Bedrohungen der Anonymität des Netzes - Browserfingerabdruck und History-Stealing

Jüngst stieß ich bei Heise auf zwei Artikel, die die EFF beschreiben. Diese bieten einen Test an, ob man der bisher einzige Nutzer mit seiner Browserspezifikation ist. Dabei stieß (zumindest ich) auf interessante Erkenntnisse, dass nicht nur einer, sondern gleich mehrere Faktoren mich eindeutig identifizierbar mach(t)en:

  • HTTP ACCEPT Headers: Komischerweise ist dieser schon eindeutig
  • Installierte Fonts: Ubuntu mit allen Fonts die ich in den Repos gefunden habe + 2 Selbstruntergeladene = Eindeutig
  • Kombination aus Browserkennung (User Agent: X11, Firefox, sonstewas), installierten Plugins (kein pdf, aber flash)

Zudem gibt es noch weitere Faktoren… einfach mal ausprobieren. Die (De)Aktivierung von Javascript hat hierbei erhebliche Auswirkungen auf das Ergebnis.

Das diese Seite dies nun öffentlich zeigt, finde ich sehr gut, aber keiner weiß, ob ein paar der Softwaregiganten dies nicht schon seit einiger Zeit auswerten.

Um hier selber wieder anonym zu werden, muss man mindestens Javascript deaktivieren und den User Agent anonymisieren (User Agent Switcher für Firefox, aber auch TorButton ändert im aktiviertem Modus den User Agent auf einen Standardwert). Die HTTP Accept Headers lassen sich im FF unter about:config in der Einstellung network.http.accept.default ändern.

History-Diebstahl

Eine weitere Bedrohung der Anonymität durch ein History Auslesen ist das sogenannte CSS oder Javascript History Stealing. Das Prinzip ist recht einfach:

- Eine Seite hat eine Stange (eventuell per Positionierung versteckter) Links in ihrem Quelltext
- Der “Anbieter” legt für jeden Link eine CSS-Eigenschaft “visited”, die dem Link eigentlich ein anderes Hintergrundbild zuweisen soll
- dieses Bild ist allerdings nur ein Skript
- Beim Ansurfen werden nun die CSS Eigenschaften verarbeitet

CSS ist recht leicht zu verstehen, aber wesentlich effektiver scheint das per Javascript zu gehen. Auf mikeonads.com kann man testen, ob eine Bestimmung des eigenen Geschlechts einzig durch die Auswahl der Seiten in seiner History möglich ist. (Bei mir waren es 95% männlich, Glück gehabt :D)

Noscript (für Firefox) schützt hiergegen natürlich hervorragend.

Inline Quotes mit deutschen Anführungszeichen mit CSS

Wenn man deutsche Anführungszeichen um einen HTML-Text setzen möchte, dann nimmt man am besten CSS mit dem Inline-Element ‘q’ (oder falls gewünscht mit blockquote)

1
2
3
4
5
6
7

q:lang(de), q {
  quotes: "\201E" "\201D" "\00AB" "\00BB";
}

q:lang(en) {
  quotes: "«" "»" "'" "'";
}

heißt soviel wie:

  • Level 1 Zitat umranden mit: „Zitat”
  • Zitat im Zitat umranden mit: «Zitat&»

Dabei lassen sich durch den “lang”-Selektor natürlich gleich Formatierungen fuer verschiedene Sprachen festlegen, sodass je nach Sprachversion der Nutzer ihm vertraute Zitierungen sieht.

Firefox Addons (die vielleicht nicht ganz so bekannt sind) die ich aber nicht mehr missen moechte

Hier will ich mal ein paar Firefox Addons, die abseits von Adblock, Noscript und co. vielleicht den Mainstream etwas verlassen:

  • Read It Later: Hat fast komplett mein Favouritensystem ersetzt. Die meisten Links die ich bookmarken will, landen dort, weil es meist nur (Blog-)Artikel sind, die ich spaeter lesen moechte. Und genau dafuer ist RiL ideal
  • Redirect Cleaner: Weiterleitungen, wie z.B. bei google oder addthis werden damit gekillt (“http://………&url=http://zielurl” zeigt mir gleich nur die zielurl an)
  • AutoPager: Droeselt per Pagination zersplitterte Seiten wieder zusammen, indem beim scrollen automatischen nachgeladen wird und eine “endlose” Seite entsteht. Hat fuer viele Seiten schon Profile (z.B. heise und wichtige Blogs), neue koennen aber relativ leicht angelegt werden.
  • It’s all Text: Schonmal ueber eine Textarea aufgeregt, weil man z.B. keine Tabs einfuegen kann, oder Suchen und Ersetzen fehlte? Das leidige Copy&Paste in einen Editor und Zurueck kann man sich hiermit sparen. Bei jeder Textarea erscheint ein “Edit” Feld unten rechts, welches den Textarea Text in unserem bevorzugten Editor öffnet (gedit, notepad++, gvim …). Weiterhin überwacht Itsalltext nun die Datei und aktualisiert bei Änderung die Textarea mit den neuem Text (also im Editor speichern, zack aktualisiert)
  • Linkification: Wandelt alle Links im Flusstext in klickbare Links um
  • Selector Gadget : Kein eigentliches Addon, sondern ein Bookmarklet also ein Javascript Bookmark. Es ermöglicht extrem genial bestimmte CSS-Pfade von Elementen auf einer Seite herauszufinden. Dabei kommuniziert man dem Gadget, welche Elemente man haben moechte, und welche nicht, und es ermittelt automatisch den eindeutigen CSS-Pfad.

Standardaddons

  • DownloadHelper zum herunterladen von flvs
  • downThemAll: Massendownloader, UseCase: alle pdfs auf einer Website runterladen…
  • TabMixPlus
  • Firebug

Design, CMS, Webentwickler Blogs

Um CSS-Technisch auf dem Laufenden zu bleiben, erstklassige Free-Icons abzugrasen und aktuelle Trends und Technologien nicht zu verpassen, habe ich einige interessante Blogs aggregiert, die mir zu dem Thema über den Weg gelaufen sind.

Im Einzelnen sind das:

Ich habe das ganze als Yahoo Pipe verpackt. Unter http://pipes.yahoo.com/pipes… könnt ihr die Pipe anschauen, abonnieren oder forken :)

Falls ihr noch interessante Blogs kennt, oder ein paar kreativere Yahoo Pipes kennt, dann könnt ihr mir die gerne mitteilen! :)