Недавно дебютировавший в App Store приватный браузер Psylo позиционирует себя как инструмент, способный скрывать цифровые следы пользователя за счёт присваивания каждой вкладке собственного IP-адреса.
Psylo для iOS и iPadOS был создан Mysk, канадским бизнесом приложений, которым руководят разработчики программного обеспечения и исследователи безопасности Талал Хадж Бакри и Томми Майск.
«Psylo выделяется тем, что это единственный браузер iOS на базе WebKit, который действительно изолирует вкладки. Речь идёт не только о раздельном хранилище и файлах cookie. Psylo выходит за рамки этого», — сказал Томми Майск.
Создатели позиционируют каждую вкладку как «бункер». По их словам, две вкладки Psylo, открывающие один и тот же веб-сайт, будут выглядеть так, как будто они созданы на двух разных устройствах.
Обычно разработчики используют API в собственных приложениях и веб-браузерах для сбора информации о конфигурациях оборудования и программного обеспечения пользователей сети. Эта техника позволяет собирать информацию о разрешении экрана пользователя, операционной системе, а также типе и версии браузера.
Маркетологи, которые анализируют эту информацию, могут создать достаточно точное описание пользователя — его «фингерпринт».
Electronic Frontier Foundation ещё в 2010 году публиковала документ, в котором были указаны риски, связанные с браузерным анализом. С тех пор разработчики браузерного API пытались усложнить фингерпринтинг, в то время как другие разрабатывали библиотеки для его упрощения, предположительно, для борьбы с мошенничеством.
Исследователи Техасского университета A&M Зенгруй Лю, Джимми Дани, Иньчжи Цао, Шуцзян Ву и Нитеш Саксена недавно опубликовали отчёт под названием «Первое раннее доказательство использования отпечатков браузера для онлайн-отслеживания». Предыдущие исследования, как утверждают авторы, показали, что издатели веб-сайтов запускают скрипты отпечатков, но не установили, используются ли они для онлайн-отслеживания, нарушающего конфиденциальность, или для менее спорных целей, таких как обнаружение ботов. Исследователи утверждают, что они установили эту связь на основе своего анализа ставок на аукционах онлайн-рекламы.
«Наше масштабное исследование выявляет убедительные доказательства применения отпечатков браузера для отслеживания и таргетинга рекламы, что подтверждается различиями в стоимости ставок и сокращением записей HTTP после изменений фингерпринтов. Мы также показываем, что цифровые следы могут обходить отказы GDPR/CCPA, позволяя отслеживать пользователей, нарушая конфиденциальность», — утверждается в статье.
Исследователи показали, что цифровые следы можно копировать и подделывать. Другими словами, злоумышленник может выдать себя за пользователя браузера, чтобы посетить сайт вместо него.
Psylo разработали в попытке решить проблему с помощью комплектов разработки программного обеспечения или библиотек, которые разработчики добавляют в свои приложения. Как отмечают создатели, Apple пытается усложнить создание фингерпринтов, внедряя меры конфиденциальности, такие как прозрачность отслеживания приложений в iOS 14, метки конфиденциальности App Store и манифесты конфиденциальности, а также ограничения на использование API для отслеживания. Тем не менее, рекламные технологические компании разработали обходные пути.
Psylo же изолирует вкладки браузера в хранилища, где применяются механизмы защиты от фингерпринтинга. Разработчик использует собственную сеть Mysk Private Proxy Network для маскировки IP-адреса каждого хранилища.
«Мы разработали систему таким образом, чтобы сетевой трафик всегда передавался по зашифрованным каналам. Злоумышленник, перехватывающий трафик Psylo в любой момент, увидит только зашифрованные данные. Psylo использует зашифрованные каналы TLS для связи и блокирует трафик HTTP с открытым текстом. Мы не можем читать данные, которые наши пользователи отправляют и получают», — сказал Майск.
Компания утверждает, что Psylo обеспечивает лучшую конфиденциальность, чем VPN, поскольку виртуальные сети маскируют IP-адрес пользователя, но, как правило, не изменяют данные, используемые для фингерпринтинга. При этом Psylo настраивает часовой пояс и язык браузера в соответствии с геолокацией каждого прокси-сервера, что приводит к большей энтропии.
В сообщении разработчиков Mysk говорится, что некоторые браузеры, ориентированные на конфиденциальность, такие как Brave, также реализуют меры по борьбе с фингерпринтингом, такие как рандомизация холста, но они более эффективны в приложении для настольных компьютеров macOS из-за ограничений iOS от Apple. При этом в Psylo смогли добиться лучших результатов на iOS, используя клиентское решение JavaScript.
Браузер не регистрирует личную идентификационную информацию или данные о просмотре. Компания утверждает, что не может идентифицировать пользователя, отмечая, что у неё также нет информации о платежах клиентов, обрабатываемых Apple. В браузере не используются учётные записи, а вместо них есть только рандомизированные идентификаторы для указания активных подписок.
По словам Майска, единственными хранящимися данными подписчиков являются данные об использовании полосы пропускания, которые необходимы для предотвращения злоупотреблений.
«Мы агрегируем данные об использовании полосы пропускания на основе случайно сгенерированного идентификатора, который создается при оформлении подписки. Случайно сгенерированный идентификатор связан с транзакцией подписки Apple. Apple не делится с разработчиками данными пользователей, совершающих покупки в App Store», — сказал он.
На вопрос о том, может ли Apple идентифицировать пользователей, Майск ответил: «Теоретически и при наличии постановления суда Apple может вычислить случайно сгенерированный идентификатор соответствующего пользователя. Если бы мы раздавали данные, связанные со случайно сгенерированным идентификатором, это было бы только использование полосы пропускания этим пользователем в текущем месяце и за два месяца в прошлом. Более старые данные автоматически удаляются.
Мы не связываем никакую идентифицируемую информацию со случайно сгенерированным идентификатором. Мы не храним IP-адреса в каждом компоненте нашей системы. Мы вообще не храним веб-сайты, которые посещают наши пользователи».
Psylo доступен для iOS и iPadOS. Mysk может создать версию и для Android, если браузер окажется популярным.
В США Psylo стоит $9,99 в месяц или $99 в год.
Источник: habr.com