Anmelden
Benutzerkonto erstellen
Aus aktuellem Anlass möchte ich dieses Thema nochmals aufrollen. Die Sicherheit und Anonymität des Browsers sollte in der Szene an erster Stelle stehen und besonders Neueinsteiger sollten sich zuerst mit diesem Thema auseinandersetzen.
Welchen Browser sollte man verwenden?
Definitiv abzuraten ist von Chrome und Opera. In beiden Browsern lässt sich (auch durch Plugins) WebRTC nicht deaktivieren, wodurch trotz der Verwendung von VPN, Socks, Proxy etc. die echte IP des Benutzers durch eine Website herausgefunden werden kann (zum testen auf
gehen).
Der einzige mir bekannte Browser, bei dem sich WebRTC abschalten lässt ist Mozilla Firefox.
Überflüssige Plugins in Firefox abschalten
Geolocation API abschalten
Mit Hilfe der
kann die geografische Position des Surfer relativ genau bestimmt werden. Zur Ortsbestimmung können je nach vorhandener Hardware im Rechner die WLANs in der Umgebung genutzt werden oder GPS-Hardware... Im ungünstigsten Fall kann der Standort nur anhand der IP-Adresse bestimmt werden. Die Nutzung der API erfolgt mit Javascript.
Aktuelle Firefox Versionen fragen nach, bevor der Zugriff auf die Geolocation API erlaubt wird. Trotzdem habe ich ein besseres Gefühl, wenn man es komplett deaktiviert. Dafür muss man unter "about:config" die folgende Variable setzen:
geo.enabled = false
Diese Einstellung ist wichtig, wenn man die eigene IP-Adresse mit Anonymisierungsdiensten oder VPNs versteckt.
WebGL deaktivieren
WebGL stellt eine Javascript-API für das Rendering von 3D-Objekten bereit. Es kann für das Fingerprinting der Performance der Grafikhardware und OpenGL Implementierung genutzt werden, wie die Studie
zeigt.Außerdem können mit WebGL Schriftarten aus dem Web nachgeladen werden. Das ist ein Sicherheitsrisiko, weil damit Angriffe auf das Betriebssystem möglich werden. Bugs in den Font Rendering Bibliotheken, die Remote Code Execution durch Laden von bösartigen Schriften erlaubten, gab es für Windows ( ), Linux ( ) oder OpenBSD ( ).
Bei Firefox kann man WebGL unter "about:config" deaktivieren:
webgl.disabled = true
webgl.disable-extensions= true
WebRTC deaktivieren
WebRTC ist eine Technologie, die direkte Telefonie ud Videochats zwischen Surfern im Browser ermöglichen soll. Derzeit gibt es wenig sinnvolle Anwendungen für diese Technologie und ich würde ein spezialisiertes Programm wie Jitsi bevorzugen. Wer es einmal ausprobieren möchte, kann sich
oder anschauen.Mit WebRTC kann die lokale IP Adresse des Rechners im LAN und die öffentliche IP Adresse ermittelt werden, wie eine zeigt. Auch VPN-Verbindungen können damit ausgetrickst werden. Außerdem kann das Vorhandensein von Kamera und Mikrofon als Feature im Browser Fingerprint genutzt werden.
Bei Firefox kann man WebRTC unter "about:config" deaktivieren:
media.peerconnection.enabled = false
Ab Firefox 34.0 muss man außerdem "loop" unter "about:config" deaktivieren:
loop.enabled = false
Zugriff auf den Akku-Status deaktivieren
Aus mir unbekannten Gründen ist im HTML5-Standard eine API für den Zugriff auf den Status des Laptop Akku vorgesehen. Damit ist es möglich, den Ladezustand des Akku sowie den Status des Stromanschluss abzufragen. Aktuelle Browser haben diese API implementiert.
Um zu verhindern, dass der Ladezustand der Batterie als Tracking Feature genutzt wird oder dass das Vorhandensein eines Akku im Browser Fingerprint genutzt wird, sollte man diese API deaktivieren. Im Firefox kann man die API unter "about:config" deaktivieren:
dom.battery.enabled = false
Gamepad deaktivieren
Seit Firefox 28 wird die Gamepad API standardmäßig aktiviert, ein weiteres, überwiegend sinnloses Feature, dass für das Fingerprinting des Browsers genutzt werden kann. Die API kann ebenfalls unter "about:config" deaktiviert werden:
dom.gamepad.enabled = false
Fingerprinting der Grafikhardware verhindern
Hardwarebeschleuningung des Rendering kann man deaktivieren, um ein Fingerprinting der Grafikhardware zu verhindern. Einbußen sind für mich kaum erkennbar.
gfx.direct2d.disabled = true
layers.acceleration.disabled = true
Statistiken für Videos deaktivieren
Die Statistiken beim Abspielen von Videos (Framerate usw.) können für das Fingerprinting des Browsers verwendet werden. Unter "about:config" kann man dieses Feature abschalten:
media.video_stats.enabled = false
Kill Switch für Add-ons abschalten
Die
kann Mozilla nutzen, um einzelne Add-ons im Browser zu deaktivieren. Es ist praktisch ein kill switch für Firefox Add-ons und Plug-ins. Beim Aktualisieren der Blockliste werden detaillierte Informationen zum realen Browser und Betriebssystem an Mozilla übertragen.-464f-9b0e-13a3a9e97384%7D/10.0.5/Firefox/20120608001639
/Linux_x86-gcc3/en-US/default/Linux%202.6.37.6-smp%20
(GTK%202.24.4)/default/default/20/20/3/ Ich mag es nicht, wenn jemand remote irgendetwas auf meinem Rechner deaktiviert oder deaktivieren könnte. Unter "about:config" kann man dieses Feature abschalten:
extensions.blocklist.enabled = false
Update der Metadaten für Add-ons deaktivieren
Seit Firefox 4.0
und sendet eine genaue Liste der installierten Add-ons und die Zeit, die Firefox zum Start braucht. Als Antwort sendet der Server Statusupdates für die installierten Add-ons. Diese Funktion ist unabhägig vom Update Check für Add-ons, es ist nur eine zusätzliche Datensammlung von Mozilla. Unter "about:config" kann man diese Funktion abschalten:
extensions.getAddons.cache.enabled = false
HTML5 Beacons deaktivieren
Mit Beacons kann ein Browser beim Verlassen/Schließen einer Webseite Daten zur Analyse an den Webserver senden, die via Javascript gesammelte wurden. Eine sinnvolle Anwendung außerhalb von "Analyse des Surfverhaltens" (aka Tracking) fällt mir dafür nicht ein. Unter "about:config" kann man dieses Feature abschalten:
beacon.enabled = false
Download der Safebrowsing Datenbank deaktivieren
Ab Firefox 34 reicht es nicht mehr, die Nutzung von Googles Safebrowsing Datenbank im Einstellungsdialog zu deaktivieren. Zusätzlich muss man den Download der Datenbank unter "about:config" abschalten, wenn man keine Verbindungen zu Google herstellen will.
browser.safebrowsing.downloads.enabled = false
Heartbeat User Rating deaktivieren
Mit Firefox 37.0 hat Mozilla das
eingeführt. Der User soll Firefox bewerten und wird gelegentlich zur Teilnahme an der Community eingeladen. Mozilla hat selbst erkannt, dass dieses Feature nerven könnte:Unter "about:config" kann man das Feature deaktivieren, indem man die folgende URL auf einen leeren String setzt:
We understand that any interruption of your time on the internet can be annoying.
browser.selfsupport.url = ""
Quelle:
Wichtige und sinnvolle Firefox Addons:
- NoScript - Javascript standardmäßig deaktivieren.
- Default User Agent - User Agent der vom Browser an Websites gesendet wird "manipulieren".
- Refcontrol - Die zuvor aufgerufene Adresse einer Website wird nicht mehr an Websites übermittelt.
- AdBlock Plus - Nervige Werbeanzeigen filtern.
- Canvas Blocker - Trackingmethode blockieren.
Nach oben
Melden
Tutorials
Vorstellungen / Bewerbungen
Suchanfragen
Hacking & Security
