Как называется слежка в интернете
Куки, маячки и распознавание лиц: кто и как следит за нами в интернете
Телефон, планшет или ноутбук стали для нас настолько привычными спутниками, что мы даже не задумываемся, когда через них добровольно передаем личные данные в руки тех, кто потом использует их в своих целях.
Какие виды слежки существуют в Сети, как уберечься от нее и минимизировать последствия такого вторжения в личное пространство – разбираемся. Не так давно мы уже писали в блоге о киберпреступниках и разбирались, как с ними бороться. На этот раз рассмотрим шире вопросы конфиденциальности в Сети.
Мы устанавливаем на телефоны множество приложений и даем им разрешение собирать информацию о нас самих и наших устройствах. Мы часто без опаски открываем сервисам доступ к камере, микрофону и галерее с фотографиями. Этого более чем достаточно, чтобы составить довольно точный портрет человека. И всё это, попадая к злоумышленникам, может навредить, в том числе финансово.
Впрочем, не всегда пользователи добровольно отдают свои данные. Из недавних примеров – скандал с новым соглашением WhatsApp, по которому все личные данные пользователей могут передаваться головной компании Facebook. Тем, кто не готов согласиться с таким положением вещей, сначала пригрозили ограничить функциональность мессенджера, но под влиянием общественности отказались от этого, ограничившись регулярными напоминаниями.
Защититься от чужих глаз в интернете невозможно. По словам Алексея Дрозда, начальника отдела информационной безопасности компании SearchInform, полной анонимности в интернете не существует, но есть понятие приватности:
«Анонимность и приватность – не одно и то же. Анонимным сегодня быть невозможно. Чтобы третья сторона не могла каким-либо образом сопоставить ваши действия в Сети с вашей личностью, надо в эту Сеть вообще не ходить. Поэтому в современных реалиях мы боремся не за анонимность, а за некий баланс между удобством и приватностью. А вот приватность улучшать можно и нужно. Почтовый сервис может знать, кто я, но не знать содержимого получаемых и отправляемых писем».
Кому и для чего чаще всего нужны наши данные?
Больше всех за личными данными охотятся те, кто могут на них заработать. В личной жизни пользователей интернета заинтересован прежде всего бизнес, который хочет продать товары, а для сбора данных использует соцсети.
Недавнее исследование pCloud показало, что чуть ли не половина популярных приложений торгует личными данными. Рекордсменами стали Facebook и Instagram, но не отстают и сервисы по доставке еды, а также агрегаторы такси и приложения для знакомств. Утекают данные из Twitter, eBay, YouTube, Booking, Airbnb и популярного приложения для видеоконференций Zoom.
Помимо приложений, данные «сливают» голосовые помощники и «умные» колонки. А далее эта информация уже используется рекламодателями для максимально точного таргетинга. Эксперты поясняют, что мы сами отдаем личные данные соцсети, когда при регистрации ставим галочку в пользовательском соглашении. Остальное уже дело техники, которая отслеживает наши вкусы и выдает рекламу именно тех товаров или услуг, которые мы предпочитаем.
Сейчас информация об интересах пользователя – горячий товар. Все посещенные вами страницы, все поисковые запросы отслеживаются, включая геолокацию носителя телефона: у каких магазинов и витрин он задерживался, на какие темы он общается в социальных сетях и мессенджерах
С одной стороны, такой тотальный контроль отрицает возможность какой-либо приватности и конфиденциальности в цифровую эпоху. С другой – персонализированная реклама делает продавцов и покупателей ближе друг к другу, помогая снижать цены и увеличивая продажи. И здесь дело выбора каждого пользователя, насколько он готов пускать других в личную жизнь.
Когда речь заходит об инструментах слежения, многие россияне, особенно старшее поколение, вспоминая советских гэбистов, тут же обвиняют государство и спецслужбы в тотальном контроле. Однако, в отличие от рекламщиков, государство не заинтересовано столь рьяно в нашей личной жизни, хотя в последние годы проявляет все больше активности в этом вопросе.
Самым известным способом слежки за гражданами в России остается Система технических средств для обеспечения функций оперативно-розыскных мероприятий, или сокращенно СОРМ. По сути, она архивирует весь наш интернет-трафик и записи телефонных разговоров. Эти данные потом могут использовать сотрудники спецслужб и правоохранительных органов. Согласно «закону Яровой», оборудование для сбора данных должны устанавливать сами операторы и организаторы связи за свой счет.
В октябре прошлого года «Ростелеком» закупил такого оборудования в общей сложности на почти 8 млрд рублей. Впрочем, эксперты утверждают, что простым гражданам не стоит бояться такого масштабного сбора данных. Как пояснил автор книги о СОРМ Андрей Солдатов, система слежки слишком громоздкая, а потому не очень эффективна. Силовики, по его словам, предпочитают точечный шпионаж. А для этого нужны санкции суда.
По данным правозащитников, с 2007 по 2015 год суды выдали более 4,5 миллиона таких разрешений. При этом, по информации судебного департамента при Верховном суде, количество запросов от российских следственных органов на доступ к биллингам сотовых телефонов за последние пять лет выросли в два с половиной раза. Например, в 2020-м таких запросов поступило более 300 тысяч.
Третья категория, которая охотится за личными данными пользователей, – это мошенники. При этом, как и в случае с соцсетями, мы сами часто отдаем информацию преступникам, которые с каждым днем становятся все изощреннее.
Год назад эту тему поднимала глава Центробанка Эльвира Набиуллина. По ее словам, методов «раскрутки людей на деньги» становится только больше.
«Это и фишинговые сайты, и звонки из так называемых служб безопасности банков, фальшивые страницы банков и даже Банка России в соцсетях, где якобы разыгрываются призы или выплачиваются компенсации. Около 70% операций, которые делаются без согласия клиента, совершаются с использованием социальной инженерии. Человек сам передает пароли, все персональные данные мошенникам в руки».
По словам главы Центробанка, помочь может повышение финансовой грамотности населения, а также разработка новых законов, которые смогут защитить граждан. Сами банки тоже стараются бороться с преступлениями. Как рассказал НТВ Герман Греф, благодаря использованию новейших технологий, Сбербанку удается предотвратить подавляющее большинство случаев мошенничества.
«Мы достигли невозможного, мы на сегодняшний день даже в случае так называемой социальной инженерии, когда люди сами соглашаются отдать деньги преступникам, в 99,2% случаев не даем украсть деньги», – заявил глава Сбербанка. При этом он пояснил, что самостоятельно проблему киберпреступности никто решить не может. Это всегда комплексная работа, в которой задействованы государство, банки, правоохранительные органы и сами граждане.
Опасными куки становятся, когда они оказываются сторонними. Тогда ваши данные могут попасть третьим лицам и использоваться, например, в рекламных целях. Также существуют суперкуки (или evercookies), то есть «вечные куки». Такой скрипт может восстанавливать даже те файлы, которые пользователь намеренно удалил. Кстати, именно о них в 2013 году рассказывал Эдвард Сноуден.
Не менее полезным для сбора данных остается сам IP-адрес, так как раскрывает приблизительное географическое положение пользователя. Для этих же целей злоумышленникам служат GPS, Bluetooth и Wi-Fi.
Впрочем, устройства слежки могут быть и внешними.
Система распознавания лиц также устанавливается на всевозможных гаджетах, чтобы помочь защититься от мошенников, укравших и пытающихся их разблокировать. Как пояснил специалист SearchInform Алексей Дрозд, технология распознавания лиц для человечества стопроцентное благо, но есть нюанс:
Технология не хорошая и не плохая. В конечном счете все зависит от того, кто и в каком ключе ее будет использовать. Молотком можно гвозди забивать, а можно и череп проломить. Но стоит ли предъявлять претензии к молотку? Главный вопрос – кто контролирует контролеров. То есть тех, кто будет использовать эту технологию. Не исключены злоупотребления, коррупционная составляющая и избирательный контроль
Страх 1. Включая Wi-Fi, пользователь становится более уязвимым.
В этом есть доля правды. В 2018 году ученые Калифорнийского университета в рамках исследования пришли к выводу, что беспроводной интернет позволяет злоумышленникам «видеть сквозь стены». Для этого у человека, за которым ведется слежка, должен быть простой смартфон со встроенными средствами поиска Wi-Fi. Во время движения человек нарушает и искажает беспроводное поле, отражая и преломляя радиосигналы. Анализ этих изменений позволяет определить точное местоположение пользователя, а также его действия и передвижения.
Страх 2. Телефон «подслушивает» разговоры и передает их содержание спецслужбам и маркетологам.
Теория скорее миф, хотя современные технологии и позволяют это делать. В 2019 году британская компания Wandera провела эксперимент, во время которого специалисты намеренно подпитывали смартфоны интересной для рекламодателей аудиоинформацией. При этом в телефонах были запущены приложения Amazon, Facebook, Instagram, Chrome, YouTube и другие. Как оказалось, устройствам и приложениям эти данные были безразличны. В действительности корпорации и так знают достаточно о пользователях Сети, чтобы показывать им рекламу, которая вызовет интерес.
Страх 3. За пользователями следят через камеру ноутбука или смартфона.
Действительно, если злоумышленники получат доступ к этому устройству, то смогут создать значимую угрозу вашей личной жизни. Впрочем, по словам экспертов, обнаружить, что к вашей камере подключились извне, достаточно легко. Об этом может свидетельствовать загоревшийся индикатор рядом с устройством, а также аудио- и видеофайлы на устройстве, которые вы явно не записывали. Кроме того, слежка через камеру обязательно скажется на интенсивности интернет-трафика.
Чтобы стать невидимкой для тех, кто следит за вами в Сети, нужно отказаться от использования смартфонов, компьютеров и, главное, интернета. Однако возвращаться в Средние века современный человек вряд ли захочет, а значит, полностью устранить уязвимость не получится. Но можно попробовать ее минимизировать.
Если боитесь, что ваши сообщения читают спецслужбы, используйте секретные чаты в шифрованных мессенджерах. Тогда сообщения не сохраняются на серверах, а только на телефонах. В последнее время набирает популярность мессенджер Signal. По мнению аналитиков компании Artezio, этот мессенджер – самый безопасный из всех представленных на рынке приложений. Такой титул Signal завоевал за качество протоколов шифрования, наличие двухфакторной идентификации и шифрование по умолчанию.
А вот от мошенников и назойливых маркетологов есть другие рецепты. Специалисты в области защиты интернет-данных рекомендуют во время просмотра сайтов включать режим инкогнито в браузере. Вместо привычных поисковиков Google и Яндекс можно пользоваться DuckDuckGo. Этот сайт не отслеживает ваши действия. Правда, «особый» режим браузера, по словам Алексея Дрозда, специалиста из SearchInform, тоже не является стопроцентным спасением:
Многие на самом деле думают, что в этом режиме об их похождениях в Сети никто не узнает. Несмотря и не смотря на предупреждение, которое сам браузер и показывает, о действиях будет знать провайдер и владелец сайта. А что же изменится? Действия пользователя всего лишь не будут записаны в историю посещенных страниц в самом браузере. То есть про них не узнают всего лишь другие люди, которые также используют данный компьютер
Кроме того, не лишним будет установить защитные расширения для браузера. Полезным дополнением здесь будет VPN, который защитит ваш IP, а также данные геолокации от передачи сайту и провайдеру. Ну и нельзя забывать про cookies. Эти файлы периодически надо «чистить». К тому же эксперты напоминают, что от вредоносных файлов-шпионов пользователя спасет банальный антивирус.
Напоследок несколько простых советов, как защитить себя и свои данные в интернете.
Новые технологии несут новые риски. Как там пелось в советской песне из известного кинофильма? «Если у вас нету тети, то вам ее не потерять! Если вы не живете, то вам и не умирать». Камеру в старом ноутбуке Lenovo я честно заклеил, когда у Цукерберга увидел заклеенную. А вот портить наклейкой новый MacBook Pro с процессором М1 ой как не хочется! Выходит, не так уж и боюсь подглядывания за мной, когда пишу эти строки.
Тотальная слежка в интернете — как за тобой следят и как положить этому конец
Содержание статьи
В 1993 году журнал «Нью-Йоркер» напечатал знаменитую карикатуру про пса за компьютером. «В интернете никто не знает, что ты собака», — сообщала подпись. Спустя двадцать с лишним лет дела обстоят с точностью до наоборот. В сегодняшнем интернете любая собака знает, кто ты такой, — и порой даже лучше, чем ты сам.
Интернет плохо совместим с тайнами, и тайна частной жизни — не исключение. О каждом клике, сделанном в браузере, по определению должны знать две стороны: клиент и сервер. Это в лучшем случае. На самом деле где двое, там и трое, а то и, если взять в качестве примера сайт «Хакера», все двадцать восемь.
На примере
Чтобы убедиться в этом, достаточно включить встроенные в Chrome или Firefox инструменты разработчика. Согласно им, при загрузке главной страницы xakep.ru браузер совершает 170 запросов. Больше половины этих запросов не имеют ни малейшего отношения к документам, которые расположены на серверах «Хакера». Вместо этого они ведут к 27 различным доменам, принадлежащим нескольким иностранным компаниям. Именно эти запросы съедают 90% времени при загрузке сайта.
Что это за домены? Рекламные сети, несколько систем веб-аналитики, социальные сети, платежный сервис, облако Amazon и пара маркетинговых виджетов. Похожий набор, и зачастую даже более обширный, имеется на любом коммерческом сайте. Побочный эффект этого заключается в том, что твои визиты на xakep.ru — никакой не секрет. О них знаем не только мы (это само собой), но и обладатели этих 27 доменов.
Многие из них не просто знают. Они наблюдают за тобой с самым пристальным интересом. Видишь баннер? Он загружен с сервера Doubleclick, крупной рекламной сети, которая принадлежит Google. С его помощью Гугл узнал, что ты побывал на xakep.ru. Если бы баннера не было, он нашел бы другой способ. Те же данные можно извлечь с помощью трекера Google Analytics или через AdSense, по обращению к шрифтам с Google Fonts или к jQuery на CDN Google. Хоть какая-то зацепка найдется на значительной доле страниц в интернете.
Анализ истории перемещений пользователя по интернету помогает Google с неплохой точностью определить его интересы, пол, возраст, достаток, семейное положение и даже состояние здоровья. Это нужно для того, чтобы точнее подбирать рекламу. Даже незначительное увеличение точности таргетинга в масштабах Google — это миллиарды долларов, но возможны и другие применения. Согласно документам, которые опубликовал Эдвард Сноуден, американские и британские спецслужбы перехватывали трекеры Google для идентификации подозреваемых.
За тобой следят — это факт, с которым нужно смириться. Лучше сосредоточиться на других вопросах. Как они это делают? Можно ли скрыться от слежки? И стоит ли?
Найти и перепрятать
Для того чтобы следить за человеком, нужно уметь его идентифицировать. Самый простой и хорошо изученный способ идентификации — это cookie. Проблема заключается в том, что он уязвимее всего для атак со стороны поборников privacy. О них знают и пользователи, и даже политики. В Евросоюзе, к примеру, действует закон, вынуждающий сайты предупреждать пользователей о вреде кук. Толку ноль, но сам факт настораживает.
Другая проблема связана с тем, что некоторые браузеры по умолчанию блокируют cookie, установленные третьей стороной — например, сервисом веб-аналитики или рекламной сетью. Такое ограничение можно обойти, прогнав пользователя через цепочку редиректов на сервер третьей стороны и обратно, но это, во-первых, не очень удобно, а во-вторых, вряд ли кого-то спасет в долгосрочной перспективе. Рано или поздно потребуется более надежный метод идентификации.
В браузере куда больше мест, где можно спрятать идентификационную информацию, чем планировали разработчики. Нужна лишь некоторая изобретательность. Например, через свойство DOM window.name другим страницам можно передать до двух мегабайт данных, причем в отличие от кук, доступных лишь скриптам с того же домена, данные в window.name доступны и из других доменов. Заменить куки на window.name мешает лишь эфемерность этого свойства. Оно не сохраняет значение после завершения сессии.
Несколько лет назад в моду вошло хранение идентификационной информации при помощи так называемых Local Shared Objects (LSO), которые предоставляет Flash. В пользу LSO играли два фактора. Во-первых, в отличие от кук, пользователь не мог их удалить средствами браузера. Во-вторых, если куки в каждом браузере свои, то LSO, как и сам Flash, один для всех браузеров на компьютере. За счет этого можно идентифицировать пользователя, попеременно работающего в разных браузерах.
Может сложиться впечатление, что LSO придумали специально для слежки, но это не так. На самом деле разработчики Adobe просто не осознавали, что они делают. Когда до них дошло, что LSO можно использовать в качестве бессмертной вездесущей куки, они поспешили исправить оплошность и добавили программный интерфейс, удаляющий LSO. Современные браузеры вызывают его при очистке кук. Это несколько уменьшило полезность LSO, но трекеры по-прежнему применяют эту технологию.
У LSO есть несколько альтернатив. В первую очередь речь идет о HTML5 Local Storage — хранилище данных, которое встроено во все современные браузеры. Оно также очищается одновременно с куками и, в отличие от LSO, не может служить для слежки за пользователями в других браузерах. Тем не менее исследователи отмечают, что HTML5 Local Storage используется рядом крупных сайтов для резервного хранения идентификационной информации.
Более экзотический вариант — браузерные базы данных IndexedDB и Web SQL Database. Их в той или иной степени поддерживают последние версии Firefox, Chrome и Internet Explorer. Первые случаи практического использования IndexedDB в качестве запасного варианта на случай утраты обычных кук и LSO были замечены в 2014 году на китайских сайтах weibo.com и sina.com.cn.
В 2011 году сервис аналитики Kissmetrics предпринял попытку спрятать идентификатор пользователя еще глубже — в сам запрос HTTP. Для хранения идентификатора приспособили поля Etag и Last-Modified, предназначенные для проверки актуальности закешированной версии документа. Обычно при отправке документа клиенту сервер помещает в поле Etag его хеш, а в поле Last-Modified — дату последнего обновления. Когда документ потребуется снова, браузер сообщит серверу значение Etag или Last-Modified его закешированной версии. Если они совпадают с известными серверу, тот не станет отправлять данные снова, а вернет статус 304: «документ не изменился».
Бросается в глаза, насколько этот процесс похож на обмен куками. Разница лишь в реакции сервера, но как раз ее-то поменять проще всего. Если в Etag поместить идентификатор пользователя, он будет храниться у клиента до тех пор, пока цела страница в кеше браузера. Там он переживет удаление кук и даже отключение JavaScript. Чтобы полностью избавиться от него, пользователю придется очистить кеш и обнулить историю посещений. Etag и Last-Modified можно использовать для восстановления идентификатора, когда и куки, и данные из LSO или HTML5 Local Storage утрачены.
Кеш и история посещений — это вообще находка для шпиона, и не только из-за Etag. Начнем с того, что идентификатор можно не просто прилагать к закешированному файлу, но и вставлять в него. В этом случае, пока жив кеш, сохранится и идентификатор пользователя. Более хитрый метод использует постоянные редиректы по статусу 301. Сервер выдает этот статус при изменении адреса документа. Браузер запоминает новый адрес и в будущем переходит по нему, минуя старый. Этот механизм применяют для сохранения идентификаторов пользователя.
Вот как это делают: в документ встраивают запрос к невидимой картинке, iframe или скрипту. Если в запросе отсутствует параметр с идентификатором, сервер возвращает постоянный редирект на тот же URL, но уже с идентификатором. Браузер запоминает адрес с идентификатором и в следующий раз вызывает его. Этот метод интересен тем, что с его помощью можно обмениваться идентификатором между доменами, ведь кеш-то общий.
Родственный метод основан на использовании кеша HTTP Strict Transport Security (HSTS). Согласно стандарту HSTS, сервер может с помощью специального поля в запросе рекомендовать браузеру устанавливать для определенных документов защищенное соединение. Браузер сохраняет эти рекомендации в кеше HSTS. При необходимости в них можно зашифровать идентификатор пользователя. Для этого следует встроить в страницу несколько невидимых изображений, при запросе к которым браузер возвращает рекомендацию HSTS. Каждая такая рекомендация рассматривается как один бит идентификатора.
Усы, лапы и хвост — вот мои документы!
В последнее время набирает популярность другой подход к решению этой проблемы — так называемый фингерпринтинг (от английского слова fingerprint — отпечаток пальца). Фингерпринтинг идентифицирует пользователя не по специальным меткам, сохраненным на его системе, а по уникальным особенностям его браузера, системы и устройства.
Поскольку фингерпринтинг не требует хранения данных на клиенте, его очень трудно заметить и почти невозможно избежать. Если куки действуют лишь в рамках одного домена, уникальные особенности остаются неизменными при посещении различных сайтов. Это значительно упрощает слежку за передвижениями пользователя по интернету. Хуже того, в отличие от кук уникальные особенности нельзя отключить. Усилия пользователя приведут максимум к замене одного набора признаков другим, еще более узнаваемым.
Простейшие методы фингерпринтинга используют в качестве уникальных характеристик IP-адрес, версию браузера и системы, системный язык, разрешение экрана, часовой пояс, показания часов с точностью до миллисекунды и список стандартных шрифтов, установленных на компьютере. При помощи Flash этот список можно дополнить сведениями о подключенных к устройству мыши, клавиатуре, микрофоне, камере и поддержке мультитача.
Незначительные изменения некоторых признаков не мешают опознавать уже знакомого пользователя. Он может воспользоваться другим браузером, переехать в другой часовой пояс или поменять разрешение, но, если не сделать все это одновременно, вероятность идентификации останется высокой.
Существуют и более замысловатые способы фингерпринтинга. Компания AddThis экспериментировала с идентификацией пользователя по особенностям отображения шрифтов. Для этого создается невидимый пользователю canvas, на котором выводится надпись. Хеш последовательности данных о цвете каждого пикселя canvas и становится идентификатором. На то, как именно будет выглядеть надпись, влияет операционная система, установленные шрифты, графическая карта, версия графических драйверов, настройки сглаживания, тип и версия браузера, а также особенности самого дисплея. Тонких отличий предостаточно (PDF), но на них трудно повлиять — идеальное сочетание для трекинга.
К слову, виджеты AddThis, год назад незаметно проводившие фингерпринтинг каждого посетителя, теперь стоят и на сайте xakep.ru. Но можешь быть спокоен: когда эту компанию поймали за руку, она прекратила эксперимент. Сейчас никакого фингерпринтинга. По крайней мере, заметного.
Еще один метод фингерпринтинга анализирует историю посещений. Исследователи показали, что информация о посещении 500 сайтов из заранее определенного набора позволяет точно идентифицировать около 70% пользователей, причем в том случае, если в истории присутствуют социальные сети, речь может идти не просто об идентификации, но и о деанонимизации.
Чтобы определить, посещал ли пользователь тот или иной сайт, есть свои хитрости. Например, можно попытаться загрузить документ с нужного сайта. По скорости отзыва будет понятно, есть он в кеше или нет. Можно воспользоваться тем фактом, что ссылки на посещенные сайты отображаются другим цветом. Чтобы выяснить цвет, сгодится все тот же canvas. Есть, впрочем, вариант любопытнее: ссылки нетрудно замаскировать под капчу. Тогда пользователь сам выдаст все нужные сведения. Этот способ особенно полезен, когда JavaScript отключен.
Как замаскировать ссылки под капчу? За счет различного оформления посещенных и непосещенных ссылок. Исследователи из университета Карнеги — Меллон, которые в 2011 году предложили эту методику извлечения истории, перечисляют несколько возможностей. Во-первых, можно сделать каждую ссылку отдельным словом и при помощи CSS скрыть посещенные ссылки. Теперь нужно попросить пользователя ввести текст, который он видит. По пропущенным словам легко определить, на каких сайтах он уже был. Другой вариант капчи представляет собой изображение шахматной доски, на которой расставлены пешки.
Каждая пешка — это опять-таки ссылка, и просмотренные ссылки сделаны невидимыми. Пользователь должен кликнуть каждую пешку. Пешки, на которые он не кликнул, соответствуют ссылкам, ведущим на посещенные сайты.
Шапочка из фольги своими руками
Даже беглого перечисления методов трекинга достаточно для того, чтобы уловить общие мотивы. Во-первых, Flash. Его исчезновение избавит сразу и от LSO, и от утечки сведений об устройстве, которая упрощает фингерпринтинг. Лучше обойтись без Flash — в 2015 году это просто.
Чтобы предотвратить хранение идентификатора в HTML5 Local Storage и иже с ним, нужно либо избавляться от JavaScript, либо запрещать куки. И то и другое — совсем не безболезненный процесс. Отсутствие кук и JavaScript не только делает невозможным использование современных веб-приложений. Нередко оно ломает совсем безобидные сайты. Страдания неизбежны, и дальше будет только хуже.
Бороться с методами, которые используют кеш? Это гиблое дело. От Etag и Last-Modified еще можно спрятаться за прокси, переписывающим HTTP-запросы, но и только. От кеша редиректов нет спасения. От кеша HSTS тоже, и это, к слову, правильно — его отсутствие делает браузер уязвимым для атак типа MITM. Частое удаление кеша — это, кажется, единственный выход, но и он далек от идеала.
С фингерпринтингом дело обстоит еще веселее. Борьба с трекерами делает тебя уязвимее для фингерпринтинга. Удалил Flash? Что ж, теперь ты белая ворона. Вас таких меньше процента, и более уникального признака не придумать. С тем же успехом можно прятаться на улице города при помощи накладной бороды, темных очков и большой шляпы. Это не маскировка, а эффективный способ привлечения внимания к своей персоне. Еще Tor поставь, и будет комплект!
Рассчитывать на полную победу над трекерами вряд ли стоит, но создать иллюзию незаметности все же можно. Для начала оговорим выбор браузера. Эппловский Safari отпадает сразу. Он уникален тем, что не выключает куки, локальные хранилища данных и кеш даже в режиме инкогнито. Chrome — хороший браузер, но настоящему параноику следует держаться от него подальше. В Google никогда не скрывали, что собирают и анализируют информацию о пользователях. Остается Firefox. Он не лишен порочных связей с Google и даже пингует его при установке, но какой у нас выбор?
Блокировщик трекеров Firefox заимствует черный список у Disconnect — популярного средства блокировки трекеров, которое существует в виде браузерного аддона и приложения для всех популярных платформ. Очевидный недостаток Disconnect в том, что лучше всего он знает трекеры, которые популярны за границей. Мусор из России течет через него, как сквозь решето.
С популярной альтернативой Disconnect — аддоном Ghostery — тоже не все просто. Он эффективно удаляет трекеры, а затем продает информацию о своих пользователях тем самым рекламщикам, которые их ставят. В теории от продажи своих данных можно отказаться, но на практике — какого параноика убедят эти отговорки? Либо приложения, торгующие данными, либо борьба со слежкой — нужно выбрать что-то одно.
Неплохой репутацией пользуется блокировщик рекламы и трекеров uBlock Origin. Он позволяет подписаться на множество черных списков различного происхождения и назначения, в том числе для блокировки рекламы, трекеров, кнопок социальных сетей и вредоносного кода. Им можно заменить и Adblock Plus, и Ghostery.
С помощью аддона RequestPolicy Continued можно закрутить гайки еще сильнее. Он запрещает любые запросы к другим доменам, если пользователь заранее не внес их в белый список. Аддон Self-Destructing Cookies уничтожает куки и содержимое локальных хранилищ после завершения сессии. Наконец, старый добрый NoScript блокирует исполнение JavaScript, Flash и Java и включает только по просьбе пользователя.
Завершив выполнение рекомендаций, перечисленных в прошлом абзаце, стоит задуматься о жизни. Каким будет следующий шаг? Тебя все равно найдут, поэтому лучше не медлить. Беги в тайгу, подальше от NoScript и Flash. Firefox и аддоны — это полумеры и самообман. Против интернета помогут топор и кусачки, против фингерпринтинга — наждачная бумага. Удачи!