In teoria sia Decentraleyes che LocalCDN sono in grado di evitare le connessioni con tutti i CDN (dato che entrambe hanno la funzione di bloccare le richieste alle risorse che mancano al loro archivio) ma, in pratica, questa è una strada poco percorribile in quanto inevitabilmente determinati siti non si caricheranno correttamente.
LocalCDN è una gran bella estensione che deriva da Decentraleyes e a cui sono state aggiunte un sacco di funzioni (oltre che di librerie!!) per renderla molto più aggressiva (come ad esempio, la funzione "filtraggio HTML", disattivata per impostazione predefinita, che rimuove un tag che indica di carirare una libreria da un esatto dominio)
Oltre a questo, va tenuto conto che LocalCDN richiede un minimo di messa a punto. Per esempio, per utilizzarla insieme a uBlock Origin, serve caricare su questo delle liste di esclusione da aggiornare ogni qual volta si aggiungono librerie (non molto spesso a dire il vero).
Quando l'ho provata, poi, anche con le impostazioni di default, ho trovato alcuni siti che non si caricavano correttamente ed era necessario disattivarla su quel sito (motivo per cui ho scritto su Decentraleyes che non mi ha mai dato problemi).
Inoltre, se si intende sfruttarla al massimo, dovremo attivare la già citata funzione di "filtraggio HTML" e invertirne la logica di funzionamento (da blacklist a whitelist); ma poiché rimuove un tag che dovrebbe servire come sicurezza (per caricare un contenuto solo da una fonte affidabile!!), a mio avviso, sarebbero da inserire in whitelist tutti quei siti, ad esempio, dove si effettuano acquisti online o comunque dove abbiamo registrato un account che per noi è importante.
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
CUB3 ha scritto: ↑gio ott 27, 2022 4:44 pm
In teoria sia Decentraleyes che LocalCDN sono in grado di evitare le connessioni con tutti i CDN (dato che entrambe hanno la funzione di bloccare le richieste alle risorse che mancano al loro archivio) ma, in pratica, questa è una strada poco percorribile in quanto inevitabilmente determinati siti non si caricheranno correttamente.
LocalCDN è una gran bella estensione che deriva da Decentraleyes e a cui sono state aggiunte un sacco di funzioni (oltre che di librerie!!) per renderla molto più aggressiva (come ad esempio, la funzione "filtraggio HTML", disattivata per impostazione predefinita, che rimuove un tag che indica di carirare una libreria da un esatto dominio)
Oltre a questo, va tenuto conto che LocalCDN richiede un minimo di messa a punto. Per esempio, per utilizzarla insieme a uBlock Origin, serve caricare su questo delle liste di esclusione da aggiornare ogni qual volta si aggiungono librerie (non molto spesso a dire il vero).
Quando l'ho provata, poi, anche con le impostazioni di default, ho trovato alcuni siti che non si caricavano correttamente ed era necessario disattivarla su quel sito (motivo per cui ho scritto su Decentraleyes che non mi ha mai dato problemi).
Inoltre, se si intende sfruttarla al massimo, dovremo attivare la già citata funzione di "filtraggio HTML" e invertirne la logica di funzionamento (da blacklist a whitelist); ma poiché rimuove un tag che dovrebbe servire come sicurezza (per caricare un contenuto solo da una fonte affidabile!!), a mio avviso, sarebbero da inserire in whitelist tutti quei siti, ad esempio, dove si effettuano acquisti online o comunque dove abbiamo registrato un account che per noi è importante.
Molto interessante. Sto provando LocalCDN su Firefox, e finora nessun problema. La funzione di filtraggio HTML l'ho attivata su alcuni siti, ma è possibile anche utilizzarla come dici tu, trasformando la blacklist (cioè i siti in cui la funzione è attiva) in whitelist (cioè i siti in cui non lo è) semplicemente con il comando da impostazioni "Inverti il filtro HTML".
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
Chiariamo che abilitando la funzione di filtraggio HTML non è detto che si riescano a sostituire più CDN. Questa funzione è stata implementata perché con LocalCDN attivo, alcuni siti non si caricano correttamente se hanno il tag crossorigin e/o integrity per il caricamento delle risorse esterne (di fatto, LocalCDN prova a sostituire queste risorse ma il browser si rifiuta di caricarle perché non provengono da dove indicato): in questo caso si risolve appunto attivando il filtro che rimuove questi tag. Un esempio di questo sito è https://syncthing.net/ ; puoi apprezzare la funzione del filtro ispezionando il sorgente della pagina prima e dopo l'attivazione.
Io preferisco attivare il filtro e invertire la logica di funzionamento per un semplice motivo: preferisco avere una corta lista di domini esclusi che visito spesso piuttosto che una lista di domini inclusi che magari mi è capitato di visitare una sola volta per caso.
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
Volevo ringraziare il nostro fiorenzino per aver portato alla luce questa scoperta, di una semplicità disarmante, tra l'altro e mi chiedevo se aveva trovato queste informazioni da qualche parte o è tutta farina del suo sacco a pelo.
leofelix ha scritto: ↑sab ott 29, 2022 8:49 pm
Volevo ringraziare il nostro fiorenzino per aver portato alla luce questa scoperta, di una semplicità disarmante, tra l'altro e mi chiedevo se aveva trovato queste informazioni da qualche parte o è tutta farina del suo sacco a pelo.
E di che?
Come ho detto, mi hanno incuriosito le impostazioni di default di uBO in Librefox e ho provato a replicare su Firefox.
Quel test lo devo fare appunto con Librefox lasciato così com'è, senza allargare la finestra di navigazione. Altro browser testabile sarebbe Brave, ma non ce l'ho installato né al momento intendo farlo.
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
Librefox riesce a nascondere la lingua, le dimensioni dello schermo e altre informazioni. Il sito lo legge come Firefox su W10 (sono su W11). Purtroppo non riesce a evitare l'identificazione del provider con cui si connette il dispositivo.
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
fiorenzino ha scritto: ↑sab ott 29, 2022 10:15 pm
Librefox riesce a nascondere la lingua, le dimensioni dello schermo e altre informazioni. Il sito lo legge come Firefox su W10 (sono su W11). Purtroppo non riesce a evitare l'identificazione del provider con cui si connette il dispositivo.
A me scopre quasi tutto, magari la scheda grafica non è il modello indicato ma ci va vicino.
Segnala pure a me che uso Windows 10 anche se uso Windows 11, ma alla fine i due OS cambiano di poco.
Invece non riesce a capire che estensioni uso su Chrome o Edge, sarà che lì uso Adguard con stealth mode attivo.
Non capisco alcune cose, ma il livello di trust equivale a 0, il che la dice lunga.
Il test l'ho trovato su wilderssecurity.
Proverò col Chamaleon proposto da CUB3, di cui ricordo l'articolo e che mi fa tornare in mente una canzone molto in voga negli anni 80 (Karma Chamaleon, mi pare si intitolasse).
Non è tanto quello che scopre, ma se ti riconosce ad una successiva visita!
Per verificarlo devi aggiungere una "firma" al fingerprint rilevato e provare a visitare il sito in seguito: se torna la tua firma, test non superato; se ti fa aggiungere una nuova firma, test superato!
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
CUB3 ha scritto: ↑dom ott 30, 2022 2:32 pm
Non è tanto quello che scopre, ma se ti riconosce ad una successiva visita!
Per verificarlo devi aggiungere una "firma" al fingerprint rilevato e provare a visitare il sito in seguito: se torna la tua firma, test non superato; se ti fa aggiungere una nuova firma, test superato!
Test fatto a distanza di pochi minuti con Firefox più Chameleon: mi fa aggiungere una nuova firma
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
CUB3 ha scritto: ↑dom ott 30, 2022 2:32 pm
Non è tanto quello che scopre, ma se ti riconosce ad una successiva visita!
Per verificarlo devi aggiungere una "firma" al fingerprint rilevato e provare a visitare il sito in seguito: se torna la tua firma, test non superato; se ti fa aggiungere una nuova firma, test superato!
Svelato il mistero. Obiettivo raggiunto senza la necessità di installare Chamaleon.
E' bastato pulire i cookie e la cache del browser
leofelix ha scritto: ↑dom ott 30, 2022 11:00 pmObiettivo raggiunto senza la necessità di installare Chamaleon.
E' bastato pulire i cookie e la cache del browser
Con quale browser e quali estensioni??
Perché questo test non fa tanto affidamento sui cookie e sulla cache, quanto sui dati raccolti al caricamento della pagina tramite javascript (non a caso si chiama creepjs… )
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
CUB3 ha scritto: ↑lun ott 31, 2022 11:07 am
Con quale browser e quali estensioni??
Perché questo test non fa tanto affidamento sui cookie e sulla cache, quanto sui dati raccolti al caricamento della pagina tramite javascript (non a caso si chiama creepjs… )
Ci sono riuscito anche con Chrome dal mio tablet con Android e con lo stesso metodo, nel tablet uso Adguard DNS e Blokada con un set limitato di filtri.
Mi ha fatto cambiare la firma dopo pochi secondi e senza problemi, tanto che mi sono detto "ma allora questo test è una cretinata".
Allora o ho capito male io o c'è qualcosa di altro
[Edit] ehm, temo di aver capito male io, non mi ha fatto aggiungere una firma mi ha solo lasciato metterne una nuova, come se non ne avessi mai messa una in precedenza.
Riproverò più tardi
Dopo aver inserito una qualunque stringa di testo nel campo contrassegnato da “add a signature”, hai premuto il tasto “Sign” e confermato l’operazione nella finestrella che appare?
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
Allora, aggiorno. Con Firefox più Chameleon test superato, il sito non riconosce la firma che avevo messo dopo pochi minuti con una nuova sessione e me ne fa aggiungere un'altra. Con Pale Moon versione portabile due buchi nell'acqua, il primo con Eclipsed Moon e il secondo con Secret Agent: in entrambi i casi il sito mi identifica univocamente con la firma che ho messo con quel navigatore. Con Vivaldi e Switch User Agent test fallito: anche cambiando useragent in due sessioni diverse il sito mi identifica con la firma da me apposta con questo browser. Con Librewolf "liscio" portabile (che qualche commento prima erroneamente avevo chiamato Librefox...) succede una cosa strana: il sito riconosce una firma che io non ho mai apposto con questo browser, "arkenfox"; immagino che la abbia messa qualcun altro con le stesse mie impostazioni (cioè quelle di default di Librewolf), e a questo punto penso che Librewolf si comporti un po' come Tor, cioè cerca di appiattire la propria "impronta" dandone una uguale a tutti i propri utenti.
P.S.: per chi non lo sapesse, arkenfox è una community che ha elaborato uno script per Firefox che va a cambiare alcuni parametri in about:config in modo tale da renderlo più privato e resistente al fingerprinting; Librewolf ha già attivati di default diversi cambiamenti inseriti nello script di arkenfox, ma non tutti - e comunque lascia i propri utenti liberi di installare anche altre estensioni di Firefox.
Ultima modifica di fiorenzino il lun ott 31, 2022 3:54 pm, modificato 4 volte in totale.
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
CUB3 ha scritto: ↑lun ott 31, 2022 3:28 pm
Scusa leofelix, ma mi sembra impossibile!
Dopo aver inserito una qualunque stringa di testo nel campo contrassegnato da “add a signature”, hai premuto il tasto “Sign” e confermato l’operazione nella finestrella che appare?
Avevo editato, in ogni caso, avevo solo aggiunto una firma, ma non avevo cliccato su sign e giocoforza confermato.
Ne deduco che la firma così facendo non è stata presa in considerazione.
Insomma avevo capito fischi per fiaschi
fiorenzino ha scritto: ↑lun ott 31, 2022 3:31 pm
P.S.: per chi non lo sapesse, Arkenfox è una community che ha elaborato uno script per Firefox che va a cambiare alcuni parametri in about:config in modo tale da renderlo più privato e resistente al fingerprinting; Librewolf ha già attivati di default diversi cambiamenti inseriti nello script di Arkenfox, ma non tutti - e comunque lascia i propri utenti liberi di installare anche altre estensioni di Firefox.
Arkenfox, suona molto interessante, quando vuoi e se vuoi offriresti qualche informazione in più?
Non dico un articolo, ma magari una dettagliata spiegazione in un topic a parte.
fiorenzino ha scritto: ↑lun ott 31, 2022 3:31 pm
penso che Librewolf si comporti un po' come Tor, cioè cerca di appiattire la propria "impronta" dandone una uguale a tutti i propri utenti.
In questo caso ha senso anche non voler bloccare i CDN!
Ma, c’è un ma: le tecniche di fingerprint più avanzato (adesso non trovo il link, mannaggia*), utilizzano anche la velocità e i movimenti ricorrenti del cursore e la velocità di digitazione dei vari tasti che sono caratteristici di ognuno di no e che i browser non possono nascondere (anche se ci sono dei componenti aggiuntivi ad hoc, come appunto Chameleon).
Un’altra cosa da tenere conto è, come ho scritto nel mio articolo a riguardo, che catturare l’impronta di un utente ha senso solo per i grandi distributori di pubblicità, che sono presenti sulla maggior parte dei siti sotto forma di terze parti. Un sito come Turbolab ha poco interesse a catturare l’impronta dei visitatori mentre per Google che fornisce la pubblicità ha assai più valore!
Per questo motivo il mio approccio alla privacy è diverso (non per forza migliore ne peggiore) a quello di Librewolf: non mi importa di far sapere ad un sito che visito che sono io, l’importante è che meno terze parti possibili vengano a saperlo!!
*[edit]
Non sono riuscito a ritrovare il test, ma ci sono un sacco di ricerche in merito al riconoscimento di un utente attraverso i movimenti del mouse e la digitazione, alcuni esempi:
leofelix ha scritto: ↑lun ott 31, 2022 3:47 pm
Avevo editato, in ogni caso, avevo solo aggiunto una firma, ma non avevo cliccato su sign e giocoforza confermato.
Ne deduco che la firma così facendo non è stata presa in considerazione.
Insomma avevo capito fischi per fiaschi
Mi sembrava strano!!!
"Let me tell you a secret: when you hear that the machine is “smart”, what it actually means is that it’s exploitable." Mikko Hypponen
leofelix ha scritto: ↑lun ott 31, 2022 3:51 pm
Arkenfox, suona molto interessante, quando vuoi e se vuoi offriresti qualche informazione in più?
Non dico un articolo, ma magari una dettagliata spiegazione in un topic a parte.
Non ne so molto più di quello che chiunque può trovare sul web: qui si può trovare la lista di tutti i parametri avanzati di Firefox che modifica user.js, il javascript modificato da arkenfox e da utilizzare in un profilo pulito di FF; qui invece c'è una guida che introduce all'uso dei javascript e dei parametri di about:config e spiega i criteri che hanno ispirato le modifiche ai parametri di default di Firefox effettuate da arkenfox, discute quali sono le estensioni di Firefox che la community di arkenfox raccomanda (uBlock Origin e Skip Redirect), quali consiglia, a patto di riportare alcuni parametri modificati a quelli di default, e quali invece considera ininfluenti, perché o ridondanti con il loro javascript oppure a loro parere inutili. Vanno a finire in quest'ultimo calderone moltissime estensioni consigliate invece da Firefox.
Il javascript della community di arkenfox contiene oltre 120 modifiche ai parametri avanzati di Firefox, e non è affatto consigliabile applicarle tutte, pena la rottura di molti siti e un'usabilità molto ridotta del browser: loro stessi raccomandano l'uso di Tor, evidentemente il browser alla cui filosofia si ispirano, ma che non è certo un programma con cui si possano fare le operazioni quotidiane di un utente comune quando naviga (loggarsi su siti o forum, controllare la posta, leggere notizie online su testate su cui si è abbonati, ascoltare usica dalle piattaforme di streaming, guardare dei film, scaricare delle immagini o dei video eccetera); inoltre user.js non è assolutamente alla portata di tutti, perché, come scrive la stessa community, se si vede che i parametri modificati non sono compatibili con le proprie esigenze o il proprio stile di navigazione, bisogna modificare manualmente quelli che causano quelle incompatibilità orientandosi nella selva di about:config.
Librewolf è il progetto finora più vicino a user.js, ma NON implementa tutte le modifiche del javascript di arkenfox, sicuramente per rendere l'esperienza dell'utente medio o anche avanzato meno frustrante; inoltre non impone il proprio punto di vista e lascia democraticamente all'utente la scelta su quali estensioni di Firefox installare, e ci mancherebbe altro.
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
fiorenzino ha scritto: ↑lun ott 31, 2022 6:58 pm
Non ne so molto più di quello che chiunque può trovare sul web: qui si può trovare la lista di tutti i parametri avanzati di Firefox che modifica user.js, il javascript modificato da arkenfox e da utilizzare in un profilo pulito di FF; qui invece c'è una guida
Librewolf è il progetto finora più vicino a user.js, ma NON implementa tutte le modifiche del javascript di arkenfox, sicuramente per rendere l'esperienza dell'utente medio o anche avanzato meno frustrante; inoltre non impone il proprio punto di vista e lascia democraticamente all'utente la scelta su quali estensioni di Firefox installare, e ci mancherebbe altro.
Grazie per il dettagliato rapporto, sapevo di poter contare su di te.
Vedrò di approfondire
fiorenzino ha scritto: ↑lun ott 31, 2022 3:31 pm
penso che Librewolf si comporti un po' come Tor, cioè cerca di appiattire la propria "impronta" dandone una uguale a tutti i propri utenti.
In questo caso ha senso anche non voler bloccare i CDN!
Per questo motivo il mio approccio alla privacy è diverso (non per forza migliore ne peggiore) a quello di Librewolf: non mi importa di far sapere ad un sito che visito che sono io, l’importante è che meno terze parti possibili vengano a saperlo!!
Penso che questi siano i due approcci al problema della privacy prevalenti: sono alternativi ma entrambi validi perché sono fondati su solidi argomenti.
Ti ringrazio per la dritta su Chameleon, l'unico addon per Firefox davvero efficace sul sito di fingerprinting avanzato segnalato da leofelix: il sito in questione riusciva a individuare che avevo installato Chameleon (l'unica estensione che riusciva a rintracciare), ma non riusciva ad assegnarmi una firma univoca. Non credo che la userò perché le mie abitudini di navigazione sono altre, ma è comunque una bella estensione che fa quello che promette.
"I più bravi vibrano i loro fendenti col vento a favore. Ma occorre esperienza nei campi di battaglia per sapere che una lama può spezzare un'altra lama."
Inserendo un messaggio, dichiari di aver letto e accettato il regolamento di partecipazione.
Nello specifico, sei consapevole che ti stai assumendo personalmente la totale responsabilità delle tue affermazioni, anche in sede civile e/o penale,
manlevando i gestori di questo sito da ogni coinvolgimento e/o pretesa di rivalsa.
Dichiari inoltre di essere consapevole che il messaggio sarà visibile pubblicamente, accetti di diffonderlo con licenza
CC BY-NC-SA 3.0 (con attribuzione a "TurboLab.it") e rinunci ad ogni forma di compensazione (economica o altro).
Rinunci inoltre esplicitamente a qualsiasi pretesa di cancellazione del messaggio.
Re: Re: Mi segnalate siti che richiedono la disattivazione dell'adblock?
