FingerprintJS bewies, dass installierte Apps Nutzer über jeden großen Browser hinweg identifizieren können

Datenschutzfunktionen in Browsern behandeln Identität als Browserzustand: Cookies, Canvas-Fingerabdrücke und Audio-Fingerabdrücke werden durch den Inkognito-Modus, ein VPN oder Tor gelöscht, randomisiert oder blockiert, sodass ein Browserwechsel wie ein Neuanfang wirkt. Die Forscher von FingerprintJS griffen das Signal an, das zurückbleibt: Die auf einem Rechner installierten Anwendungen ändern sich nicht, wenn eine Person den Browser wechselt oder sich hinter einem VPN versteckt, sodass die App-Menge dieselbe Person über Chrome, Firefox, Safari und Tor auf diesem Computer hinweg verknüpfen kann.

Deep Linking ist der Kanal. Desktop-Browser übergeben benutzerdefinierte URL-Schemata wie skype:// an die installierte Anwendung, die sie registriert hat, und fragen den Nutzer vor dem Start. Eine Seite kann daher die Anwesenheit einer App testen: zu ihrem Schema navigieren und beobachten, wie der Browser reagiert. Die Abfrage von 32 beliebten Anwendungen und die Kombination der Ja/Nein-Antworten ergibt in Sekunden eine 32-Bit-Kennung, unter Windows, macOS und Linux.

Jeder Browser gab dieselbe Antwort über eine andere Schwachstelle preis. Chrome verlangte eine Nutzergeste, doch eine Erweiterung wie sein PDF-Viewer setzte das Schutzflag zurück; Firefox zeigte bei unbekannten Schemata eine interne Fehlerseite, wodurch das Popup einer installierten App erkennbar wurde; Safari hatte keinen Schutz gegen eine Flut von Schemata; und Tor, das Bestätigungsdialoge vollständig deaktiviert, führte die Abfragen unsichtbar in iframes aus.

Der Schritt war Offenlegung statt Ausnutzung. FingerprintJS veröffentlichte die Technik mit einer funktionierenden Demo, gab den Quellcode frei und reichte Fehlerberichte bei allen vier Browserherstellern ein, wobei das Unternehmen erklärte, die Schwachstelle nicht in eigenen Produkten zu nutzen. Mozillas Bugzilla eröffnete den Fall 1711084, und Tor Browser fügte später einen Patch hinzu; die Ankündigung auf Hacker News am 13. Mai 2021 erreichte 467 Punkte und 200 Kommentare, wobei Leser die Demo als Feldtest ausführten.

Installierte Apps über URL-Schema-Dialoge abfragen, um eine ID zu erstellen, die kein Datenschutzmodus zurücksetzt

Installierte Anwendungen sind Zustand auf Geräteebene, sodass eine aus ihnen gebildete Kennung Inkognito, VPNs, Browserwechsel und Tor auf eine Weise übersteht, wie es kein Cookie oder Canvas-Fingerabdruck kann.

Benutzerdefinierte URL-Schemata legen die Anwesenheit einer App ohne Berechtigung offen: Ein Browser bietet den Start eines Schemas nur an, wenn eine echte Anwendung es registriert hat, und JavaScript kann beobachten, ob dieses Angebot erfolgt ist.

Der Angriff nutzte nur Popup-Fenster, iframes und Same-Origin-Regeln, die bereits existierten, sodass jeder große Desktop-Browser das Signal in irgendeiner Form preisgab, ohne dass ein Plugin oder Betriebssystemzugriff nötig war.

Tors Datenschutzentscheidung, Bestätigungsdialoge zu deaktivieren, kehrte sich gegen ihn: Da für den Nutzer nichts sichtbar war, liefen die Abfragen unsichtbar in iframes, wodurch der privateste Browser zur leisesten Undichtigkeit wurde.

Die Veröffentlichung einer Demo und das Eröffnen von Fehlerberichten ermöglichten Außenstehenden, den Befund nachzuvollziehen, und verwandelten die private Behauptung eines Anbieters in verfolgte Vorgänge, einen Browser-Patch und öffentliche Prüfung.

Installierte Apps sind Zustand auf Geräteebene, der Inkognito, VPNs und Browserwechsel übersteht; jeder beobachtbare UI-Unterschied, selbst ob ein Dialog erscheint, wird zu einem Tracking-Signal.

Mozilla verfolgte den Bericht als Bug 1711084, und Tor Browser fügte einen von Matthew Finkel entwickelten Patch hinzu; Jahre später war der Bug noch offen. Das Update des Artikels von August 2022 meldete die Tracker-Einträge von Chrome und Firefox weiterhin als offen und ungelöst. Die Demo und das Quellcode-Repository blieben online, und der Artikel behielt seinen Hinweis, dass FingerprintJS die Schwachstelle nicht in eigenen Produkten nutzt. Der Hacker-News-Thread vom 13. Mai 2021 erreichte 467 Punkte und 200 Kommentare; Leser führten die Demo als Feldtest aus, einige bestätigten übereinstimmende Kennungen über Browser hinweg, andere meldeten falsch positive Ergebnisse.