Usable Privacy Box (upribox)

Transkript

1 IT Security Usable Privacy Box (upribox) Markus Huber Usable Privacy Box

2 Vor rund 20 Jahren...

3

4 Outline Tracking Methoden Schutz gegen Tracking upribox Idee Design Prototyp Ausblick

5 Wie werden Benutzer getrackt?

6 Verwendung von Drittanbietercode nimmt stetig zu... Werbenetzwerke z.b. doubleclick,... Analytics Software z.b. Google Analytics Social Widgets Facebook Like, Twitter Buttons, APIs, CDNs Google Font API, jquery, cloudflare, etc.

7 Die größten Tracker... knowyourelements.com

8 Tracking Standard HTTP Cookies Lange Gültigkeitsdauer Eindeutige ID pro Benutzer Super Cookies Adobe Flash, Silverlight, etags...

9 Cookie Respawning Cookie Respawning = Wiederherstellen von gelöschten Cookies Wird das HTTP Cookie gelöscht, wird es über HTML5 storage wiederhergestellt Browser-übergreifendes Setzen von Cookies (Adobe Flash)

10 Browser Fingerprinting Browser-Eigenschaften anstelle von Cookies Stateless Tracking Web-browser Fingerprinting Installierte Schriftarten User Agent String Auflösung

11 Auswirkungen von Benutzertracking Sensible Informationen werden aufgezeichnet Datingpräferenzen, Religion, politische Einstellung, Krankheitsgeschichte, De-Anonymisierung Tracking cookies um Tor Benutzer zu deanonymisieren Gezielte Angriffe Benutzer können eindeutig identifiziert werden

12 Schutz gegen Benutzertracking

13 Schutz gegen Benutzertracking Webseiten Betreiber Analytics Einstellungen Piwik als Alternative zu Google Analytics Click-to-Play Social Widgets Opt-out Opt-Out von verhaltensbasierten Werbungen Browser Einstellungen Keine Drittanbieter-Cookies, privater Modus Blocking-Tools Host Dateien Spezielle Browser Erweiterungen

14 Opt-Out Initiativen Spezielle Webseiten um Opt-Out Cookies zu setzen Probleme: Gültigkeit der Cookies, Löschen der Opt-Out Cookies Browsererweiterungen für permanente optout cookies TACO, Keep My Opt-Outs Do Not Track (DNT) HTTP Header Webseiten müssen DNT Header honorieren Noch keine weitreichende Adaptierung Benutzerdaten werden immer zu Server übermittelt

15 Host-Dateien Ersetzen Standard Host-Datei auf Betriebssystemen Erste Projekte vor über 15 Jahren gestartet Werbung, Tracker, Malware, etc. Domains werden auf localhost (nirvana) aufgelöst Erleben Renaissance bei gerooteten Smartphones

16 Host-Dateien Beispiele MVPS 13,860 Einträge Werbung, Tracker, Scams Peter Lowe's List 2,428 Einträge Werbung, Tracker Mother of All Adblockers (MoaAB) 125,225 Einträge Werbung, Tracker, Malware 21,639 ungültig

17 Host-Dateien Pro/Con False Positives static.kleinezeitung.at (MVPS) real.com (hphosts) Filtern sehr grob Komplette Domain/Subdomain wird geblockt Spezifische URLs können nicht geblockt werden (e.g. newyorktimes.com/tracker.js) Keinen Performance Overhead Universell einsetzbar Windows, MacOS, Linux etc. Gerootete Smartphones

18 Browser Erweiterungen Populärste Methode um Werbung/Tracker zu blockieren Adblock Plus war 2014 die beliebteste Firefox Extension

19 Browser-Erweiterungen für Werbung AdBlock Plus (ABP) Werbung wird blockiert und ausgeblendet Kontroversen im Jahr 2012 zu Acceptable Ads Acceptable Ads sind bei AdBlock Plus standardmäßig aktiviert Basiert auf EasyList ABP Fork: AdBlock Edge AdBlock Basiert auf EasyList Füllte die Lücke von AdBlock Plus für Google Chrome MOS2 - PETS Wintersemester 2014 Markus Huber

20 ublock Verwendet EasyList, EasyPrivacy und Peter Lowe's List Keine Acceptable Ads Fokus auf Performance und Privacy MOS2 - PETS Wintersemester 2014 Markus Huber

21 Adblock Plus Filter Regeln Eigene Regex für Regeln Blockregeln (Blacklist und Whitelist) Kosmetische CSS-Regeln (Blacklist und Whitelist) EasyList ~17,000 Blockregeln (~3000 Exceptions) ~25,000 CSS-Regeln (~600 Exceptions) EasyPrivacy ~9,000 Blockregeln (~700 Exceptions) Länderspezifische Listen MOS2 - PETS Wintersemester 2014 Markus Huber

22 Tracker Blocker Ghostery Erkennen und Blockieren (Opt-in) von Webtrackern Opt-In für anonyme Statistiken Overlay für Social Plugins Disconnect.me Vergleichbar zu Ghostery VPN Service für mobile Geräte (kostenpflichtig) In neuester Firefox Version integriert MOS2 - PETS Wintersemester 2014 Markus Huber

23 Alternativen zu Filterlisten EFF Privacy Badger Verwendet keine Black-List Überprüft ob DNT Header honoriert wird Overlays für Social Plugins Algorithmus zum Erkennen von Trackern Mozilla Lightbeam MOS2 - PETS Wintersemester 2014 Markus Huber

24 areweprivateyet.com MOS2 - PETS Wintersemester 2014 Markus Huber

25 Usable Privacy Box (upribox)

26 Ziele Ausgangslage Problem Tracking ist ein Privacy Problem Vielzahl von Geräten, Installation für versierte Internetnutzer Lösungen für Mobile Geräte Although adblocking is becoming more mainstream, our findings still tell us that the less technical demographic hasn t quite caught on to the concept Pagefair AdBlock Report 2014 Usable Privacy Box Einfachen Schutz der Privatsphäre ermöglichen

27 Usable Privacy Box (upribox) Schutz Zuhause per Wifi Schutz Unterwegs per VPN Kaffeehaus, Zug, Veranstaltungen Silent Mode Werbung/Tracking wird bei verbundenen Geräten automatisch entfernt Ninja Modus Zusätzliche Anonymität

28 upribox Upribox basiert auf Raspberry Pi-2

29 upribox Architektur

30 Erster Prototype Raspberry Pi 2 + Raspbian Wifi Dongle: TL-WN722N Grundlegende Funktionalität wird unterstützt

31 Domainfilter mit dnsmasq Blacklist basierend auf: Host-Dateien: Peter Lowe's List + adaway Filterlisten: EasyList, Easylist Germany, EasyPrivacy dnsmasq unterstützt subdomains e.g..doublecklick.net HTTP Verbindungen blackhole.upri.box Leere Webseiten, Bilder Zurücksetzen von Cookies Alle andere Verbindungen laufen ins Leere

32 Privoxy Filter basierend auf Easylist, Easylist Germany, EasyPrivacy Ausblenden von Werbung über injectete CSS Verweise CSS Dateien Dynamisch pro Domain mit Lua filter.upri.box/krone.at/filter.css

33 Netzwerk Wif:i draft-n mit WPA2 PSK SSID: upribox-silent Werbung, Tracking wird geblockt SSID: upribox-ninja = silent + Tor Virtual Private Network IPSec mit Strongswan IKE v1 und v2 simultan unterstützt PSK vs. Zertifikate Native Unterstützung in allen gängigen Betriebssystemen

34 Nächsten Schritte... Automatisches VPN Setup Mittels UpnP Erkennung ob Portforwarding unterstützt wird UPC Dualstack Lite d1b6e2.vpn.upribox.org (Usability/Privacy Tradeoff) User Interface Minimales Benutzerinterface basierend auf Python + Flask Filterregeln verbessern Hardening und deployement

35 Zeitplan Erstes Software Release für September 2015 geplant Oktober bis Dezember 2015 Testen, Testen, Testen Bugfixes Filterregel Algorithmus Updates /blog

36 Vielen Dank fürs Zuhören! Fragen?