一覧

[17] 利用者の行動や好みに関するもの:

ストレージ (Web)
HTTPキャッシュ
実体タグ
HTTP認証
クライアント証明書
Cookie:
document.cookie
navigator オブジェクト
利用者スタイルシート
[9] HSTSスーパークッキー
代替サービス
Upgrade-Insecure-Requests:
PKP
[13] ブラウザー拡張によっては文書の処理などに影響を与えるものもあります。それらもまた fingerprinting vector となり得ます。
[7] XML文書が整形式でないときの navigation や DOMParser などの結果は Webブラウザーの種類や利用者のロケールによって変化するので、 fingerprinting vector といえます。
isindex
Referer:
Origin:
Accept-Language:
DNT:
Prefer:
From:
font-family
:visited
Date
DeviceOrientation Event
その他ロケール関係一般日時のプライバシー

[27] 利用者の装置に関するもの:

window.screen
NaN

[14] 利用者のネットワーク環境に関するもの:

IPアドレス
Via:
Forwarded:
X-Forwarded-*:

[16] 利用者のクライアントに関するもの:

利用者エージェントがどの機能に対応するか、しないか >>2
扱うことのできる、または起こり得る値の範囲や長さ、個数や種類の制限
利用者エージェント依存の挙動が認められているもの
HTTPヘッダーの順序
embed
object
accessKeyLabel
[12] navigate
用いるTLS拡張
ALPN
プロトコルの版
ALPN:
User-Agent:
From:
Sec-WebSocket-Extensions:
Connection:
Upgrade:
Accept:
Accept-Charset:
Accept-Encoding:
Accept-Features:
WebSocket handshake でどのヘッダーを送信するか
WebSocket Pingフレーム/Pongフレームの送信頻度と応用データ
WebSocket Closeフレームの応用データ
HTTP/2 SETTINGS >>16
HTTP/2 フロー制御の方式 >>16
HTTP/2 優先度の用法 >>16
HTTP/2 PING の送信頻度と payload
HTTP/2 GOAWAY フレームの payload
HTTP/2 プロトコル上の反応のタイミング >>16
HTTP/2 詰め欄のエラー処理

メモ

[1] Fingerprinting – WebKit ( (2014-05-05 01:59:05 +09:00 版)) http://trac.webkit.org/wiki/Fingerprinting

[3] RFC 7231 - Hypertext Transfer Protocol (HTTP/1.1): Semantics and Content (2014-08-07 05:54:02 +09:00 版) https://tools.ietf.org/html/rfc7231#section-9.7

[4] Web Applications 1.0 r8738 Be more explicit about the fingerprinting risk for <input type=submit> ( (2014-09-03 07:34:00 +09:00 版)) http://html5.org/r/8738

[5] WebDriver ( (2014-11-07 11:15:41 +09:00 版)) https://dvcs.w3.org/hg/webdriver/raw-file/default/webdriver-spec.html#h3_fingerprinting

[6] RadicalResearch HSTS Super Cookies ( (2015-01-08 12:25:42 +09:00 版)) http://www.radicalresearch.co.uk/lab/hstssupercookies/

[8] CSP-PINNING: Explain fingerprinting risk. · a3781f3 · w3c/webappsec (2015-02-03 11:28:35 +09:00 版) https://github.com/w3c/webappsec/commit/a3781f31a1a50d1368b9833df75d6da8ebc5b2c3

[10] Fingerprinting Guidance for Web Specification Authors (2015-02-24 16:31:41 +09:00 版) http://w3c.github.io/fingerprinting-guidance/

[11] Part2 - browsersec - Browser Security Handbook, part 2 - Browser Security Handbook - Google Project Hosting (2015-03-31 16:39:37 +09:00 版) https://code.google.com/p/browsersec/wiki/Part2#Privacy-related_side_channels

[18]

HTTP/2のRFCを読んだ感想 - WAF Tech Blog | クラウド型 WAFサービス Scutum 【スキュータム】 (2015-05-26 17:22:14 +09:00 版) http://www.scutum.jp/information/waf_tech_blog/2015/05/waf-blog-044.html

具体的には、PINGやPUSH_PROMISEなどによってWAF側から積極的にクライアントに対して働きかけ、反応を見ることで実装のフィンガープリンティングがやりやすくなりそうです。例えば、RubyやPythonで作成された攻撃ツールがFirefoxやChromeのフリをしているのを見破ったりすることが容易になるでしょう。

[19] Security FAQ - The Chromium Projects (2015-06-06 06:30:25 +09:00 版) http://www.chromium.org/Home/chromium-security/security-faq#TOC-Why-isn-t-passive-browser-fingerprinting-including-passive-cookies-in-Chrome-s-threat-model-

[20] Fingerprinting Guidance for Web Specification Authors (Draft) ( (2015-11-23 17:28:31 +09:00 版)) http://www.w3.org/TR/2015/NOTE-fingerprinting-guidance-20151124/

[25] Re: [whatwg] Proposal: navigator.cores (Adam Barth 著, 2014-05-05 06:49:00 +09:00 版) https://lists.w3.org/Archives/Public/public-whatwg-archive/2014May/0011.html

[26] リワード広告におけるCookieも端末IDも使わないFingerPrintを使った計測方法について:That's the Way to GO!:オルタナティブ・ブログ (2016-07-12 23:06:19 +09:00) http://blogs.itmedia.co.jp/jinmsk/2013/10/cookieidfingerp-da3d.html

[28] Mitigating Browser Fingerprinting in Web Specifications (2016-08-19 00:30:43 +09:00) https://w3c.github.io/fingerprinting-guidance/

[29] The Design and Implementation of the Tor Browser [DRAFT] (2016-12-26 00:13:46 +09:00) https://www.torproject.org/projects/torbrowser/design/

[30] Fingerprinting Guidance for Web Specification Authors (Draft) (2015-11-23 17:28:31 +09:00) https://www.w3.org/TR/2015/NOTE-fingerprinting-guidance-20151124/

[31] Remove registerContentHandler() and several friends (annevk著, 2017-09-14 20:16:09 +09:00) https://github.com/whatwg/html/commit/b143dbc2d16f3473fcadee377d838070718549d3

[32] should BroadcastChannel be disabled if a window does not have access to storage? · Issue #3054 · whatwg/html (2017-12-21 00:27:52 +09:00) https://github.com/whatwg/html/issues/3054

[33] Fingerprinting Protections · brave/brave-browser Wiki (2020-03-24 10:11:11 +09:00) https://github.com/brave/brave-browser/wiki/Fingerprinting-Protections

[34] Mitigating Browser Fingerprinting in Web Specifications (2019-04-30 03:58:23 +09:00) https://w3c.github.io/fingerprinting-guidance/

[35] Detectability of assistive technology · Issue #1371 · w3c/aria · GitHub, 2024-11-03T09:57:44.000Z https://github.com/w3c/aria/issues/1371

仕様書

一覧

ブラウザーを越えた fingerprinting

メモ