個人識別対策 - Proxomitron等に関するWiki

[ トップ ] [ 編集 | 凍結 | 差分 | バックアップ | 添付 ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

ブラウザーフィンガープリント対策

ブラウザーフィンガープリント対策 †

# Proxomitronが全く関係ない点も扱う

UserAgentを書き換える †

UAはユニークではない（同じ値の人が多い）方が安全

ブラウザのUA変更機能で書き換える

Proxomitronで書き換える

必要最低限の情報のみ吐き出すようにするフィルタ

[HTTP headers]
In = FALSE
Out = TRUE
Key = "User-Agent: Anti BrowserFingerPrint : Gecko (out)"
Match = "*\sGecko/"
Replace = "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:28.0) Gecko/20100101 Firefox/28.0"

In = FALSE
Out = TRUE
Key = "User-Agent: Anti BrowserFingerPrint : MSIE (out)"
Match = "*;\s(MSIE\s|Trident/)"
Replace = "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0)"

In = FALSE
Out = TRUE
Key = "User-Agent: Anti BrowserFingerPrint : Opera (out)"
Match = "Opera/|*\sPresto/"
Replace = "Opera/9.80 (Windows NT 5.1; U; ja) Presto/2.6.30 Version/10.60"

In = FALSE
Out = TRUE
Key = "User-Agent: Anti BrowserFingerPrint : Safari & Chrome (out)"
Match = "*\sAppleWebKit/"
Replace = "Mozilla/5.0 (Windows; U; Windows NT 5.1; ja-JP) AppleWebKit/533.4 (KHTML, like Gecko) Safari/533.4"

〃　ブラウザやOSのバージョンを実際の値から持ってくるフィルタ

[HTTP headers]
In = FALSE
Out = TRUE
Key = "User-Agent: Anti BrowserFingerPrint : Gecko (out)"
Match = "*\sGecko/ & Mozilla/([^( ]+)\# * $NEST(\(,(*; |)rv:([^;]+)\#*,\)) Gecko/([^ ]+)\#( Firefox/[^ ]+)\#"
Replace = "Mozilla/\# (Windows NT 6.1; WOW64; rv:\#) Gecko/\#\#"

In = FALSE
Out = TRUE
Key = "User-Agent: Anti BrowserFingerPrint : MSIE (out)"
Match = "(Mozilla/[0-9.]+ \(compatible; MSIE [^;)]+)\0 &(*(; (Windows|Mac)[^;)]+)\#|) &(*(; Trident/[^;)]+)\#|)"
Replace = "\0\@)"

注意点

本来含まれるはずの値を削除すると、逆にユニークになってしまう。
インターネット全体での多数派より、使用しているIPアドレスの範囲内の多数派に合わせた方が良いかも。（IE6が多数派の社内から接続する場合、IE6を名乗った方が良いかも）
別のブラウザのUAに偽装（IEなのにFirefoxなど）した場合、ブラウザのUAごとに HTML や CSS、JavaScript などを分けているサイトで誤動作する。
別のブラウザのUAに偽装しなくても、細かいバージョンを隠すと正常に動作しないページが出てくるかも知れない。
MathML の情報をUAから削除すると、MathML が表示されないサイトが出てくるかも知れない。（MathML を他のソフト名に変えても成り立つ）
JavaScript の navigator.userAgent で取得できる値と、User-Agent: で送信する値は別物。

↑

JavaScriptを無効にする †

JSが有効だと個人識別が非常にしやすくなる

ブラウザの設定をいじって無効にする
無効にするためのツールを使う
- Firefox用アドオン NoScript　他にもRequestPolicyなど色々ある
- Firefox用アドオン QuickJava　トグルでJS,JAVA,Flash,SilverLight,Cookie,Image,CCS,ProxyをON/OFF可能
- Chrome用アドオン Toggle JavaScript　トグルでJSをON/OFF可能
  - CSS無効化くん　CSSの無効化はこれで可能
Proxomitronで無効にする
- No object!!(似非NoScript)

↑

JavaScriptで得られる情報を書き換える †

潰さないといけない処理が多く、Proxomitronで完全に処理できるとは到底思えない

UserAgent の取得は、navigator.userAgent から行えるので、これが返す値を書き換える

navigator.userAgent は上書き・代入不能なので、この文字列を直接書き換える必要がある。
JavaScript の言語としての機能（シンタックスシュガーなど）により、navigator.userAgent を別の形式で表現することも可能なので、拘るならそれも考慮する必要がある。以下、例。
- (navigator).userAgent
- a=navigator; a.userAgent
- ( (navigator)/*comment)))))*/)./*comment*/userAgent …… コメントを間に挟む
- navigator ["userAgent"]
- window ["navigator"] ["user"+"Agent"]
eval() をつかうことで、暗号化された文字列を復号化し、navigator.userAgent を実行することも可能なので、これを考慮する必要がある。
- eval は上書き可能なので、「引数を確認し、.userAgent が含まれていた場合、別の物に書き換えて、バックアップしておいた本来の eval に渡す」という関数で上書きすれば何とかなる筈

↑

canvas fingerprinting対策 †

※JavaScriptを無効にしてれいればCanvasタグも機能しない

Privacy Badgerを使う（Chrome, Firefoxアドオン）

↑

Cookieを無効にする †

ブラウザの設定をいじって無効にする

Proxomitronで無効にする

デフォルトで入っているフィルタ　※このフィルタではJavaScriptを使用してCookieを書き換える方法に対処できない

[HTTP headers]
In = FALSE
Out = FALSE
Key = "Cookie: Kill a cookie (out)"
URL = "(^$LST(CookieList))"
Match = "*"

In = FALSE
Out = FALSE
Key = "Set-cookie: Never accept cookies (In)"
URL = "(^$LST(CookieList))"
Match = "*"

↑

Cookieを全部セッションCookieに変更 †

ブラウザのプライベートモードを使う
Proxomitronで無効にする
- デフォルトで入っているフィルタ　※このフィルタではJavaScriptを使用してCookieを書き換える方法に対処できない
```
[HTTP headers]
In = FALSE
Out = FALSE
Key = "Set-cookie: Make all cookies session only (in)"
URL = "(^$LST(CookieList))"
Match = "?&(\#; expires=[^;]+)+\#"
Replace = "\@"
```

↑

JavaAppletを無効にする †

ブラウザの設定をいじって無効にする

↑

Flashなどのプラグインを無効にする †

ブラウザの設定をいじって無効にする

↑

Proxy や VPN を使用する †

ホスト、IPアドレスの隠蔽用