Web-Übermittlung/-Tracking von Schriftarten und Addons in Firefox unterbinden!?!

[Fawk]

Web-Übermittlung/-Tracking von Schriftarten und Addons in Firefox unterbinden?!?

Hallo Zusammen,
ich hätte mal eine Frage bezüglich des immermehr allgegenwärtig werdenen Fingerprintings/Trackings im Internet.

Benutze Firefox seit jahren und bin (auch trotz der vielen "optischen" Änderungen in letzter Zeit, die sich glücklicherweise mit Addons einigermaßen revidieren lassen) sehr zufrieden damit.

Da ich sowohl beruflich als privat auf sehr viele installierte Addons und Schriftarten angewiesen bin -- was meinen Browser somit unweigerlich einzigartig im Netz macht, da installierte Schriftarten und Addons von besuchten Webseiten ausgelesen werden können -- , hätte ich die Frage, ob sich die Übermittlung dieser Daten irgendwie (im Idealfall mit Addons oder about:config tweaks) unterbinden oder filtern lässt?

Hättet ihr da evtl. gute Tipps für mich?

Grüße, Fawk

PS.: Benutze u.a. folgende Sicherheits-Addons, welche besagtes Problem aber leider nicht unterbinden können...:
- NoScript (Javascript-Blocker)
- Adblock (Werbeblocker)
- BetterPrivacy (Supercookie Cleaner)
- WOT (Sicherheits-Checker für anklickbare Links bzw. Webseiten)
- HTTPS-Everywhere (erzwingt auf Webseiten die ggf. vorhande Verschlüsselung)
- Zum aktuellen Thema Invisible-Canvas-Fingerprinting gibt es bereits ein funktionierendes Addon für Firefox, welches aber noch als Experimentel eingestuft ist... https://addons.mozilla.org/de/firefox/addon/canvasblocker

 

[hyperjack]

Ich glaube NoScrpt funktioniert schon ganz gut, wenn halt gar kein Script läuft. Es gibt iwo ne Testseite, die einem dann anzeigt wie "Einzigartig" der eigene Browser ist. Ansonsten kann man auch im FF Seiten verbieten eigene Schriftarten zu verwenden.

 

[meesurik]

Was die Schriftarten angeht, gibt es zwei Ansatzpunkte:
1. Deaktivieren von Javascript
Somit kann nicht mehr abgefragt werden, ob eine bestimmte Schriftart installiert ist. Da Du NoScript nutzt, hat sich dieses Problem bereits erledigt.
2. Deaktivieren des Java- und Flash-Plugins
Der entscheidende Faktor. Über beide Plugins lässt sich die Liste aller installierten Schriftarten abrufen - eines der wichtigsten Merkmale beim Fingerprinting.
Wenn Du auf ein (oder beide) Plugin(s) nicht verzichten kannst, bietet sich FluxFonts an. Die Software installiert einen Systemdienst, welcher in bestimmten Abständen zufällig neue Schriftarten generiert, sodass aktives Fingerprinting anhand der installierten Schriftarten praktisch unmöglich wird.

Die Plugins betreffend: seit Firefox 29 kann nicht mehr einfach eine Liste aller installierten Plugins abgerufen werden. Es kann jedoch weiterhin abgefragt werden, ob ein bestimmtes Plugin installiert ist. Deshalb empfiehlt es sich, alle Plugins zu deaktivieren.

Dies ist aber bei Weitem noch nicht alles. Damit wird lediglich verhindert, dass die entscheidendsten Merkmale des aktiven Fingerprinting nicht mehr abgerufen werden können. Passives Fingerprinting hingegen kann nicht verhindert werden. Deren Merkmale (z.B.: IP, User-Agent, Bildschirmauflösung, Systemfarben) müssen also verfälscht werden bzw. massenkompatibel sein. Darüber hinaus muss sichergestellt werden, dass einzelne Gegenmaßnahmen keine eindeutigen Merkmale darstellen, welche die Identifizierbarkeit wieder erhöhen.

Das Thema Fingerprinting ist derart komplex, dass man nicht einfach mit ein Paar Addons Abhilfe schaffen kann.
Wer nicht getracked werden will, muss sich in das Thema einlesen und darauf aufbauend Vorkehrungen treffen.
Oder man akzeptiert, dass Tracking der eigenen Person prinzipiell möglich ist. Einen Kompromiss gibt es nicht. Das ist wie mit der Schwangerschaft: entweder man ist es oder eben nicht.

Es gibt iwo ne Testseite, die einem dann anzeigt wie "Einzigartig" der eigene Browser ist.

Panopticlick

 

[Fawk]

Ach ja stimmt, mein Fehler ... hatte meinen Browser auch mit Panopticlick gecheckt und ganz vergessen, dass ich dort mittels NoScript die Skripte erlaubt hatte, da der Test sonst garnicht erst funktioniert hätte ...

Von der Sache mit Flash hatte ich auch schon gehört, auf der einen Seite auch verständlich, da Webseiten mit Flashinhalten (sofern es überhaupt noch welche gibt) ja im Idealfall keine Schriftarten nachladen müssen sollten, wenn diese auf dem Clientrechner schon verfügbar sind.
Von Flash werde ich mich dann entgültig verabschieden, wenn die MSE-Technik in Firefox endlich etwas ausgereifter ist und ich problemlos 1080p Videos per HTML5 ansehen kann.

Was die IP an geht, ist mir klar, dass man da ohne Proxy, VPN oder ähnliches nicht wirklich etwas machen kann, aber das ist mir genau wie das Auslesen der Auflösung, Farbtiefe und ähnlichem nicht sooo wichtig, da das normale Daten sind, die ich auch mehr oder weniger bewusst freigeben lassen würde ... mir geht es primär darum, dass mein Browser sicher und nicht so auffällig wie ein bunter Hund im Netz unterwegs ist ... mehr brauche ich garnicht.

Die Sache mit dem User-Agent ist dann natürlich noch eine so Sache für sich, damit müsste ich mich mal intensiver beschäftigen ... weiß nicht, was der i.d.R. alles so an besonderen Daten übermittelt.

 

[meesurik]

Panopticlick funktioniert auch ohne Javascript

 

[Fawk]

Also ich muss EFF.org ausdrücklich via NoScript erlauben, vorher tut sich bei Panopticlick absolut nichts außer der "bitte warten" Schriftzug. Möglich dass er da vorher alle arten von Scripten blockt, und die Seite deshalb auch nicht funktionstüchtig ist/war.

 

[Daaron]

(Fast) egal was du abschaltest, spätestens übers ETAG-Tracking erwischt man dich doch.

 

[meesurik]

​Das Zurückversetzen beim Beenden des Browsers (z.B. durch entsprechende Virtualisierungssoftware) sollte zum Zweck der Anonymisierung obligatorisch sein. Dann kann auch die entsprechend generierte Identifikationsnummer des ETag nicht mehr als If-None-Match-Wert vom Client übertragen werden und der Server muss eine neue senden.

 

[Daaron]

...womit du aber im Umkehrschluss jegliches Browser Caching in den Sack schießt und somit den Traffic & die Ladezeiten deutlich erhöhst. Damit tust du weder dir noch den Seitenbetreibern einen Gefallen. Bandbreite ist nicht kostenlos.

 

[meesurik]

... was in diesem Fall völlig irrelevant ist. Es geht um die Wahrung der Anonymität und nicht um Senkung des Trafficverbrauchs.
​
Entweder man tätigt die entsprechenden Vorkehrungen oder muss eben mit der Möglichkeit des Trackings leben. Kompromisslösungen sind hier IMHO unsinnig.
​