IT Security Usable Privacy Box (upribox) Markus Huber markus.huber@fhstp.ac.at Usable Privacy Box
Vor rund 20 Jahren...
Outline Tracking Methoden Schutz gegen Tracking upribox Idee Design Prototyp Ausblick
Wie werden Benutzer getrackt?
Verwendung von Drittanbietercode nimmt stetig zu... Werbenetzwerke z.b. doubleclick,... Analytics Software z.b. Google Analytics Social Widgets Facebook Like, Twitter Buttons, APIs, CDNs Google Font API, jquery, cloudflare, etc.
Die größten Tracker... knowyourelements.com
Tracking Standard HTTP Cookies Lange Gültigkeitsdauer Eindeutige ID pro Benutzer Super Cookies Adobe Flash, Silverlight, etags...
Cookie Respawning Cookie Respawning = Wiederherstellen von gelöschten Cookies Wird das HTTP Cookie gelöscht, wird es über HTML5 storage wiederhergestellt Browser-übergreifendes Setzen von Cookies (Adobe Flash)
Browser Fingerprinting Browser-Eigenschaften anstelle von Cookies Stateless Tracking Web-browser Fingerprinting Installierte Schriftarten User Agent String Auflösung https://panopticlick.eff.org https://amiunique.org/
Auswirkungen von Benutzertracking Sensible Informationen werden aufgezeichnet Datingpräferenzen, Religion, politische Einstellung, Krankheitsgeschichte, De-Anonymisierung Tracking cookies um Tor Benutzer zu deanonymisieren Gezielte Angriffe Benutzer können eindeutig identifiziert werden
Schutz gegen Benutzertracking
Schutz gegen Benutzertracking Webseiten Betreiber Analytics Einstellungen Piwik als Alternative zu Google Analytics Click-to-Play Social Widgets Opt-out Opt-Out von verhaltensbasierten Werbungen Browser Einstellungen Keine Drittanbieter-Cookies, privater Modus Blocking-Tools Host Dateien Spezielle Browser Erweiterungen
Opt-Out Initiativen Spezielle Webseiten um Opt-Out Cookies zu setzen http://www.aboutads.info/choices/ Probleme: Gültigkeit der Cookies, Löschen der Opt-Out Cookies Browsererweiterungen für permanente optout cookies TACO, Keep My Opt-Outs Do Not Track (DNT) HTTP Header Webseiten müssen DNT Header honorieren Noch keine weitreichende Adaptierung Benutzerdaten werden immer zu Server übermittelt
Host-Dateien Ersetzen Standard Host-Datei auf Betriebssystemen Erste Projekte vor über 15 Jahren gestartet Werbung, Tracker, Malware, etc. Domains werden auf localhost (nirvana) aufgelöst Erleben Renaissance bei gerooteten Smartphones
Host-Dateien Beispiele MVPS 13,860 Einträge Werbung, Tracker, Scams Peter Lowe's List 2,428 Einträge Werbung, Tracker Mother of All Adblockers (MoaAB) 125,225 Einträge Werbung, Tracker, Malware 21,639 ungültig
Host-Dateien Pro/Con False Positives static.kleinezeitung.at (MVPS) real.com (hphosts) Filtern sehr grob Komplette Domain/Subdomain wird geblockt Spezifische URLs können nicht geblockt werden (e.g. newyorktimes.com/tracker.js) Keinen Performance Overhead Universell einsetzbar Windows, MacOS, Linux etc. Gerootete Smartphones
Browser Erweiterungen Populärste Methode um Werbung/Tracker zu blockieren Adblock Plus war 2014 die beliebteste Firefox Extension
Browser-Erweiterungen für Werbung AdBlock Plus (ABP) Werbung wird blockiert und ausgeblendet Kontroversen im Jahr 2012 zu Acceptable Ads Acceptable Ads sind bei AdBlock Plus standardmäßig aktiviert Basiert auf EasyList ABP Fork: AdBlock Edge AdBlock Basiert auf EasyList Füllte die Lücke von AdBlock Plus für Google Chrome MOS2 - PETS Wintersemester 2014 Markus Huber 15.09.2014
ublock Verwendet EasyList, EasyPrivacy und Peter Lowe's List Keine Acceptable Ads Fokus auf Performance und Privacy MOS2 - PETS Wintersemester 2014 Markus Huber 15.09.2014
Adblock Plus Filter Regeln Eigene Regex für Regeln Blockregeln (Blacklist und Whitelist) Kosmetische CSS-Regeln (Blacklist und Whitelist) EasyList ~17,000 Blockregeln (~3000 Exceptions) ~25,000 CSS-Regeln (~600 Exceptions) EasyPrivacy ~9,000 Blockregeln (~700 Exceptions) Länderspezifische Listen MOS2 - PETS Wintersemester 2014 Markus Huber 15.09.2014
Tracker Blocker Ghostery Erkennen und Blockieren (Opt-in) von Webtrackern Opt-In für anonyme Statistiken Overlay für Social Plugins Disconnect.me Vergleichbar zu Ghostery VPN Service für mobile Geräte (kostenpflichtig) In neuester Firefox Version integriert MOS2 - PETS Wintersemester 2014 Markus Huber 15.09.2014
Alternativen zu Filterlisten EFF Privacy Badger Verwendet keine Black-List Überprüft ob DNT Header honoriert wird Overlays für Social Plugins Algorithmus zum Erkennen von Trackern Mozilla Lightbeam MOS2 - PETS Wintersemester 2014 Markus Huber 15.09.2014
areweprivateyet.com MOS2 - PETS Wintersemester 2014 Markus Huber 15.09.2014
Usable Privacy Box (upribox)
Ziele Ausgangslage Problem Tracking ist ein Privacy Problem Vielzahl von Geräten, Installation für versierte Internetnutzer Lösungen für Mobile Geräte Although adblocking is becoming more mainstream, our findings still tell us that the less technical demographic hasn t quite caught on to the concept Pagefair AdBlock Report 2014 Usable Privacy Box Einfachen Schutz der Privatsphäre ermöglichen
Usable Privacy Box (upribox) Schutz Zuhause per Wifi Schutz Unterwegs per VPN Kaffeehaus, Zug, Veranstaltungen Silent Mode Werbung/Tracking wird bei verbundenen Geräten automatisch entfernt Ninja Modus Zusätzliche Anonymität
upribox Upribox basiert auf Raspberry Pi-2
upribox Architektur
Erster Prototype Raspberry Pi 2 + Raspbian Wifi Dongle: TL-WN722N Grundlegende Funktionalität wird unterstützt
Domainfilter mit dnsmasq Blacklist basierend auf: Host-Dateien: Peter Lowe's List + adaway Filterlisten: EasyList, Easylist Germany, EasyPrivacy dnsmasq unterstützt subdomains e.g..doublecklick.net HTTP Verbindungen blackhole.upri.box Leere Webseiten, Bilder Zurücksetzen von Cookies Alle andere Verbindungen laufen ins Leere
Privoxy Filter basierend auf Easylist, Easylist Germany, EasyPrivacy Ausblenden von Werbung über injectete CSS Verweise CSS Dateien Dynamisch pro Domain mit Lua filter.upri.box/krone.at/filter.css
Netzwerk Wif:i draft-n mit WPA2 PSK SSID: upribox-silent Werbung, Tracking wird geblockt SSID: upribox-ninja = silent + Tor Virtual Private Network IPSec mit Strongswan IKE v1 und v2 simultan unterstützt PSK vs. Zertifikate Native Unterstützung in allen gängigen Betriebssystemen
Nächsten Schritte... Automatisches VPN Setup Mittels UpnP Erkennung ob Portforwarding unterstützt wird UPC Dualstack Lite d1b6e2.vpn.upribox.org (Usability/Privacy Tradeoff) User Interface Minimales Benutzerinterface basierend auf Python + Flask Filterregeln verbessern Hardening und deployement
Zeitplan Erstes Software Release für September 2015 geplant Oktober bis Dezember 2015 Testen, Testen, Testen Bugfixes Filterregel Algorithmus Updates /blog https://twitter.com/usableprivacy
Vielen Dank fürs Zuhören! Fragen? markus@upribox.org