Device fingerprinting techniques: threats and protections
| Main Author: | |
|---|---|
| Publication Date: | 2015 |
| Format: | Master thesis |
| Language: | eng |
| Source: | Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos) |
| Download full: | http://hdl.handle.net/10451/20402 |
Summary: | Tese de mestrado, Segurança Informática, Universidade de Lisboa, Faculdade de Ciências, 2015 |
| id |
RCAP_9577eacca93cac8e854030baa88178ed |
|---|---|
| oai_identifier_str |
oai:repositorio.ul.pt:10451/20402 |
| network_acronym_str |
RCAP |
| network_name_str |
Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos) |
| repository_id_str |
7160 |
| spelling |
Device fingerprinting techniques: threats and protectionsDeviceWeb-basedBrowserFingerprintingDeteçãoTeses de mestrado - 2015Departamento de InformáticaTese de mestrado, Segurança Informática, Universidade de Lisboa, Faculdade de Ciências, 2015A evolução das tecnologias da informação ao longo das últimas décadas repercutiu-se de forma decisiva na nossa sociedade. Estes desenvolvimentos trouxeram sobretudo a possibilidade de expansão da atividade de diversos setores, possibilitando novas abordagens até então impraticáveis ou demasiado dispendiosas para pôr em prática com a tecnologia existente. O setor comercial, em particular, viu o seu paradigma de negócio dramaticamente alterado com a introdução das novas tecnologias. O aperfeiçoamento dos serviços de logística e distribuição (também eles resultantes, em grande medida, de avanços tecnológicos), associado às novas tecnologias da informação permitiram ao setor comercial evoluir do conceito tradicional para novos modelos. O surgimento de redes de lojas associadas a uma determinada marca ou distribuidor, só foi possível graças a uma infraestrutura de comunicação que veio permitir a gestão de várias células dispersas como um único organismo. Por outro lado, a vulgarização de meios de comunicação como o telefone ou a Internet, permitiu às organizações chegarem junto dos clientes através de novos canais e tornou possível a desmaterialização dos pontos de venda e redução de custos com infraestruturas e pessoal. Apesar das vantagens subjacentes aos novos modelos comerciais, o distanciamento entre comerciante e cliente, caraterística comum nas novas abordagens, trouxe um novo problema para o vendedor – este deixou de conhecer os seus clientes. Com efeito, esse distanciamento relativamente aos consumidores exigiu que os comerciantes idealizassem novas formas de antecipar as próximas compras ou de sugerir produtos eventualmente apelativos para um determinado consumidor. Atualmente, quando o proprietário de uma superfície comercial pretende estudar os hábitos de consumo dos seus clientes, para fins de ajustamento da sua oferta à procura, necessita de agregar os registos de compras por cliente. O método mais comum para recolher esta informação baseia-se nos cartões de cliente. Mediante o preenchimento de um formulário com os dados pessoais do cliente e perante termos bem explícitos em que este seja devidamente informado do tratamento a que os seus dados serão submetidos, o cliente beneficiará de descontos ou outras vantagens nessa superfície. Desta forma o comerciante vê carregadas no seu sistema as aquisições afetas a um indivíduo, podendo assim aferir qual o agregado familiar, situação económica e interesses do titular dos dados. Este tratamento de dados, ainda que possa parecer intrusivo, é legítimo desde que o cliente esteja devidamente informado relativamente ao tratamento que será feito aos seus dados e tenha dado autorização expressa para o efeito. O que seria considerado ilegítimo e intrusivo seria se cada cliente tivesse as suas compras secretamente registadas pela loja e associadas à sua pessoa (ou a um perfil com um conjunto de caraterística que o definissem) tendo efetuado o pagamento em numerário e sem que tivesse apresentado qualquer cartão de cliente. Um cenário ainda mais flagrante seria, por exemplo, uma situação em que fosse efetuado igual registo da entrada dos visitantes na superfície comercial e eventuais consultas de artigos, apesar destes não terem efetuado qualquer compra. Qualquer um dos tratamentos de dados supracitados configuraria um atropelo à privacidade e liberdade dos indivíduos. A ser registada de forma manual, a quantidade de informação a tratar tornaria este tratamento inexequível, mas as tecnologias da informação tornam isto possível, uma vez que a informação é tratada de forma automatizada pelos sistemas. O registo de informação não é problema para os sistemas computacionais, a única questão reside na associação dos dados ao indivíduo - profiling. É aqui que as técnicas de device fingerprinting na web permitem ultrapassar este problema. À singularização1 de um determinado dispositivo pela agregação de um conjunto de caraterísticas (físicas e/ou lógicas) desse sistema dá-se o nome de device fingerprinting. Com base no princípio de que cada dispositivo possui um conjunto de caraterísticas, físicas e/ou lógicas, que o distinguem dos demais é possível criar padrões associados a comportamentos que são exteriorizados pelo dispositivo. Padrões associados à componente de hardware baseiam-se no princípio de que pequenas diferenças físicas das componentes resultantes do processo de fabrico se repercutem no funcionamento dos dispositivos e são passíveis de serem registadas. Podem estar relacionados, por exemplo, com as características do sinal de redes sem fios transmitido por uma placa de rede (tal como apresentado por Speers, Goodspeed, Jenkins, Shapiro e Bratus (2014)) e Neumann, Heen e Onno (2012), com o sinal transmitido por um telemóvel (Hasse, Gloe e Beck (2013)) ou ainda com os ruídos introduzidos numa transmissão de som (por microfones e speakers, como explorado no trabalho de Das, Borisov & Caesar (2014)). Este tipo de fingerprinting exige o processamento de sinais de rádio ou de outros tipos de radiação eletromagnética o que pode significar um esforço considerável do ponto de vista do tratamento dos dados (nomeadamente a remoção de ruídos e tolerância a perdas de sinal), para produzir informação passível de ser utilizada. O fingerprinting que assenta sobre as caraterísticas lógicas do equipamento é, tipicamente, mais simples e viável já que, por norma, se baseia em informações que o sistema do cliente comunica (ou revela inadvertidamente) a um servidor. O presente trabalho centra-se no estudo das técnicas de web-based fingerprinting, um tipo de fingerprinting especificamente dirigido aos navegadores web que permite extrair suficientes informações de sistema para criar uma assinatura deste. O processo passa pelo acesso do cliente, muitas vezes inadvertidamente, a uma página web que usa código de fingerprinting. O código de fingerprinting é tipicamente desenvolvido em linguagens executadas do lado do cliente (cliente-side scripting). Estas permitem efetuar chamadas a interfaces (Application Programming Interface, ou API) que acedem a informações de configuração do sistema operativo ou do próprio browser do cliente e as comunicam, de forma dinâmica, ao servidor. Como qualquer tipo de tecnologia, o web-based fingerprinting pode ser utilizado para finalidades legítimas ou não. Na sua aplicação mais perniciosa permite agregar a informação que um dispositivo consultou em diferentes momentos, resultando daí um comportamento discriminatório para com o utilizador do dispositivo. Talvez a aplicação mais comum seja a de criação de perfis para fins publicitários - behavioural advertising. Neste caso as páginas consultadas contêm código de fingerprinting que envia informação para outros sites (os chamados third-party web-bugs), que permite a parceiros do site visitado definirem perfis de utilizador para campanhas de publicidade. Um outro exemplo, uma loja virtual que aumenta os valores de um produto quando deteta que o mesmo dispositivo já acedeu à informação daquele item anteriormente. Um dos piores cenários que envolve web-based fingerprinting é quando este permite identificar sistemas desatualizados como primeiro passo para instalação de software malicioso, como é o caso do BlackHole Exploit Kit2. É importante referir que o web-based fingerprinting pode ter aplicações legítimas, nomeadamente quando é usado em websites como forma de verificar se o dispositivo que um utilizador usou para se autenticar é diferente dos habitualmente utilizados, podendo assim exigir uma dupla autenticação como forma de prevenir ataques com credenciais roubadas. Com as recentes questões de privacidade endereçadas na Diretiva 2009/136/EC do Parlamento Europeu e do Conselho relativamente à utilização de cookies sem consentimento expresso dos utilizadores, os administradores de websites podem ser tentados a enveredar para uma tecnologia não regulamentada, que apresente resultados semelhantes aos das cookies – o device fingerprinting. Páginas web como o Panopticlick (https://panopticlick.eff.org/) mostram aos utilizadores quão únicas são as propriedades dos seus browsers, alertando-os assim para a eventual exposição ao fingerprinting. Este trabalho tem como principal objetivo a identificação, classificação e estudo das técnicas de web-based fingerprinting atualmente conhecidas e a identificação das ameaças que estas apresentam à privacidade e segurança dos utilizadores. A sua principal contribuição será a definição de uma taxonomia associada a estas técnicas, que permitirá catalogá-las com base no tipo de informação que permitem recolher. Cada técnica será avaliada quanto às vantagens e desvantagens da sua aplicação. Finalmente, será feita uma reflexão sobre possíveis medidas de mitigação ou anulação do fingerprinting (propostas na literatura ou decorrentes do presente trabalho) e sobre a legalidade deste tipo de tratamento de dados à luz do atual quadro legal. Pretende-se que este estudo represente um contributo válido para outros trabalhos na temática do web-based fingerprinting e que seja, simultaneamente, um meio de divulgação dos riscos para a privacidade que este tipo de processamento de dados encerra.The present work focuses on the study of device fingerprinting techniques currently used in websites to single out the visitor's devices. Device fingerprinting is based on the principle that each device holds a set of physical and/or logical properties that might be used to discriminate it from the whole. Whether it's small physical differences in the device's components, stemming from the manufacturing process, that result in slightly different behaviors (Speers, Goodspeed, Jenkins, Shapiro & Bratus and e Das, Borisov & Caesar, 2014), the clock deviation of a client's device internal clock and the clock of a server (Kohno, Broido, & Claffy, 2005) or the set of fonts and browser plugins installed on a system (Eckersley, 2010), all of them allow a device to be profiled. The device fingerprinting can be used for legitimate purposes, namely to verify if the device used in a user's authentication belongs to the set of devices usually used. If not, the server can request a second authentication, preventing attacks with stolen credentials. The recent privacy issues stated in European Parliament & Council's Directive 2002/58/EC, addressed to the use of cookies without user expressed consent, might drive website administrators to deviate into non-regulated technologies that are able to bring them the same results that cookies did – such as device fingerprinting. Websites such as Panopticlick (https://panopticlick.eff.org/) show the users how unique their browser's properties are, warning them about the dangers of exposition to fingerprinting. The main contribution of the current work is to identify, categorize and study all web-based fingerprinting techniques currently known and identify the threats to security and privacy of users they impose. The advantages and disadvantages of each technique will be evaluated. Lastly, a reflection will be done on possible mitigation measures or cancellation of fingerprinting (proposed in the literature or resulting from this work) and on the legality of such processing of data in the light of the current legal framework. Hopefully, this work will result in a useful baseline for further works on the device fingerprinting and for public awareness of the threats to privacy and computer security involved.Domingos, Maria Dulce Pedroso, 1970-Repositório da Universidade de LisboaBernardo, Vítor Manuel Guerreiro2015-11-06T10:48:55Z201520152015-01-01T00:00:00Zinfo:eu-repo/semantics/publishedVersioninfo:eu-repo/semantics/masterThesisapplication/pdfhttp://hdl.handle.net/10451/20402TID:201368102enginfo:eu-repo/semantics/openAccessreponame:Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos)instname:Agência para a Sociedade do Conhecimento (UMIC) - FCT - Sociedade da Informaçãoinstacron:RCAAP2023-11-08T16:05:49Zoai:repositorio.ul.pt:10451/20402Portal AgregadorONGhttps://www.rcaap.pt/oai/openaireopendoar:71602024-03-19T21:38:25.902617Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos) - Agência para a Sociedade do Conhecimento (UMIC) - FCT - Sociedade da Informaçãofalse |
| dc.title.none.fl_str_mv |
Device fingerprinting techniques: threats and protections |
| title |
Device fingerprinting techniques: threats and protections |
| spellingShingle |
Device fingerprinting techniques: threats and protections Bernardo, Vítor Manuel Guerreiro Device Web-based Browser Fingerprinting Deteção Teses de mestrado - 2015 Departamento de Informática |
| title_short |
Device fingerprinting techniques: threats and protections |
| title_full |
Device fingerprinting techniques: threats and protections |
| title_fullStr |
Device fingerprinting techniques: threats and protections |
| title_full_unstemmed |
Device fingerprinting techniques: threats and protections |
| title_sort |
Device fingerprinting techniques: threats and protections |
| author |
Bernardo, Vítor Manuel Guerreiro |
| author_facet |
Bernardo, Vítor Manuel Guerreiro |
| author_role |
author |
| dc.contributor.none.fl_str_mv |
Domingos, Maria Dulce Pedroso, 1970- Repositório da Universidade de Lisboa |
| dc.contributor.author.fl_str_mv |
Bernardo, Vítor Manuel Guerreiro |
| dc.subject.por.fl_str_mv |
Device Web-based Browser Fingerprinting Deteção Teses de mestrado - 2015 Departamento de Informática |
| topic |
Device Web-based Browser Fingerprinting Deteção Teses de mestrado - 2015 Departamento de Informática |
| description |
Tese de mestrado, Segurança Informática, Universidade de Lisboa, Faculdade de Ciências, 2015 |
| publishDate |
2015 |
| dc.date.none.fl_str_mv |
2015-11-06T10:48:55Z 2015 2015 2015-01-01T00:00:00Z |
| dc.type.status.fl_str_mv |
info:eu-repo/semantics/publishedVersion |
| dc.type.driver.fl_str_mv |
info:eu-repo/semantics/masterThesis |
| format |
masterThesis |
| status_str |
publishedVersion |
| dc.identifier.uri.fl_str_mv |
http://hdl.handle.net/10451/20402 TID:201368102 |
| url |
http://hdl.handle.net/10451/20402 |
| identifier_str_mv |
TID:201368102 |
| dc.language.iso.fl_str_mv |
eng |
| language |
eng |
| dc.rights.driver.fl_str_mv |
info:eu-repo/semantics/openAccess |
| eu_rights_str_mv |
openAccess |
| dc.format.none.fl_str_mv |
application/pdf |
| dc.source.none.fl_str_mv |
reponame:Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos) instname:Agência para a Sociedade do Conhecimento (UMIC) - FCT - Sociedade da Informação instacron:RCAAP |
| instname_str |
Agência para a Sociedade do Conhecimento (UMIC) - FCT - Sociedade da Informação |
| instacron_str |
RCAAP |
| institution |
RCAAP |
| reponame_str |
Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos) |
| collection |
Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos) |
| repository.name.fl_str_mv |
Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos) - Agência para a Sociedade do Conhecimento (UMIC) - FCT - Sociedade da Informação |
| repository.mail.fl_str_mv |
|
| _version_ |
1799134283731828736 |