Поймай меня если сможешь, или как вас детектят в интернете
Неоднократно наблюдал широкий интерес пользовательской аудитории к темному сегменту Интернета – начиная от анонимности в сети, заканчивая краткими обзорами незаконной деятельности во всемирной паутине. Скажу пару слов о себе – я человек, имеющий непосредственное отношение к разработке систем безопасности, потому по роду деятельности провожу достаточно много времени в исследованиях различных аспектов деятельности в сети – от серых до откровенно черных, о чем буду рад поделиться в своих следующих постах, если данная тема вызовет интерес читателей.
Итак, поехали. Хотелось бы рассказать о сути моего первого поста. Посещая страницы в сети – будь то новостные сайты или интернет магазины, задумывались ли вы о том, какую информацию вы передаете ресурсу, который посещаете? Знаете ли вы, что некоторые сайты могут получать практически полную информацию о вашем компьютере? Хотели бы знать, как избежать этого? Тогда эта статья для вас.
Бурное развитие Интернета ознаменовало собой значительное увеличение товарно-денежных отношений в режиме “онлайн”. Разумеется, это не могло не сказаться на интересе мошенников и преступников, которые начали использовать новейшие технологии для личного незаконного обогащения. Одним направлений теневой деятельности в начале 2000х годов стал кардинг – использование данных чужих кредитных карт для покупок в сети товаров и услуг с их дальнейшим обналичиванием. Большинство коммерческих организаций были абсолютно не готовы к все увеличившейся волне кибер-преступности и еще не успели выработать адекватных мер по защите, что позволило первопроходцам в буквальном смысле озолотиться. Достаточно длительное время как банки, так и крупные магазины предпочитали “не замечать” данной проблемы, т.к. интерес к привлечению клиентов значительно превышал возможные убытки. Но, с продолжением бурного роста кибер-преступности были вынуждены защищаться.
Первыми шагами со стороны эмитентов кредитных карт стало внедрение систем дополнительной авторизации при покупках в Интернете – VBV (Verified by Visa) и MSMC ( MasterCard Master Security). В России данная технология знакома по приему смс при онлайн-транзакциях, в других странах, в т.ч. Европейском Союзе и США это может быть также установка при помощи личных данных держателя карты онлайн-кода, использующегося для подтверждения рисковых операций (что несет за собой дополнительные риски, т.к. мошенник может использовать похищенную информацию для создания личного онлайн-кабинета, т.н “роллки”). На данный момент более 90% карт в странах СНГ и ЕС по умолчанию подключены к данной технологии, чего нельзя сказать о США – хоть двойная авторизация и встречается там все чаще, большая часть карт все так же не обладают данной технологией, используя вместе нее валидацию адресов ( при заказе товара идет проверка на совпадение Billing Adress – адреса держателя карты, и Shipping Adress – адреса, на который делается покупка в интернет магазине). В общем и целом, усилия компаний Visa и Mastercard не являлись достаточными, т.к по сути производилась попытка апгрейда в целом устаревшего финансового механизма, который изначально не был предназначен для удаленных покупок, поэтому стало очевидным необходимость создания защитных механизмов, независящих от эмитентов карт. Это также совпало с появлением таких онлайн-гигантов рынка электронных платежей, как PayPal, которые в качестве посредников при осуществлении финансовых операций несли повышенные риски при мошенничестве.
Именно это ознаменовало собой появление Антифрод (Anti Fraud – противо-мошеннические) систем – мощной защиты, о существовании которой вы, возможно, не знали и не догадывались, но сталкиваетесь с ней ежедневно – начиная от посещения любимой социальной сети и заканчивая любым западным интернет-магазином. Парадокс сложившейся ситуации заключается в том, что при попытке создания более безопасного пространства для покупок в сети, Интернет полностью лишился изначальной анонимности, и огромное количество ваших данных является доступным для логирования и дальнейшего анализа.
Что представляет собой Антифрод система? Это мощный программный комплекс, предназначенный для идентификации возможного мошенничества при помощи ряда “флагов”, которые представляют собой адрес или диапазон ip адресов и уникальных характеристик браузера, а также специальных типов cookies, некоторые из которых являются неочищаемыми при обычной очистке.
Давайте рассмотрим их подробнее:
– IP и DNS адреса. Как известно большинству пользователей, данные исходящего адреса показывают принадлежность пользователя к определенному провайдеру и местоположению, и при использовании компьютера для осуществления покупок обычным пользователям не скрывается и является прямым. Злоумышленники часто используют специальные связки из vpn + proxy / vpn + ssh / tor + ssh для того, чтобы анонимизировать себя и приблизиться к реальному местонахождению адреса настоящего владельца карты или аккаунта платежной системы. Задача антифрод системы состоит в том, чтобы проверить наличие впн и прокси при помощи специальных инструментов ( обратный пинг, открытые порты ), а также определить, были ли осуществлены попытки мошеннических действий с данных адресов. Как правило, большинство прокси и туннелей, продающихся задешево в темном сегменте интернета уже многократно использовались совершенно разными людьми в подобных делах, поэтому являются отмеченными по шкале риска. Именно поэтому поиск чистых прокси на актуальных системах является весьма значимым этапом в преступной деятельности.
– Параметры браузера. Всем известно, что для идентификации пользователя сайты используют специальные файлы, называемые cookies, но не все знают, что существует несколько форматов данных маркеров, начиная от т.н evercookies, которые хранятся локально и не удаляются при обычной очистке браузера, и заканчивая снятием отпечатка браузера, который позволяет получить уникальную “подпись” (signature), которая остается неизменной навсегда при использовании браузера на компьютере обычным пользователям. Таким образом, если вы считаете, что обычная очистка браузера позволит вам стать чистым пользователем в глазах посещаемого сайта – это огромное заблуждение, которое подвело достаточно большое количество людей.
Из чего же состоят отпечатки, на основании которых создается уникальных портрет пользователя? На самом деле, существует огромное количество различных приватных детектов, которые позволяют благодаря особенностям того или иного браузера определить его характеристику или подмену. На данный момент хотелось бы остановиться на основных параметрах, используемых в подавляющем большинстве антифрод систем:
- UserAgent / OS (отпечаток по используемому заголовку браузера и операционной системы)
- Canvas (отпечаток по html5)
- WebGL (отпечаток по данным используемой видеокарты)
- Plugins (отпечаток по набору и версиям установленных плагинов)
- Fonts (отпечаток по шрифтам)
- Audiofingerprint (аудиоотпечаток)
- ClientRects (отпечаток по координатам объекта)
- Flash (через него можно добраться до практических всех параметров компьютера, в настоящее время технология устарела и поэтому не является подозрительным отсутствие ее поддержки в браузере)
- WebRTC (проверка утечки IP адреса через соединение с медиасервером, отпечаток по уникальному хешу медиаустройств – камера, микрофон и т.д)
Как видите, даже при базовом поверхностном рассмотрении существует достаточно большое количество уникальных характеристик, которые позволяют с огромной точностью идентифицировать ваш браузер среди сотен тысяч других, а, значит, и вас. Вы можете проверить данное утверждение на общеизвестных ресурсах по типу https://browserleaks.com
Самое парадоксальное, что именно обычные пользователи оставляют данную информацию о своем пребывании на разнообразных сайтах, часто даже не догадываясь об этом. Мошенники давно научились обходить данные проверки, используя специально разработанный для этого софт – антидетект. Как и следовало ожидать, Россия оказалась в данном направлении впереди планеты всей, о чем многократно сокрушалась американская пресса.
Рассмотрим наиболее известные на данный момент программы. Первым продуктом подобного рода стала отечественная разработка Antidetect, созданная на базе браузера Firefox при помощи интеграции специальных дополнений, что позволило на достаточно примитивном уровне изменять обычные параметры браузера, что, тем не менее, позволило ему в свое время стать одним из наиболее известных в мире инструментов для кардинга. И, хотя софт подобного рода вполне может использоваться для вполне законной деятельности, автор опрометчиво создал себе дурную славу тем, что в качестве рекламы продукта заснял ролик использования похищенной кредитной карты для покупки электронного товара, что возмутило самого мистера Кребса (известного американского борца с киберпреступностью), который не просто написал статью о данной разработке, но и деанонимизировал ее автора.
С данным расследованием вы можете ознакомиться по ссылке: исследование.
Следующее внимание общественности привлек новый продукт отчественной разработки, именуемый Linken Sphere. Андеграудное сообщество до сих пор спорит, почему авторы назвали свой продукт именно так, и является ли это отсылкой к популярной онлайн-игре, в которой данный предмет инвентаря отражал негативные заклинания, направленные на владельца, либо название происходит из английского слова Link (ссылка), но данный продукт и в самом деле подходит под оба описания – он предлагает невиданные ранее возможности одновременной работы в параллельных вкладках с использованием различных соединений, при этом каждая вкладка по сути эмулирует отдельный браузер со своими уникальными характеристиками и защищает пользователя от идентификации. Возможность подмены охватывает все известные на данный момент характеристики, которые только возможно отследить или отметить. Стоит отметить, что разработчики в отличие от автора Antidetect нигде не упоминают возможность использования данной программы в преступной деятельности, но активная реклама браузера ведется в том числе и на теневых ресурсах, из чего можно сделать определенные выводы. При этом, известно, что данное ПО в виду возможностей мультипоточности используется, например, в абсолютно белых схемах, например, арбитраже трафика или работе с социальными сетями. Несмотря на то, что данный продукт появился в продаже только в конце лета, наши американские друзья уже также успели обратить на него внимание, и даже восхитились им, отмечая его технологическое совершенство:
Но, оставим данное ПО для тех, кто в силу профессиональной деятельности может быть заинтересован в более продвинутых возможностях смены личности, либо готов платить деньги за свою безопасность.
Что же может сделать обычный пользователь для того, чтобы стать хотя бы немного более невидимым?
- Использовать качественный VPN. Слияние с большим количеством адресов других пользователей затрудняет вашу идентификацию. Если вы не преследуете преступных мотивов, а занимаетесь обычным серфингом и хотите оставаться анонимным, то данного решения будет вполне достаточно для того, чтобы оставаться в тени.
- Отключить Flash и Java. Данные технологии являются устаревшими и не несут необходимости в современном Интернете. В тоже время, они позволяют сайту получить огромное количество информации о вашем компьютере, в чем нет никаких положительных моментов.
- Установить расширение, блокирующее снятие отпечатка по Canvas. Данных решений создано достаточно много и они бесплатны. Достаточно выбрать одно из них на основании популярности и отзывов пользователя. Это не сложно и не займет много времени, но позволит вам частично защитить себя от идентификации – данная технология определения используется практически повсеместно.
- Активировать опцию DoNotTrack. Данная технология позволяет сайтам отслеживать вас для понимания того, какая реклама может быть вам интересна. Но, так или иначе, она записывает следы ваших действий в сети, поэтому не нужна.
- Установить виртуальную машину (VmWare или VirtualBox) для того, чтобы подменить другие отпечатки – такие, как WebGl, Audiofingerprint, Fonts. Да и по своей сути, виртуальная машина является изолированной средой, которая защитит вас в том числе и при попадании на компьютер вредоносного ПО.
На данном этапе первый пост окончен – надеюсь, вам было интересно узнать для себя нечто новое в давно известных вещах. У меня есть еще много полезной информации для пользователей ресурса. Если вам интересно, что общего между вашим почерком и движением мыши или как нейронные сети используются для борьбы с незаконными операциями в сети, пишите комментарии – о чем вы хотели бы узнать из сферы защиты информации или теневой стороны Интернета. Если данная тема вызовет интерес, я обязательно напишу продолжение. Желаю всем удачного и безопасного серфинга!