浏览器隐身模式下的你，仍然没有任何隐私 |
您所在的位置：网站首页 › 浏览器开启无痕模式真的无痕吗 › 浏览器隐身模式下的你，仍然没有任何隐私 |
浏览器隐身模式下的你，仍然没有任何隐私
大家好，我是鱼皮。 你以为你浏览器开了隐身模式，你就真的"隐身"了吗？No！No！No！今天带你从前端的视角来看了解浏览器的隐身模式。 作者：獨釣寒江雪 链接：https://juejin.cn/post/6994228279909548062 他的文章写得都非常棒👍🏻~ 感兴趣的同学可以点击文末的「阅读原文」关注哦~ 本文从科普和技术视角对浏览器隐身模式进行介绍，全文脉络如下，读者可根据兴趣选择对应章节阅读。  脑图 认识隐私模式隐私模式隐藏了什么现代网络浏览器，大多数都增加了隐私浏览模式来浏览网页，旨在保护用户隐私。Chrome 称之为隐身模式；Opera、Safari 和 Firefox 中一般称为隐私浏览。这些模式以深色主题和蒙面人物图标为特征，可以给用户一种匿名浏览的印象。芝加哥大学和汉诺威莱布尼茨大学的研究人员发现，人们对隐私浏览或隐身模式存在很多误解，许多用户认为隐私浏览可以保护他们免受恶意软件、广告、跟踪脚本和互联网服务提供商 (ISP) 的监控。 其实，隐私浏览旨在避免在计算机上保留浏览会话的痕迹。因此，当你打开隐私窗口时，主浏览窗口中的 cookie、浏览历史不会被保留。当你关闭隐私浏览窗口时，你的浏览历史记录、保存的密码以及你在该窗口的文本字段中键入的内容（用户名、电话号码等）都将被擦除。这意味着使用你的计算机并启动浏览器的下一个人将无法找出你在私人浏览会话期间访问了哪些网站，即便是你自己，当下次使用这些网站未登录帐户时，你也将以新用户的身份出现。 隐私浏览是一种非常有用且方便的工具，可用于快速浏览会话，不会在你的计算机上留下痕迹。它将保护你的隐私免受使用你计算机的其他人的侵害，并减少你在访问网站时透露的一些有关你自己的信息。但是隐私浏览不会让你匿名，也不会保护你免受监视和大型技术窥探。 说到泄露隐私，很多人认为只要自己不登录、不使用 cookie，使用浏览器的无痕模式，自己的数据信息就是安全的、自己浏览了什么就只有自己知道了，那么，我们不妨直接看看浏览器官方自己的定义吧。 无痕模式（Incognito mode）是 Chrome 浏览器的一种设置，在 Chrome 浏览器里，它是这样描述的：  incognito_mode 简单来说，Chrome 无痕模式只是帮你删除了你存在本地的搜索和浏览记录，只是看起来“无痕”而已。要在 Chrome 中以隐身模式打开页面，请单击右上角的三点图标，从出现的下拉菜单中选择打开新的无痕窗口，或按 Ctrl+Shift+N。一个带有深色主题的新窗口弹出，并显示一条通知：“您已进入无痕模式”， 细则解释了隐身模式的优缺点。默认情况下，第三方 cookie（用于跨不同站点跟踪你）被禁用。 至于如何开启隐身模式，相信大多数人都是知道的，如果不知道，或者不知道某一款特定的浏览器如何开启隐身模式，可以参考下面这个链接。 How do I set my browser to Incognito or private mode?[1] 在实践中，即使在隐私模式下，网站仍然可以通过关联其他信息来发现你的身份，例如你的 IP 地址、设备类型和浏览习惯（一天中的时间、访问的页面等），隐私浏览不会隐藏任何数据。Facebook 和 Google 等大型科技公司拥有大量关于用户的信息，通过连接这些点，即使你尚未登录帐户，它们也可以识别你的身份。 浏览器隐身模式真的可以隐身吗？通过前面的介绍，想必你的答案是确定的：不能。 我们可以通过一个展示隐私浏览跟踪的示例网站 —— Nothing Private[2]来证明这一点。这个网站的测试方式是让你先提交一个你的标识信息，之后让你使用浏览器的无痕模式访问网站，猜猜网站会不会认出你。 这里，我先填入了“獨釣寒江雪”，很明显的，当我提交信息时，浏览器除了发送了我填写的“獨釣寒江雪”，还有一个finger字段。  nothingprivate1 当我使用无痕模式再次打开这个网站时，浏览器又携带了相同的finger字段去服务器查询相关信息，于是，我被识别出来了。  nothingprivate2 综上：浏览器无痕模式并不能保护你的数据信息不被网站的服务器所获取。准确的说，无痕模式就是掩耳盗铃而已。有兴趣的话，您不妨亲自去Nothing Private[3]体验一下，关于它的原理，后续章节会继续介绍。 隐私模式不能干什么它不会保护你免受病毒或恶意软件的侵害；它不会让你的 Internet 服务提供商 (ISP) 无法看到你上网的位置（事实上，无论你做什么，你的 ISP 几乎都可以访问你的所有浏览活动）；它不会阻止网站查看你的实际位置；当你关闭网页时，你在隐私浏览或隐身模式下保存的任何书签都不会消失，它会被添加到你的正常浏览网页的书签中；关闭窗口时不会删除你在私密浏览时下载到计算机的文件。隐私模式使用现状2017 年，DuckDuckGo[4]对 5,710 名美国人进行了浏览器隐私模式调查，以了解人们对隐私模式的认识以及他们如何使用这一常见的隐私功能，完整报告可参考：A Study on Private Browsing: Consumer Usage, Knowledge, and Thoughts[5]。 简单总结如下： 46% 的美国人使用过隐私浏览； private-browsing1 人们使用隐私浏览的第一个原因是“令人尴尬的搜索”； private-browsing2 76% 使用隐私浏览的美国人无法准确识别其提供的隐私优势； private-browsing3 65% 的受访者表示，在了解隐私浏览的局限性后（隐私浏览模式只会阻止你的浏览器历史记录被记录在你的计算机上，并不会提供任何额外的保护），他们感到“惊讶”、“误导”、“困惑”或“受到伤害”； private-browsing4 84% 的美国人会考虑尝试使用另一个主要的网络浏览器，如果它能提供更多功能来帮助保护他们的隐私的话。 private-browsing5 参考资料：Is Private Browsing Really Private?[6] 从技术视角看隐身模式用户访问网站的过程一般情况下，用户访问网站的过程如下图所示：  browsing_process1 当一位用户浏览网页时，一般会进行以下操作： 打开浏览器，输入网址。这时候浏览器就会默默将此过程保留在历史记录中；连接请求通过用户家中的网线，层层递进，到达互联网供应商的主干网络，再接着连接到用户请求的网站地址，这个时候就网站就能拿到用户的 IP 地址了；网站返回数据给用户，网页大部分的内容作为临时文件被暂存在用户电脑中；用户如果进行注册/登录，则会将用户信息保存/更新在服务器端。将 Cookie 保留在本地作为验证用户的一种方式，避免用户多次反复的登录。当然进行注册时填写的手机号、邮箱、家庭住址也会被浏览器记录，方便用户下次调用。可以看到整个过程一般而言有 3 种数据是保存在用户的电脑上的，那就是浏览记录、临时文件与 Cookie 和表单填写的内容。而有 1 或 2 种的数据被保留在了网站那边，就是 IP 地址和用户填写的注册信息。 现在非常多的公司和学校建立了专有的网络环境，对外只显示 1 个 IP，数据返回的时候再发送到相应的内网 IP 上。雇主和学校有心想看的话还是能够知道内网的某个人浏览了什么。对于 HTTP 网站链接，雇主和学校能够完整的了解用户浏览了哪些网站，用户看了哪些内容，停留了多久，针对哪些网站进行了点击跳转等等；对于 HTTPS 网站链接，由于证书的存在和相应的验证机制，一般而言 HTTPS 解密（中间人攻击）很难发动，所以只能够了解到用户浏览了哪些网站而已。同时不恰当的网络环境也会将自己的浏览记录暴露在他人的视野中，比如免费公用的 Wi-Fi。  browsing_process2 浏览器隐身模式检测的博弈在 Chrome 76 之前，存在一个漏洞，许多网站利用该漏洞来检测用户是否在 Chrome 的隐身模式下访问网站。这些网站只需要尝试使用 FileSystem API 用于存储临时或永久文件的 。此 API 在隐身模式下被禁用，但在非隐身模式下存在，因此产生了差异，该差异被利用来检测用户是否正在使用隐身模式浏览网站并阻止这些用户查看网站的内容。 代码语言：javascript复制const fs = window.RequestFileSystem || window.webkitRequestFileSystem; if (!fs) { console.log('check failed?'); } else { fs( window.TEMPORARY, 100, console.log.bind(console, 'not in incognito mode'), console.log.bind(console, 'incognito mode') ); } 复制代码后来谷歌修复了一个漏洞，不幸的是，他们的修复导致了另外两种方法，仍然可以用来检测访问者何时进行私密浏览。 基于文件系统大小检测隐身模式：该方法基于为浏览器使用的内部文件系统预留的存储量。安全研究人员 Vikas Mishra发现[7]，Chrome 隐身模式和非隐身模式之间存储配额存在区别，如果临时存储配额 { // Get the visitor identifier when you need it. const fp = await fpPromise; const result = await fp.get(); // This is the visitor identifier: const visitorId = result.visitorId; console.log(visitorId); })(); 复制代码更多关于 fingerprintJS 的信息，可以参考： fingerprintJS 介绍与使用[22]fingerprintJS - GitHub[23]fingerprintJS - 官方文档[24]上面这些方法，能获得九成以上意义的唯一浏览器指纹，也许并不能完全真的唯一，因为比如重写相关 canvas 方法、使用类似猫头鹰浏览器[25]等特殊浏览器还是会使得相关方法失效，但是技术手段更多时候只是一个通用意义上的解决方案，增加破解的壁垒和成本，我认为支持常用场景下的开发是足够的了。 有了唯一的浏览器指纹，我们就可以在类似统计 UV、点赞、投票的时候，带上相关指纹，自然就可以在极大程度上辨别用户是否存在刷票、刷访问量的行为了，不过，浏览器指纹技术终归是把双刃剑，在解决以上问题的同时，难免会给用户带来更多的信息泄漏困扰。 实现 Canvas Fingerprinting**Canvas Fingerprinting（Canvas 指纹）基于 Canvas 绘制特定内容的图片，使用 canvas.toDataURL()方法返回该图片内容的 base64 编码字符串。对于 PNG 文件格式，以块(chunk)划分，最后一块是一段 32 位的 CRC 校验，提取这段 CRC 校验码便可以用于用户的唯一标识。**Canvas 利用 HTML5 canvas API 和 JavaScript 来动态生成你想要的图像。和其它跟踪技术一样，这种方法已被成千上万的网站采用了，包括我们熟知的广告领域。 下面是 Canvas 指纹的一个简单实现，原理其实比较简单，不理解的地方可以参考注释： 代码语言：javascript复制// PHP 中，bin2hex() 函数把 ASCII 字符的字符串转换为十六进制值。字符串可通过使用 pack() 函数再转换回去 // 下面是PHP 的 bin2hex 的 JavaScript 实现 function bin2hex(s) { let n, o = ''; s += ''; for (let i = 0, l = s.length; i < l; i++) { n = s.charCodeAt(i).toString(16); o += n.length < 2 ? '0' + n : n; } return o; } // 获取指纹UUID function getUUID(domain) { // 创建 元素 let canvas = document.createElement('canvas'); // getContext() 方法可返回一个对象，该对象提供了用于在画布上绘图的方法和属性 let ctx = canvas.getContext('2d'); // 设置在绘制文本时使用的当前文本基线 ctx.textBaseline = 'top'; // 设置文本内容的当前字体属性 ctx.font = "14px 'Arial'"; // 设置用于填充绘画的颜色、渐变或模式 ctx.fillStyle = '#f60'; // 绘制"被填充"的矩形 ctx.fillRect(125, 1, 62, 20); ctx.fillStyle = '#069'; // 在画布上绘制"被填充的"文本 ctx.fillText(domain, 2, 15); ctx.fillStyle = 'rgba(102, 204, 0, 0.7)'; ctx.fillText(domain, 4, 17); // toDataURL返回一个包含图片展示的 data URI let b64 = canvas.toDataURL().replace('data:image/png;base64,', ''); // atob() 方法用于解码使用 base-64 编码的字符串；base-64 编码使用方法是 btoa()，这俩都是window全局方法 let crc = bin2hex(atob(b64).slice(-16, -12)); return crc; } // 调用时，你可以传入任何你想传的字符串，并不局限于传递domain，这里只是为了便于区分站点 console.log(getUUID('https://www.baidu.com/')); 复制代码PHP bin2hex() 函数[26] 测试结果表明，同一浏览器访问该域时生成的 CRC 校验码总是不变。可以简单理解为同样的 HTML Canvas 元素绘制操作，在不同的操作系统不同的浏览器上，产生的图片内容其实是不完全相同的。出现这种情况可能是有几个原因： 在图片格式上，不同 web 浏览器使用了不同的图形处理引擎、不同的图片导出选项、不同的默认压缩级别等。在像素级别来看，操作系统各自使用了不同的设置和算法来进行抗锯齿和子像素渲染操作。即使是相同的绘图操作，最终产生的图片数据在 hash 层面上依然是不同的。如何更好的保护个人隐私我们应该在何时使用私密/隐身模式？隐身模式就是能够在多人共用电脑的时候保护自己的浏览记录不被其他公用的人看到，以及保护自己的账户不被恶意登录。此外隐私模式还能保护我们不被恶意广告所困扰。 即使你使用的是隐私浏览模式，也并不意味着你可以做一些邪恶的事情；也许你想将你的工作和个人生活分开；你可能会共用一台计算机或设备，并且你不希望你的家人、朋友、同事窥探；你可能正在购买礼物，但你不希望任何东西破坏可能的惊喜；或者，也许你只是想限制公司收集有关你的数据量，并且你重视隐私；使用公共场所的电脑设备时。如何防止被生成“浏览器指纹”？上一大节我们探讨了网站如何使用各种技术来生成“浏览器指纹”来标识唯一用户，那么下面我们来说说，如何避免被网站“生成”唯一用户指纹。 常用的手段是，通过浏览器的扩展插件，阻止网站获取各种信息，或者返回个假的数据，这种方式是在网页加载前就执行一段 JS 代码，更改、重写、HOOK 了 js 的各个函数来实现的，因为 JS 的灵活性给这种方式提供了可能。但是这种方式始终是表层的，使用 JS 修改是能防止大部分网站生成唯一指纹，但是是有手段可以检测出来是否“作弊”的。 更好的手段是从浏览器底层做处理，从浏览器底层修改 API 使得这些在 js 层获取的信息并不唯一，不管如何组合都不能生成一个唯一的代表用户的指纹。比如：猫头鹰浏览器[27]。 猫头鹰浏览器是基于 chromium 代码修改编译的浏览器，从底层对各种 API 做了修改，可以交给用户自定义返回各种数据，比如 Canvas、Webgl、AudioContext、WebRTC、字体、UserAgent、屏幕分辨率、CPU 核心数、内存大小、插件信息、语言等信息，这样就可以完全避免被“生成”唯一用户指纹了。因为在线公司、广告商和开发人员喜欢跟踪你的在线活动和操作，以便为你提供有针对性的广告，通常，大家认为这是侵犯用户隐私的。 如何免受广告跟踪器的监视和跟踪禁用第三方 Cookie。Chrome 2020 年推了一个叫做 SameSite Cookie 的东西，目的是为了减少第三方 Cookie 的发送，但网站所有者仍然有能力关掉它（SameSite=None），可参考下图。而 Chrome 的终极目标，是要在 2022 年完全消灭第三方 Cookie，像 Safari 和 Brave 已经做的那样，SameSite Cookie 就是第一步。 禁用 JavaScript 脚本，蒽，这个在现今，估计还是算了。在现在前后端分离的开发模式下，大多数网站在禁用 JavaScript 后，将什么也没有，得，烦恼没有了，网站内容也没有了，一了百了～ 要隐藏你的互联网流量以免受监控和跟踪，你可以使用虚拟专用网络 (VPN)。你的 ISP 会知道你正在使用 VPN，但它无法确定你正在访问哪些网站。VPN 服务通过远程服务器路由流量，因此看起来你是从另一个位置或多个位置进行浏览。不过，VPN 提供商可以跟踪你上网的位置，因此最好找一家你可以信任的公司来删除或锁定你的浏览活动。VPN 不会阻止来自广告商的第三方 cookie，但这些 cookie 将无法准确识别你的位置，从而使广告跟踪器难以或不可能有效。 友情提示：VPN 是中立性的技术，使用由相关单位构建并且登记备案的 VPN 不属于违法行为，而私自搭建的则属于违法行为（即使用非法 VPN 是违法的）；如果只是使用 VPN 连接国际网络进行必要的工作、查阅必要信息，是不属于违法行为的；如果使用 VPN 在国际互联网制作、复制、查阅和传播违法信息的，则需要依法追究违法责任。 Tor 浏览器可以真正掩盖你的在线活动。TorBrowser 是一款匿名访问网络的的软件，用户通过 Tor 可以在因特网上进行匿名交流。为了实现匿名目的，Tor 把分散在全球的计算机连起来形成一个加密回路。当你通过 Tor 网络访问互联网时，你的网络数据会通过多台电脑迂回发送，就像洋葱包裹其核心那样掩饰你的网络活动，使得跟踪流量变得困难，你访问的网站真的不知道你在哪里，只知道你的请求路由通过的最后一个服务器的大致位置；信息传输在每一步都被加密，无从得知你所处位置和信息传输目的地。因此 Tor Browser 也被称为洋葱浏览器，Tor 浏览器在关闭时会删除所有 cookie，但是即使 Tor 代理也不会阻止第三方广告商在你的浏览器中注入 cookie。 参考资料探讨浏览器指纹[28]浏览器的隐私模式，真的能完全保护我们的隐私吗？[29]Google Chrome Incognito Mode Can Still Be Detected by These Methods[30]Private Browsing Won't Protect You From Everything[31]本文首发于个人博客[32]，欢迎指正和star[33]。 参考资料[1] How do I set my browser to Incognito or private mode?: https://link.juejin.cn?target=https%3A%2F%2Fwww.computerhope.com%2Fissues%2Fch001378.htm [2] Nothing Private: https://link.juejin.cn?target=https%3A%2F%2Fwww.nothingprivate.ml%2F [3] Nothing Private: https://link.juejin.cn?target=https%3A%2F%2Fwww.nothingprivate.ml%2F [4] DuckDuckGo: https://link.juejin.cn?target=https%3A%2F%2Fduckduckgo.com%2F [5] A Study on Private Browsing: Consumer Usage, Knowledge, and Thoughts: https://link.juejin.cn?target=https%3A%2F%2Fduckduckgo.com%2Fdownload%2FPrivate_Browsing.pdf [6] Is Private Browsing Really Private?: https://link.juejin.cn?target=https%3A%2F%2Fspreadprivacy.com%2Fis-private-browsing-really-private%2F [7] 发现: https://link.juejin.cn?target=https%3A%2F%2Fmishravikas.com%2Farticles%2F2019-07%2Fbypassing-anti-incognito-detection-google-chrome.html [8] Jesse Li: https://link.juejin.cn?target=https%3A%2F%2Fblog.jse.li%2Fposts%2Fchrome-76-incognito-filesystem-timing%2F [9] Android 10 中官方文档: https://link.juejin.cn?target=https%3A%2F%2Fdeveloper.android.google.cn%2Fabout%2Fversions%2F10%2Fprivacy%2Fchanges [10] 获取设备唯一标识（Unique Identifier）:Windows 系统: https://link.juejin.cn?target=https%3A%2F%2Fblog.csdn.net%2Fqq_32403473%2Farticle%2Fdetails%2F81505664 [11] 广告商是如何追踪我们？日常使用手机该怎样保护隐私: https://link.juejin.cn?target=https%3A%2F%2Fxw.qq.com%2Fcmsid%2F20190118A11VT5%2F20190118A11VT500 [12] 这个网址: https://link.juejin.cn?target=https%3A%2F%2Fwww.whatismybrowser.com%2F [13] 探讨浏览器指纹: https://link.juejin.cn?target=https%3A%2F%2Fzhuanlan.zhihu.com%2Fp%2F282922459 [14] BrowserLeaks: https://link.juejin.cn?target=https%3A%2F%2Fbrowserleaks.com%2F [15] BrowserLeaks: https://link.juejin.cn?target=https%3A%2F%2Fbrowserleaks.com%2F [16] HTML5 Canvas Fingerprinting: https://link.juejin.cn?target=https%3A%2F%2Fbrowserleaks.com%2Fcanvas [17] Nothing Private: https://link.juejin.cn?target=https%3A%2F%2Fwww.nothingprivate.ml%2F [18] Nothing Private 的源码: https://link.juejin.cn?target=https%3A%2F%2Fgithub.com%2Fgautamkrishnar%2Fnothing-private%2Fblob%2F794bf714af5bbe5b1c69abfbb3566afd90a8474a%2Fmain.js [19] ClientJS: https://link.juejin.cn?target=https%3A%2F%2Fgithub.com%2Fjackspirou%2Fclientjs [20] getFingerprint基本逻辑: https://link.juejin.cn?target=https%3A%2F%2Fgithub.com%2Fjackspirou%2Fclientjs%2Fblob%2F92d4df728f5a7085da582565e3e616d8c8ac9529%2Fsrc%2Fclient.base.js [21] ClientJS 官网地址: https://link.juejin.cn?target=http%3A%2F%2Fclientjs.org%2F [22] fingerprintJS 介绍与使用: https://link.juejin.cn?target=http%3A%2F%2Fvalve.github.io%2Ffingerprintjs%2F [23] fingerprintJS - GitHub: https://link.juejin.cn?target=https%3A%2F%2Fgithub.com%2Ffingerprintjs%2Ffingerprintjs [24] fingerprintJS - 官方文档: https://link.juejin.cn?target=https%3A%2F%2Ffingerprintjs.com%2F [25] 猫头鹰浏览器: https://link.juejin.cn?target=https%3A%2F%2Fwww.owlssky.com%2F [26] PHP bin2hex() 函数: https://link.juejin.cn?target=https%3A%2F%2Fwww.runoob.com%2Fphp%2Ffunc-string-bin2hex.html [27] 猫头鹰浏览器: https://link.juejin.cn?target=https%3A%2F%2Fwww.owlssky.com%2F [28] 探讨浏览器指纹: https://link.juejin.cn?target=https%3A%2F%2Fzhuanlan.zhihu.com%2Fp%2F282922459 [29] 浏览器的隐私模式，真的能完全保护我们的隐私吗？: https://link.juejin.cn?target=https%3A%2F%2Fzhuanlan.zhihu.com%2Fp%2F36712219 [30] Google Chrome Incognito Mode Can Still Be Detected by These Methods: https://link.juejin.cn?target=https%3A%2F%2Fwww.bleepingcomputer.com%2Fnews%2Fgoogle%2Fgoogle-chrome-incognito-mode-can-still-be-detected-by-these-methods%2F [31] Private Browsing Won't Protect You From Everything: https://link.juejin.cn?target=https%3A%2F%2Fwww.pcmag.com%2Fnews%2Fprivate-browsing-wont-protect-you-from-everything [32] 个人博客: https://link.juejin.cn?target=https%3A%2F%2Fking-hcj.github.io%2F2021%2F08%2F08%2FIncognito-Mode%2F [33] 指正和star: https://link.juejin.cn?target=https%3A%2F%2Fgithub.com%2Fking-hcj%2Fking-hcj.github.io |
【本文地址】
今日新闻 |
点击排行 |
|
推荐新闻 |
图片新闻 |
|
专题文章 |