跟踪预防旅行在自己的鞋带上
安全研究人员发现了一种颠覆的方法苹果浏览器在对其他浏览器制造商有影响的发现中的跟踪保护。
在苹果拥有的浏览器的智能跟踪预防（ITP）中发现的缺陷，该功能旨在增强隐私，可能会带来潜在的后果，从而导致披露用户的在线浏览习惯。
根据Google领导的安全研究人员团队的说法，这也将打开持续的跨站点跟踪和跨站点信息泄漏的门，包括跨站点搜索。
块和铲球
问题在于ITP如何决定应阻止哪些站点向用户的浏览器发送请求。
大多数浏览器制造商仍然依靠关于域的黑名单或白名单，而不是野生动物园的方法，这涉及应用算法的结果来创建被用户浏览器中的个性化反向跟踪模型。
“ Safari以其反向跟踪方法为基础，而不是基于内置的静态域名，而是在对您的浏览器承认是第三方资源提供者的本地决定时，”安全研究员Artur Janc，一名经理，Google的信息安全工程团队解释在Twitter上。
他说：“这需要建立一个定制模型，以在第三方环境中加载哪些站点，这取决于您的个人流量并隐式编码有关您的浏览历史记录的信息。”
压裂跟踪
标记的域被放入Safari所谓的智能跟踪预防（ITP）列表中，该列表是每个用户所独有的。
但是，这种直观的设计意味着“当浏览器使用此模型更改其行为时（例如，从某些请求中删除cookie或``推荐人''标题时，其基本数据就会暴露于任何网站，” Janc说。beplay体育能用吗
他补充说：“该模型不仅是一个唯一的标识符，而且还揭示了自上次清除浏览状态以来您访问过的网站的信息。”
beplay体育能用吗因此，网站能够检测到ITP列表的更改，从而为Safari的反向跟踪功能提供了攻击表面计数器。
“通过检查给定跨站点HTTP请求的ITP触发的副作用，网站可以确定其域是否存在于用户的ITP列表中；beplay体育能用吗它可以重复此过程并揭示任何领域的ITP状态。”研究人员在扩大该问题的论文中解释说。
第二次攻击允许识别用户访问的每个网站。beplay体育能用吗攻击者可以检测到用户以前访问了任何向仅由该站点使用的自定义域提出跨站点请求的站点。
第三个利用路线涉及通过ITP固定创建持久的指纹。攻击的其他途径涉及将域迫使域列表或运行跨站点搜索攻击。
浏览器信息泄漏
研究人员在常规的安全审查中将其发现传递给了苹果公司，并在2019年12月发布的Safari 13.0.4和iOS 13.3中解决了许多问题。
研究人员称，野生动物园已经进行了一些缓解，以防止使用其抗追踪技术引起的潜在敏感信息的泄漏，但这些保障措施并不完整。
基本问题超出了Apple Safari对反向跟踪技术的实施，但也影响了其他浏览器技术，例如Google Chrome的隐私预算，这些技术采用了类似的方法。
Janc总结说：“如果您根据本地收集的数据改变浏览器行为，那么如果您的更改具有可观察的后果，您将度过糟糕的时光。”beplay体育能用吗
Janc和他的研究人员 - Google和Krzysztof Kotowicz的Lukas Weichselbaum和Roberto Clapis -纸（PDF）在他们的研究中，名为“通过Safari的智能跟踪预防泄漏信息”。
自2017年10月以来，智能跟踪预防已成为苹果野生动物园浏览器中的隐私保护机制。
