen!

48 SOCIAL-MEDIA-BROWSER Facebook, Twitter, Google-Plus, etc. sind über Like -Buttons o.ä. quasi omnipräsent Tracking! Wenn eingeloggt: Personenbezug!

49 CASUAL BROWSING - BROWSER Für alles weitere - Surfen, Recherche, etc. Neues Browserprofil, am besten im Private Browsing -Mode oder noch besser: Tor Browser Bundle

50 TOR Bisher: Verhindern von Tracking durch Webseiten - auf Ebene von http IP-Adresse bis dato noch sichtbar Tor: Verschleiern der IP-Adresse Tor Browser Bundle: Vorkonfiguriertes Tor+Browser ohne Daten-Schlupflöcher Tor-Browser: Speziell angepaßte Firefox-Version, kümmert sich um die zuvor genannten Probleme Für Android: Orbot und Orfox

51 FAZIT Persönlicher Tradeoff Komfort vs. Privatsphäre Mindest-Addons: ublock Origin und Privacy Badger Zahl der Addons gering halten Splitten auf mehrere Browser-Profile Browser-Hygiene: Gelegentlich alle Einstellungen (History, Cookies, etc.) löschen