Favicon؛ ردپای پاک‌نشدنی کاربران و امکان ردیابی از طریق آن
شواهد نشان می‌دهند که فاوآیکون‌ها می‌توانند به‌عنوان اَبَرکوکی (Supercookies) غیر قابل حذف استفاده شوند و در ردیابی آنلاین کاربرد داشته باشند. براساس گزارش وایس، این لوگوهای کوچک زیبای ظاهرا بی‌آزار حتی توانایی عبور از حالت ناشناس (Incognito Mode)،اVPN و Pi-hole را دارند تا فعالیت‌های آنلاین کاربران را ردیابی کنند.
فاوآیکون‌ها همان آیکون‌های کوچکی هستند که تقریبا تمام وب‌سایت‌ها از آن استفاده می‌کنند؛ اما کم‌تر کسی درباره‌ی آسیب احتمالی آن‌ها آگاهی دارد. زمانی‌که تعداد زیادی تب در مرورگر باز کنید، آیکون‌های کوچکی روی هر تب به چشم می‌خورند که لوگوی اختصاصی وب‌سایت را نمایش می‌دهند. برای مثال، پرنده‌ی کوچک آبی در توییتر، حرف G قرمز در جیمیل، حرف W با فونت پررنگ در ویکی‌پدیا و اگر بخواهیم راه دور نرویم، Z شکسته‌ی قرمز زومیت از جمله فاوآیکون‌ها هستند. این لوگوهای کوچک کمک زیادی به کاربران می‌کنند تا در بین تب‌های زیاد به‌راحتی وب‌سایت مدنظر خود را پیدا کنند.
براساس گزارش منتشرشده توسط یک محقق حوزه‌ی امنیت، این آیکون‌ها می‌توانند به‌عنوان آسیب‌پذیری امنیتی به‌شمار بروند و به وب‌سایت‌ها امکان ردیابی فعالیت‌های کاربران را پیشکش کنند؛ حتی اگر کاربران در حالت ناشناس به وب‌گردی بپردازند یا از ابزار تغییر آی‌پی استفاده کنند!
ردیابی در این روش ازطریق ابرکوکی انجام می‌شود که کار طراح نرم‌افزار آلمانی، جوناس استرل است.
جوناس استرل در حساب گیت‌هاب خود گفت:
ابرکوکی از فاوآیکون استفاده می‌کند تا به هر بازدیدکننده‌ی وب‌سایت یک تعیین‌کننده‌ی هویت اختصاص بدهد. برخلاف روش‌های سنتی ردیابی، این علامت تشخیص هویت به‌گونه‌ای ذخیره می‌شود که کاربر نمی‌تواند آن را به‌آسانی حذف کند. این روش ردیابی حتی در حالت وب‌گردی ناشناس قابل انجام است و با حذف کَش، بستن مرورگر، راه‌اندازی مجدد سیستم، استفاده از ابزار تغییر آی‌پی یا نصب و استفاده از افزونه‌های Adblocker وضعیت ردیابی تغییر نمی‌کند.
استرل در گیت‌هاب توضیح داد که ایده‌ی ردیابی با استفاده از فاوآیکون زمانی به ذهنش رسید که یک مقاله‌ی تحقیقاتی درباره‌ی این موضوع مطالعه کرد که توسط دانشگاه ایلینوی در شیکاگو منتشر شده بود.
طبق مقاله‌ی منتشرشده توسط دانشگاه ایلینوی:
پیچیدگی و ویژگی‌های زیاد ذاتی مرورگرهای نوین معمولا مستعد هدایت و به‌کارگیری فرایندهای به‌ظاهر بی‌ضرر به نفع افراد سوءاستفاده‌گر است که می‌توانند با تبدیل آن‌ها به ابزارهای مخاطره‌آمیز، امنیت کاربران را تحت‌الشعاع قرار بدهند. در این مقاله ما قصد داریم مکانیزم ردیابی جدیدی را معرفی کنیم که با سؤاستفاده از یک ویژگی ساده و همه‌گیر مرورگر، فاوآیکون‌ها، صورت می‌پذیرد...
جوناس استرل فقط برای اثبات این مفهوم تلاش می‌کند و این آسیب‌پذیری را به‌تنهایی کشف نکرده است. به بیانی دیگر، برنامه‌ی ابرکوکی استرل در تلاش است تا آنچه مقاله‌ی چاپ‌شده توسط محققان دانشگاه مطرح می‌کند، اثبات کند.
مقاله‌های مرتبط:
فاوآیکون‌ها باید به‌آسانی در دسترس مرورگرها قرار بگیرند؛ بنابر این، داده‌های مربوط به آن‌ها در بخش مجزایی در سیستم ذخیره‌سازی می‌شوند که با نام کش فاوآیکون (F-Cache) شناخته می‌شود.
ورودی F-Cache داده‌های زیادی درباره‌ی تمام مسیرهایی که کاربر می‌رود، ذخیره می‌کند و در مقابل فقط یک لوگوی کوچک در بالای تب‌های مرورگر برای کاربر به نمایش درمی‌آورد.
وقتی کاربر از یک وب‌سایت بازدید می‌کند، مرورگر فاوآیکون ذخیره‌شده در ورودی F-Cache را بررسی می‌کند تا ازطریق آن، لوگوی مربوط به آدرس وب‌سایت را بارگذاری کند. اما اگر داده‌های مربوط به لوگو به هر دلیلی در سیستم کاربر موجود نباشد، مرورگر درخواست GET بارگذاری فاوآیکون وب‌سایت را به سرور ارسال می‌کند.
این داده‌ها به وب‌سرور امکان می‌دهد اطلاعاتی درباره‌ی بازدیدکننده به دست آورد. استرل معتقد است:
با ترکیب حالت تحویل‌داده‌شده و تحویل‌داده‌نشده فاوآیکون‌ها برای آدرس‌های URL خاص، یک الگوی منحصربه‌فرد یا به عبارتی دیگر یک شماره‌ی شناسایی به کلاینت اختصاص داده می‌شود. وقتی وب‌سایت دوباره بارگذاری شود، وب‌سرور می‌تواند شماره‌ی شناسایی را با استفاده از درخواست‌های شبکه ارسال‌شده توسط کلاینت برای فاوآیکون‌ها بازسازی کند و از این طریق هویت مرورگر را تشخیص بدهد.
استرل وب‌سایتی راه‌اندازی کرده است که نشان می‌دهد ردیابی با این روش چقدر آسان انجام می‌شود. بنا بر گفته‌ی او، وب‌سایت وی فقط جنبه‌ی تحقیقاتی دارد و کد منبع مربوطه را نیز منتشر کرده است. همچنین توضیحات طولانی درباره‌ی جزئیات عملکرد ابرکوکی‌ها روی وب‌سایت خودش به اشتراک گذاشته است.
ترسناک‌ترین بخش آسیب‌پذیری فاوآیکون این است که به‌راحتی از تمام روش‌های سنتی حفظ حریم شخصی کاربران عبور می‌کند. بنا بر تحقیقات استرل، ابرکوکی‌ها وب‌گردی ناشناس مرورگرهای کروم، سافاری، اج و فایرفاکس را دور می‌زند. حذف کش، وب‌گردی با ابزار تغییر آی‌پی یا استفاده از مسدودکننده‌ی تبلیغات، هیچکدام نمی‌تواند از ردیابی فاوآیکون جلوگیری کند.
محققان در دانشگاه ایلینوی به نتایج مشابه دست یافتند:
ما دریافتیم که ترکیب ردیابی به شیوه‌ی فاوآیکون با شناسه‌های تغییرناپذیر اختصاص‌داده‌شده توسط مرورگر که در طول زمان ثابت می‌مانند، به وب‌سایت‌ها اجازه می‌دهد که شماره‌ی شناسایی ۳۲ بیتی را در دو ثانیه بازسازی کنند. بنابراین تغییراتی برای طریقه‌ی ذخیره‌سازی کش فاوآیکون‌ها به مرورگرها پیشنهاد می‌کنیم که با کمک آن از ردیابی کاربران جلوگیری شود. برای مثال، آخرین نسخه از مرورگر فایرفاکس شامل به‌روزرسانی‌هایی بود که از کاربر دربرابر ابرکوکی محافظت می‌کند.
دیدگاه شما کاربران زومیت درباره‌ی این آسیب‌پذیری چیست؟
