Introduction aux empreintes digitales : comprendre, manipuler et se défendre contre le suivi en ligne

Aperçu

Les empreintes digitales numériques sont une technique utilisée pour identifier les utilisateurs sur différents sites Web en fonction des caractéristiques uniques de leur appareil et de leur navigateur. Ces caractéristiques - paramètres d'empreintes digitales, peuvent inclure divers logiciels, matériels (CPU, RAM, GPU, appareils multimédias - caméras, micros, haut-parleurs), emplacement, fuseau horaire, IP, taille/résolution de l'écran, langues du navigateur/OS, réseau, fournisseur d'accès Internet. -attributs liés et autres.

La combinaison de ces paramètres crée un identifiant unique, l'empreinte digitale, qui peut être utilisé pour suivre l'activité en ligne d'un utilisateur. Les empreintes digitales jouent un rôle crucial dans la sécurité en ligne, permettant aux services d'identifier et d'authentifier des utilisateurs uniques. Ils permettent également aux utilisateurs de tromper ces systèmes pour rester anonymes en ligne. Cependant, si vous pouvez manipuler vos empreintes digitales, vous pouvez gérer des dizaines, des centaines de comptes différents, voire plus, pour prétendre qu'il s'agit d'utilisateurs uniques et authentiques. Même si cela peut paraître cool, cela a de sérieuses implications car cela peut permettre de créer une armée de robots capables de propager du spam et des contrefaçons partout sur Internet, entraînant potentiellement des actions frauduleuses.

Remarque : Évidemment, je ne discuterai pas ici de la façon dont vous pouvez faire de « mauvaises » choses ; vous devez toujours être prudent, rester à l’écart du « côté obscur » et éviter de commettre des actions illégales. Cet article concerne la technologie derrière cela, alors utilisez les informations à bon escient.

Ceci est le premier (et peut-être pas le dernier) article dans ce domaine, il s’agira donc plutôt d’un aperçu. Le contenu propose une introduction au sujet. Il existe des dizaines d'outils et de façons de détecter, collecter et usurper les empreintes digitales, et il existe de nombreux paramètres et technologies différents qui peuvent révéler ou masquer votre véritable identité ou le fait que vous usurpez vos empreintes digitales (ce qui signifie que vous n'êtes pas un utilisateur authentique). ).

Paramètres des empreintes digitales numériques

Considérons certains d'entre eux, quelques exemples de paramètres évidents, simples ou bien connus, d'autres plus rares, moins connus et difficiles à usurper.

• User-Agent : cette chaîne fournit des informations sur le navigateur, le système d'exploitation et l'appareil de l'utilisateur.
• IP : il révèle le réseau et la géolocalisation de l'utilisateur. Les services utilisent des adresses IP pour des raisons de sécurité et pour empêcher les activités malveillantes. Si vous utilisez un compte provenant de différentes adresses IP ou plusieurs comptes différents provenant de la même adresse IP, certains services peuvent considérer cette activité (en combinaison avec d'autres paramètres) comme suspecte et utiliser un certain niveau de protection contre les robots contre vous. Cela peut également être déclenché si vous utilisez des adresses IP déjà utilisées ou figurant dans une sorte de liste interdite (proxy).
• Plugins et extensions de navigateur : les informations sur les plugins et extensions installés peuvent être utilisées pour créer une empreinte digitale unique : elles aident à identifier les utilisateurs en fonction des fonctionnalités supplémentaires de leur navigateur.
• Résolution d'écran et profondeur de couleur : différents utilisateurs ont souvent des caractéristiques d'affichage différentes.
• Paramètres de fuseau horaire et de langue : ce sont des facteurs importants dans la prise d'empreintes digitales - si vous avez des valeurs aléatoires, par exemple le fuseau horaire du Japon, la langue norvégienne, c'est un peu inhabituel.
• Canvas : il s'agit de restituer des graphiques cachés dans le navigateur de l'utilisateur pour recueillir des informations sur le matériel graphique. C'est une question assez délicate, car si vous usurpez les informations de votre matériel, vous ne pouvez pas avoir la valeur de canevas appropriée - vous ne pouvez pas la restituer sur vos différents matériels réels.
• WebGL Fingerprinting : il exploite les capacités et les limites uniques du matériel graphique de l'utilisateur pour le rendu des graphiques 3D - des informations supplémentaires sur l'appareil de l'utilisateur.
• Polices : la liste des polices installées sur le système d'un utilisateur peut être utilisée comme paramètre d'empreinte digitale. Ces informations sont accessibles via JavaScript. La liste des polices doit être réaliste – par exemple, vous ne pouvez pas avoir de polices Win sur macOS ou vous ne pouvez pas avoir seulement 1 ou 2 polices, c'est un indicateur très suspect.
• API d'état de la batterie : elle permet aux sites Web de déterminer le niveau de la batterie et l'état de charge de l'appareil, la combinaison des attributs de la batterie peut être utilisée pour la prise d'empreintes digitales.
• Empreintes digitales audio : les sites Web peuvent utiliser l'API audio Web pour générer des empreintes audio uniques en analysant les caractéristiques de traitement audio de l'appareil.
• Concurrence matérielle : ces informations incluent des détails sur les composants logiciels et matériels de l'appareil, tels que la carte graphique, la carte réseau et le système d'exploitation. Cela ajoute au caractère unique de l’empreinte digitale.
• Informations réseau : ces informations incluent des détails sur la connexion réseau, tels que l'adresse IP, le FAI et le serveur DNS.
• Ports ouverts et utilisés : certains utilisateurs peuvent utiliser un logiciel qui écoute des ports spécifiques, ce qui peut également être utile dans certains cas spécifiques.

Naviguer sur le Web en mode incognito

La manipulation des empreintes digitales est une tâche difficile qui nécessite une approche proactive pour éviter toute détection. Il existe de nombreuses stratégies et outils pour cacher votre identité (empreintes digitales) ou prétendre que vous êtes quelqu'un d'autre.

Utilisez des navigateurs axés sur la confidentialité

Opter pour des navigateurs axés sur la confidentialité, tels que Brave, Ghostery, Tor, Octo Browser ou Vivaldi, dotés de paramètres de confidentialité améliorés, constitue une défense fondamentale contre les techniques courantes de prise d'empreintes digitales. Ces navigateurs donnent la priorité à la confidentialité des utilisateurs et intègrent des fonctionnalités conçues pour masquer vos véritables empreintes digitales, ce qui rend plus difficile le suivi de vos activités. Par exemple, le navigateur Tor, fondé sur les principes d'anonymat, achemine le trafic Internet via le réseau Tor. Ce routage stratégique obscurcit l'identité de l'utilisateur en faisant rebondir les connexions via une série de serveurs gérés par des bénévoles, améliorant ainsi l'anonymat global en ligne.

Extensions de navigateur

Les extensions de navigateur centrées sur la confidentialité, notamment AdBlock, uBlock Origin, Privacy Badger ou CanvasBlocker, pourraient constituer des défenses actives contre les scripts de suivi, les cookies et les tentatives d'empreintes digitales. Ces outils fonctionnent en arrière-plan, protégeant et préservant l'anonymat des utilisateurs.

VPN et proxys

L'utilisation de VPN ou de services proxy ajoute une couche de protection supplémentaire en masquant les véritables adresses IP de l'utilisateur (localisation, fuseau horaire, langue, etc.) et en cryptant le trafic Internet. Ceci n’est pas seulement utilisé pour modifier vos empreintes digitales, mais également pour fournir une présence en ligne plus anonyme et un niveau de sécurité plus élevé.

Motivations derrière l’usurpation d’empreintes digitales

Comprendre le pourquoi

Confidentialité : les personnes préoccupées par la vie privée et la surveillance numérique croissante usurpent souvent leurs empreintes digitales pour se protéger d'un suivi en ligne incessant.

Géo-restriction : l'usurpation d'empreintes digitales s'avère utile pour contourner les géo-restrictions, permettant aux utilisateurs d'accéder à du contenu restreint à des régions spécifiques. Les services VPN et proxy jouent ici un rôle crucial en cachant non seulement l'identité de l'utilisateur, mais en fournissant également un accès à des serveurs situés dans différents emplacements géographiques.

Publicités : éviter les publicités ciblées et le profilage en ligne constitue une raison impérieuse pour les individus de manipuler leurs empreintes digitales. Certains outils peuvent bloquer les scripts de suivi et les cookies tiers, perturbant ainsi le processus de profilage.

Besoins stratégiques dans le domaine numérique, détection des robots et systèmes de protection : Web scraping, multi-comptes, e-commerce, primes et airdrop, chasse aux bonus, robots de réseaux sociaux et marketing d'affiliation sont souvent des sources de revenus ou des bases pour les moyennes entreprises. Les agences numériques, les particuliers et les influenceurs engagés dans ces activités peuvent avoir besoin d’usurpation d’empreintes digitales pour naviguer dans des systèmes complexes de détection de robots. Éviter la détection devient vital pour certains services, en garantissant que les activités légitimes ne soient pas signalées ou restreintes par erreur (même si bien souvent, ces activités et ces comptes ne sont pas vraiment légitimes mais prétendent l'être). Certains des outils les plus populaires sont Multilogin, X-Browser, Octo Browser, AdsPower, Incogniton, Scrapy, Surfsky, Web Scraper.io, ScrappingBee, etc.

Collecte des empreintes digitales des utilisateurs

JavaScript : les sites Web utilisent JS (évidemment) pour récolter des détails sur les utilisateurs afin de créer des portraits numériques complets. Cela implique de sonder la résolution de l'écran, l'orientation de l'appareil, les mouvements de la souris, la dynamique des frappes, etc. Les scripts d'empreintes digitales sophistiqués énumèrent un large éventail d'attributs du navigateur et du matériel.

Cookies et stockage local : les cookies persistants et les données stockées dans le stockage local permettent de suivre les utilisateurs à travers les sessions et les plateformes. Les techniques incluent l'exploitation des cookies du navigateur et le stockage d'identifiants uniques pour le suivi des utilisateurs. En fonction de vos objectifs, vous devez savoir quand vous avez besoin d'un navigateur "vide" avec des empreintes digitales uniques ou quand vous devez tromper un service montrant que vous avez des cookies particuliers et les mêmes empreintes digitales.

Scripts tiers : l'inclusion de scripts tiers pour l'analyse et la publicité intègre des trackers invisibles souvent utilisés pour ajuster le comportement du système pour un utilisateur spécifique en fonction des empreintes digitales collectées. Vous pouvez utiliser les outils et approches susmentionnés pour bloquer ou tromper de manière sélective ces scripts afin d’obtenir le comportement souhaité.

Comprendre votre identité en ligne

Vérificateurs en ligne : Panopticlick (EFF), Pixelscan, deviceinfo.me et BrowserLeaks affichent les paramètres d'empreinte digitale de votre navigateur tels que l'agent utilisateur, les empreintes digitales du canevas, les polices, etc. Ces vérificateurs fournissent un aperçu du caractère unique et de la stabilité de votre empreinte numérique au cours de différentes navigations. séances.

Outils de développement de navigateur : ils permettent aux utilisateurs d'inspecter les requêtes réseau, les cookies et d'autres paramètres d'empreintes digitales, favorisant une compréhension plus approfondie de leur empreinte numérique et de la manière dont les sites Web détectent les robots et les utilisateurs légitimes uniques et collectent les empreintes digitales. L'examen des onglets Réseau et Application dans les navigateurs fournit une vue en temps réel des données échangées entre le navigateur, les sites Web et les serveurs.

Voici quelques exemples de la façon dont vous pouvez obtenir des informations sur les empreintes digitales des utilisateurs dans le navigateur.

• GÉO:

 navigator.geolocation.getCurrentPosition(function(position) { var userLocation = position.coords; });

• Microphone:

 navigator.mediaDevices.enumerateDevices() .then(function(devices) { var microphones = devices.filter(device => device.kind === 'audioinput'); });

• Caméra:

 navigator.mediaDevices.enumerateDevices() .then(function(devices) { var cameras = devices.filter(device => device.kind === 'videoinput'); });

• Haut-parleurs:

 navigator.mediaDevices.enumerateDevices() .then(function(devices) { var speakers = devices.filter(device => device.kind === 'audiooutput'); });

• L'audio:

 var audioContext = new (window.AudioContext || window.webkitAudioContext)(); var oscillator = audioContext.createOscillator(); var analyser = audioContext.createAnalyser(); oscillator.connect(analyser); analyser.connect(audioContext.destination);

• GPU :

 var canvas = document.createElement('canvas'); var gl = canvas.getContext('webgl') || canvas.getContext('experimental-webgl'); var renderer = gl.getParameter(gl.RENDERER); console.log(renderer);

• Polices :

 var fonts = []; var fontList = document.fonts.forEach(function(font) { fonts.push(font.family); }); console.log(fonts);

• Toile (hachage) :

 var canvas = document.createElement('canvas'); var context = canvas.getContext('2d'); var dataURL = canvas.toDataURL(); var canvasHash = MurmurHash3(dataURL); console.log(canvasHash);

• RAM et processeur :

 function getCPUInfo() { return navigator.hardwareConcurrency || 0; } function getDeviceMemory() { return navigator.deviceMemory || 0; } var cpuInfo = getCPUInfo(); var deviceMemory = getDeviceMemory(); console.log(`CPU Cores: ${cpuInfo}`); console.log(`Device Memory (GB): ${deviceMemory}`);

Systèmes de détection de robots : se défendre contre l'automatisation

Quelques exemples de tels systèmes :

• Distil Networks : C'est un leader mondial en matière de détection et d'atténuation des robots. Il fournit un moyen proactif et précis de vérifier que des utilisateurs humains légitimes accèdent à votre site Web, à votre application mobile et à vos API. Détection de robots : Distil Networks utilise une combinaison de techniques pour détecter les robots. Il étudie une gamme de variables telles que le mouvement du curseur, les modèles de clics et les modèles de navigation sur d'autres sites Web. Il utilise les empreintes digitales des appareils et la technologie Are You a Human , qui vérifie tous les visiteurs par rapport à des centaines de caractéristiques différentes, en se concentrant sur leur comportement. Il extrait activement des données supplémentaires du navigateur pour identifier les appareils avec précision. Lorsqu'une requête du navigateur arrive, Distil interroge les en-têtes pour voir si le visiteur ment sur son identité. Cet identifiant unique peut être utilisé pour identifier totalement ou partiellement des appareils individuels même lorsque les cookies ne peuvent pas être lus ou stockés dans le navigateur, que l'adresse IP du client est masquée ou que l'on passe à un autre navigateur sur le même appareil. Il utilise l'apprentissage automatique pour détecter les modèles biométriques dans l'activité et le défilement de la souris, ainsi que pour rechercher des indices dans les navigateurs, les appareils et d'autres facteurs. Il peut détecter de nombreux robots de complexité simple ou moyenne qui exécutent JS à partir d'une page Web. Protection des ressources : Distil Networks se défend contre le web scraping, l'exploration de données concurrentielle, les piratages de comptes, la fraude transactionnelle, les analyses de vulnérabilité non autorisées, le spam, la fraude au clic, le déni de service et l'abus d'API. Il peut bloquer automatiquement 99,9 % du trafic malveillant sans affecter les utilisateurs légitimes. Il propose également Distil Bot Defense for Web et API, qui protègent respectivement votre site Web et vos serveurs API.
• Imperva : Il s'agit d'une plate-forme complète de cybersécurité qui intègre l'identification basée sur les empreintes digitales pour distinguer les utilisateurs légitimes des menaces potentielles. En utilisant une analyse comportementale avancée et une détection d'anomalies, Imperva crée des profils basés sur une combinaison de facteurs, notamment la réputation IP, l'agent utilisateur, différents paramètres d'empreintes digitales et les caractéristiques comportementales. Cela permet au système de détecter les activités suspectes indiquant un trafic de robots et d'atténuer efficacement les menaces potentielles.
• Akamai : Il s'agit d'un important fournisseur de services cloud et de diffusion de contenu qui intègre des mécanismes robustes de détection des robots dans ses offres de sécurité. En exploitant une combinaison de détection basée sur les empreintes digitales, d'analyse du comportement et d'apprentissage automatique, Akamai identifie et atténue divers robots. Le réseau mondial d'Akamai permet d'obtenir des renseignements sur les menaces en temps réel, permettant ainsi une défense proactive contre l'évolution des tactiques des robots.
• Cloudflare : Il s'agit d'un réseau de diffusion de contenu et d'un service de sécurité largement utilisés qui utilisent une approche multiforme de la détection des robots. Cloudflare fait la distinction entre les utilisateurs humains et les robots en analysant des paramètres tels que la réputation IP, les caractéristiques de l'agent utilisateur et les modèles de comportement. La plateforme utilise également des renseignements sur les menaces et des informations issues de la communauté pour garder une longueur d'avance dans la bataille contre les menaces émergentes des robots. Cloudflare utilise JA3 Fingerprinting pour profiler les clients SSL/TLS et bloquer les demandes potentielles de robots. Il utilise également le filtrage HTTP pour appliquer des règles et acheminer le trafic en fonction des informations de la requête HTTP. L'empreinte digitale des données est utilisée pour identifier des fichiers spécifiques et éviter la perte de données. Ces techniques aident à détecter les utilisateurs non réels.

Rôle des systèmes de détection de robots :

Ils jouent un rôle central dans l’amélioration des capacités de détection des robots. Grâce à des serveurs stratégiquement positionnés dans le monde entier, ils peuvent exploiter des informations géographiques et des renseignements sur les menaces en temps réel pour identifier et atténuer efficacement le trafic de robots. Les gestionnaires de WAF et de bots de la plateforme contribuent à une défense complète contre les « utilisateurs » automatisés.

Dans ce jeu du chat et de la souris, les systèmes de détection de robots continuent d'évoluer, tirant parti des technologies avancées pour garder une longueur d'avance sur la technologie d'usurpation d'empreintes digitales. La collaboration entre les fournisseurs de sécurité, les entreprises et la communauté en ligne au sens large reste cruciale pour se défendre contre les tactiques de menaces automatisées, mais aussi, d'une certaine manière, contre la vie privée, l'anonymat et l'expérience en ligne des utilisateurs, en apportant des publicités intrusives et des outils sophistiqués de suivi des utilisateurs. qui ne sont bénéfiques qu’aux entreprises et non aux utilisateurs. Cependant, des outils de protection de la vie privée, de masquage et d’usurpation d’empreintes digitales, ainsi que de blocage des publicités et des trackers se développent également pour échapper aux systèmes de suivi des utilisateurs les plus sophistiqués.

Étapes de vérification supplémentaires des sites Web

• Comportement suspect : si une empreinte digitale semble suspecte, comme des changements fréquents ou des combinaisons inhabituelles de points de données, le site Web peut déclencher des étapes de vérification supplémentaires.
• Captcha : les sites Web peuvent présenter aux utilisateurs des défis captcha pour vérifier leur identité. Cela implique de résoudre des énigmes ou d’identifier du texte déformé, des tâches difficiles à réaliser pour les robots primitifs.
• Vérification mobile : les sites Web peuvent demander aux utilisateurs de vérifier leurs numéros de téléphone mobile pour établir un lien plus fort entre une identité unique et une entité du monde réel. Cela peut aider à prévenir les activités frauduleuses.
• Vérification d'identité : le principe est le même que pour les téléphones portables, mais vous devez présenter votre pièce d'identité

Exemples:

Google n'exige pas de vérification supplémentaire pour les nouveaux utilisateurs disposant d'empreintes digitales claires et cohérentes. Si l'empreinte digitale d'un utilisateur change fréquemment ou ressemble à celles utilisées par des robots connus (ou tout simplement déjà connus de Google), Google peut demander un numéro de téléphone mobile ou demander de gérer un captcha.

Les sites financiers appliquent souvent des mesures de vérification plus strictes en raison de la nature sensible des transactions. Ils peuvent exiger que les utilisateurs fournissent des informations personnelles supplémentaires, vérifient leur identité via des canaux sécurisés ou réussissent des défis captcha plus complexes.

Opinion : mieux vaut usurper que se cacher

Masquer les empreintes digitales peut améliorer la confidentialité, la sécurité et l’anonymat en ligne, mais les usurper pour apparaître comme un utilisateur unique et légitime offre des avantages encore plus importants. En vous fondant dans la foule et en évitant les soupçons des systèmes qui détectent les outils anti-détection, vous pouvez maintenir votre crédibilité et votre confiance. Cette approche vous permet de bénéficier des avantages d'être perçu comme un utilisateur unique et légitime, minimisant ainsi le risque de faire face à des mesures de protection ou à des obstacles supplémentaires. et, évidemment, cela aide à empêcher la fuite de vos données réelles et de votre identité.

Également publié ici .