Das HTML5-Evercookie
- IPv6 - das neue Internetprotokoll
- Das HTML5-Evercookie
Das HTML5-Evercookie Da die IPv6-Adresse allein nicht ausreicht, um eine eindeutige Identifizierung zu ermöglichen, wurden inzwischen andere Methoden entwickelt, um das Benutzerverhalten anhand einer Kombination aus verschiedenen Daten mitzuverfolgen. Laut dem renommierten Sicherheits- und Krypt...
Das HTML5-Evercookie
Da die IPv6-Adresse allein nicht ausreicht, um eine eindeutige Identifizierung zu ermöglichen, wurden inzwischen andere Methoden entwickelt, um das Benutzerverhalten anhand einer Kombination aus verschiedenen Daten mitzuverfolgen. Laut dem renommierten Sicherheits- und Kryptologie-Experten Bruce Schneier (Schneier on Security) kann diese Aufgabe anhand der sogenannten Evercookies von Samy Kamar umgesetzt werden. Diese verbinden die folgenden Verfahren:ganz gewöhnliche HTTP-Cookies
- Local Shared Objects (sog. Flash Cookies)
- Speichern von Cookies in RGB-Werten mittels automatisch generierter, zwangsweise gecachter PNGs unter Benutzung von <canvas> in HTML 5, um Pixelwerte aus Cookies auszulesen
- Speichern von Cookies in der Web History
- HTML5 Session Storage
- HTML5 Local Storage
- HTML5 Global Storage
- HTML5 Database Storage mittels SQLite
Der Evercookie-Killer
Der Sicherheitsexperte Dominic White hat ein kleines Bash-Shellskript geschrieben:
cat evercookie-kill.sh
#!/bin/bash
echo "Loeschen der Evercookie-Orte,
die Safari uebersehen hat (siehe hierzu samy.pl/evercookie)"
rm -r ~/Library/Safari/Databases/*
rm -r ~/Library/Safari/LocalStorage/*
rm -r ~/Library/Preferences/Macro
media/Flash\ Player/\#SharedObjects/*Das Skript adressiert Apples Safari, doch die Funktionsweise lässt sich leicht für andere Webbrowser und Betriebssysteme anpassen. Wer das Skript ausführt, muss darauf achten, den Browser zuvor unbedingt zu beenden, sonst werden die gerade gelöschte Daten des Evercookie schnell wieder neu angelegt.
Website-Betreiber experimentieren
Facebook, Google, Yahoo und Akamai wollen am 8. Juni testweise für 24 Stunden den Zugang zu ihren Diensten auf IPv6-Anschlüsse umleiten. Googles Suche ist bereits unter der Adresse ipv6.google.com genauso wie Facebook unter www.v6.facebook.com über IPv6 zugänglich.
Fazit
Weblinks
www.cisco.com/en/US/docs/ios/ipv6/command/reference/ipv6_12.html www.de-cix.net www.ams-ix.net/ams-ix-to-offer-inter-ipx-services-in-2011/ www.ecix.de www.deepspace6.net www.schneier.com/blog/archives/2010/09/evercookies.html dynamic2.planetwebsecurity.org/Dominic_White/2010/10/12/Killing_the_EvercookieDie Einführung von IPv6 auf breiter Front ist praktisch unvermeidlich, da der Pool der verfügbaren IPv4-Adressen spätestens 2012, vielleicht sogar schon 2011, erschöpft sein wird. Unter Windows 7 sind die Privacy Extensions standardmäßig aktiviert, sodass die Privatsphäre des Webbesuchers gewahrt bleibt. Unter Mac OS X oder Linux sind die Privacy Extensions standardmäßig deaktiviert und Benutzer müssen daher am System selbst Hand anlegen.Weniger Glück haben aber leider Benutzer von IPv6-fähigen Gerät wie iPhone oder iPad (ab iOS 4.x) und modernen Android-Mobiltelefonen. In diesen Fällen kommt IPv6 leider automatisch zum Einsatz und es besteht weder die Möglichkeit IPv6 abzuschalten noch die Privacy Extensions zu aktivieren.Bestehende Hardware kann für die Übergangszeit problemlos weiter genutzt werden, denn IPv6-Datenpakete lassen sich durch IPv4-Netze tunneln, bis sich IPv6 als Standard auf breiter Front durchsetzt. Wann immer jedoch Neuanschaffungen erforderlich sind, sollte man sich IPv6-fähigen Geräten den Vorzug geben.
World IPv6 Day
Große Content-Anbieter wollen in Sachen IPv6 auf Nummer sicher gehen und starten deshalb einen globalen Testlauf. Dieser wird am 8. Juni unter dem Namen "World IPv6 Day" stattfinden.Die Absicht dahinter: Entscheider in Industrie und Internet-Business sollen damit auf die notwendige Umstellung aufmerksam gemacht werden. Außerdem wird es den teilnehmenden Firmen ermöglicht, im größeren Rahmen die Interoperabilität unter IPv6 zu testen, Erfahrungen zu sammeln und unerwartete Fehler und Probleme zu erkennen.Internetuser werden fast nichts von der Umstellung bemerken, die im Hintergrund läuft, und müssen sich auf diesen Tag auch nicht vorbereiten.
