Abo
  • Services:

Browser-Fingerprinting: "Super-Cookies" verfolgen Nutzer auch im privaten Modus

Auch ohne Cookies lassen sich Nutzer im Internet tracken. Webseiten können dazu mit HSTS ausgerechnet eine Methode zum sicheren Surfen zweckentfremden.

Artikel veröffentlicht am ,
Mit Dutzenden Einträgen in einer Datenbank soll sich jeder Browser identifizieren lassen.
Mit Dutzenden Einträgen in einer Datenbank soll sich jeder Browser identifizieren lassen. (Bild: Golem.de)

Die Surfgewohnheiten von Internetnutzern lassen sich auch bei deaktivierten Cookies mit Hilfe einer Sicherheitsfunktion verfolgen. Der britische IT-Berater Sam Greenhalgh demonstriert dies auf seiner Website, indem der das HTTP Strict Transport Security-Verfahren (HSTS) missbraucht. Dabei lässt er in eine Browserdatenbank eine Reihe von 32 Einträgen schreiben, anhand derer die Website den Nutzer bei einem weiteren Besuch wiedererkennen kann. Anders als Cookies lassen sich diese Einträge auch im privaten Modus eines Browsers auslesen, wobei es Unterschiede zwischen den Anbietern gibt.

Stellenmarkt
  1. über duerenhoff GmbH, Göttingen
  2. Statistisches Bundesamt, Wiesbaden

Der 2012 eingeführte HSTS-Mechanismus wird verwendet, um eine sichere Nutzung des HTTPS-Protokolls zu garantieren. So werden HTTP-Anfragen beispielsweise automatisch in HTTPS-Anfragen umgewandelt. Dazu schreibt die betreffende Website etwa bei Firefox einen Eintrag in eine browserspezifische Datenbank (permissions.sqlite), in der die Nutzung von HSTS markiert ist (type: sts/use). Diese Datei enthält Voreinstellungen für jede besuchte Webseite, beispielsweise das Verbot, Cookies zu speichern, Erweiterungen zu installieren, Grafiken darzustellen und Pop-ups zuzulassen.

Greenhalgh hat nun diese Funktion verwendet, um per Javascript gleich 32 dieser Einträge in der Permissions-Datenbank abzulegen. Daraus ergeben sich mehr als zwei Milliarden Kombinationen, um Browser zu identifizieren. Greenhalgh behauptet, dass diese Einträge von Chrome, Firefox und Opera zusammen mit den Cookies der entsprechenden Website gelöscht würden. Allerdings würden bestehende HSTS-Markierungen auch dann genutzt, wenn in den Inkognito-Modus des Browsers umgeschaltet würde. Da der Internet Explorer HSTS nicht unterstütze, sei er auch nicht anfällig für einen Missbrauch dieses Verfahrens, schreibt Greenhalgh weiter.

Bei einem Test von Golem.de löschte Firefox die Einträge in der Permissions-Datenbank jedoch nicht, wenn sämtliche Cookies entfernt wurden. Die Datei lässt sich mit einem Addon in Firefox betrachten. Allerdings verzichtet die neueste Firefox-Version 34.0.5 darauf, auf die Datenbank im privaten Modus zuzugreifen, so dass ein Nutzertracking dadurch nicht mehr möglich ist. "Anders als Google Chrome hat Firefox entschieden, die Privatsphäre über die Sicherheit zu stellen und nicht länger HSTS in private Fenster mitzunehmen", sagte Greenhalgh. Die Chrome-Entwickler halten hingegen einen Kampf gegen verschiedene Arten von Browser-Fingerprinting nicht für möglich, "ohne in fundamentale Funktionsweisen des Internets einzugreifen".



Anzeige
Top-Angebote
  1. (u. a. SanDisk SSD Plus 1 TB für 99€ + Versand oder Marktabholung)
  2. 339€ (Bestpreis!)
  3. 259€ + Versand

Atzeonacid 08. Jan 2015

Ganz klar, Super Cookies für die Wahrung des Super Grundrechte

Der Held vom... 08. Jan 2015

Man kann eine einfachen Sachverhalt natürlich auch künstlich verkomplizieren. Absolute...

SasX 08. Jan 2015

Wie kommst du darauf? Das Geld der Werbeindustrie kommt ja nicht aus dem Nichts. Das...

Madricks 08. Jan 2015

So viele Seiten sind es gar nicht unbedingt, die diese unsichtbaren Cookies setzen...

SceniX 08. Jan 2015

Ich verstehe nicht was divStar mit seiner Terroranschlagsrede mit dem Thema zu tun hat...


Folgen Sie uns
       


Honor View 20 - Test

Das View 20 von Honor ist ein interessantes Smartphone: Für unter 600 Euro bekommen Käufer hochwertige Hardware im Oberklassebereich und eine der besten Kameras am Markt.

Honor View 20 - Test Video aufrufen
Sailfish X im Test: Die Android-Alternative mit ein bisschen Android
Sailfish X im Test
Die Android-Alternative mit ein bisschen Android

Seit kurzem ist Sailfish OS mit Android-Unterstützung für weitere Xperia-Smartphones von Sony verfügbar. Fünf Jahre nach unserem letzten Test wird es Zeit, dass wir uns das alternative Mobile-Betriebssystem wieder einmal anschauen und testen, wie es auf einem ursprünglichen Android-Gerät läuft.
Ein Test von Tobias Költzsch

  1. Android, Debian, Sailfish OS Gemini PDA bekommt Dreifach-Boot-Option

Tom Clancy's The Division 2 im Test: Richtig guter Loot-Shooter
Tom Clancy's The Division 2 im Test
Richtig guter Loot-Shooter

Ubisofts neuer Online-Shooter beweist, dass komplexe Live-Spiele durchaus von Anfang an überzeugen können. Bis auf die schwache Geschichte und Gegner, denen selbst Dauerbeschuss kaum etwas anhaben kann, ist The Division 2 ein spektakuläres Spiel.
Von Jan Bojaryn

  1. Netztest Connect Netztest urteilt trotz Funklöchern zweimal sehr gut
  2. Netztest Chip verteilt viel Lob trotz Funklöchern

Uploadfilter: Der Generalangriff auf das Web 2.0
Uploadfilter
Der Generalangriff auf das Web 2.0

Die EU-Urheberrechtsreform könnte Plattformen mit nutzergenerierten Inhalten stark behindern. Die Verfechter von Uploadfiltern zeigen dabei ein Verständnis des Netzes, das mit der Realität wenig zu tun hat. Statt Lizenzen könnte es einen anderen Ausweg geben.
Eine Analyse von Friedhelm Greis

  1. Uploadfilter EU-Kommission bezeichnet Reformkritiker als "Mob"
  2. EU-Urheberrecht Die verdorbene Reform
  3. Leistungsschutzrecht und Uploadfilter EU-Unterhändler einigen sich auf Urheberrechtsreform

    •  /