Ein Canvasfingerabdruck erkennt Browser, indem eine Seite ein verborgenes Bild zeichnet und kleine Unterschiede ausliest, wie das Gerät dieses Bild darstellt.
Er ist eine enge Zutat der Browsererkennung und keine volle Identität, und dieselbe Zeichnung kann sich nach einer Aktualisierung oder einem anderen Grafikstapel verschieben.
So funktioniert es
Die Seite muss dafür keine Eingabe der Person verlangen, und das Zeichenergebnis schwankt mit Schriften, Grafikhardware und Browserverhalten, deshalb können zwei Aufbauten, die für die nutzende Person gleich aussehen, in den zurückgegebenen Bildpunkten trotzdem verschieden sein.
Seiten falten dieses Ergebnis dann in eine weitere Menge von Merkmalen.
Weil die Erhebung still geschehen kann, zählen Datenschutzerwartung und Einwilligungsregeln ebenso wie der Betrugsnutzen.
Ein Canvaswert ist auch für Durchsetzung unvollkommen: Er kann kollidieren, der Browser kann ihn zufällig machen, und er sollte nicht der einzige Grund sein, eine besuchende Person zu beschuldigen.
Konkrete Beispiele
- Ein Betrugssystem fügt das Zeichenergebnis zu anderen Browsermerkmalen hinzu und bemerkt eine Gruppe von Konten, die sich zu stark gleichen.
- Ein Browser, der die Canvasausgabe zufällig macht, lässt dieselbe Person bei jedem Besuch neu erscheinen, was stilles Verfolgen mindert und auch den Betrugshinweis schwächt.
- Ein gemeinsamer Laborrechner erzeugt ein Canvasergebnis für viele Studierende, deshalb kann die Seite dieses Ergebnis nicht als eine Kundin behandeln.
Schutzmaßnahmen
- Sperren oder beschuldigen Sie eine besuchende Person nicht allein wegen eines Canvasergebnisses und verbinden Sie es mit stärkeren Kontobelegen.
- Legen Sie gerätebezogene Betrugsprüfungen in Ihrem Hinweis offen, einschließlich zeichenbasierter Merkmale, in einer Sprache, die eine gewöhnliche Kundin versteht.
- Rechnen Sie damit, dass Browser dieses Signal mit der Zeit verringern, und entwerfen Sie Betrugskontrollen, die auch ohne Zeichenergebnis oder bei Rauschen funktionieren.
- Begrenzen Sie, wie lange Sie das Rohergebnis behalten, und beschränken Sie, wer in der Firma es nachschlagen kann.
Verwandte Artikel
Der Beitrag Was ist ein Browserfingerabdruck? beschreibt die weitere Merkmalsmenge, von der dieser Zeichentrick nur einer ist.
Der Beitrag Was ist Botverkehr auf Websites? behandelt automatisierte Besuche, die wie viele verschiedene Browser aussehen wollen.
Der Beitrag Was ist ChromeDriver beim Surfen? erklärt externe Browsersteuerung, die in Tests und manchmal bei skriptgesteuerten Besuchen genutzt wird.