Рекламщики используют новый способ отслеживания пользователей через TLS

Опубликованное в прошлом месяце исследование специалистов Гамбургского университета проливает свет на новую технику отслеживания действий интернет-пользователей с помощью связанного с TLS легитимного механизма.

Описанная исследователями техника основывается на использовании механизма возобновления сеанса связи TLS Session Resumption, разработанного в середине 2000-х годов. Благодаря ему TLS-серверы способны запоминать прошлые пользовательские сеансы и экономить свои ресурсы путем восстановления TLS-подключения с возвратившимся пользователем. По словам исследователей, рекламщики могут использовать TLS Session Resumption для отслеживания действий пользователей в браузере.

Если маркетинговая компания загружает свою рекламу через сервер TLS (HTTPS), для этого сервера включается механизм TLS Session Resumption. Когда пользователь посещает сайт, где отображается эта реклама, с сервером маркетинговой компании устанавливается TLS-сеанс. Когда пользователь заходит на другой сайт с рекламой этой же компании, вместо нового TLS-сеанса продолжается установленный ранее. Таким образом, маркетинговая компания может отслеживать перемещения пользователя от сайта к сайту.

Как показало тестирование 45 мобильных и десктопных браузеров, отслеживать активность пользователей с помощью вышеописанного способа позволяют 38 из них. Три браузера (Tor, JonDoBrowser и Orbot для Android) не поддерживают TLS Session Resumption. Еще четыре (360 Security Browser, Konqueror, Microsoft Edge и Sleipnir – все для ПК) по умолчанию блокируют возможность отслеживание через TLS Session Resumption для сторонних доменов, но оставляют для основных доменов.

Источник