Rozšíření Privacy Badger pro Firefox a Chrome

Organizace Electronic Frontier Foundation (EFF) představila rozšíření pro webové prohlížeče Firefox a Chrome s názvem Privacy Badger. Rozšíření Privacy Badger chrání soukromí uživatelů při brouzdání po webu. Jedná se o odpověď EFF na ignorování nastavení Do Not Track (Nesledovat) reklamními sítěmi. Reklamní sítě a weby třetích stran jsou rozšířením monitorovány a v případě podezření na sledování uživatelů blokovány. Odblokovat se mohou prohlášením, že nastavení Do Not Track respektují. Přehled o možném sledování lze získat například pomocí rozšíření Lightbeam pro Firefox.

5.5.2014 13:10 | Ladislav Hagara | Zajímavý software

Komentáře

[Jendа]

Odblokovat se mohou prohlášením, že nastavení Do Not Track respektují.

OMFG

Takže zůstávám u DNTme. Nebo Ghostery?

[Bystroushaak]

Já bych radši něco, co ořeže otisk prohlížeče na nezbytné minimum.

[Mrkva]

Pak budeš charakteristický tím ořezaným otiskem. Viz Panopticlick :)

[j]

Na tom webu ovsem jsou poradny nesmysly ...

Jinak ad opatreni ... 1) noscript (zaroven razatni narust vykonu), pravda nektere hloupe weby pak nefunguji vubec - otazka zni, zda je o co stat ... 2) cookie bud default off nebo session only (vetsina lidi prohlizce pres noc vypne => trackovaci svinstvo je fuc) 3) samozrejme adblock, jako bonus opet narust vykonu, likvidace vsemoznyho svinstva ...

A ze se to vsechno da detekovat? Mno da ... a taky to pouziva cim dal vic lidi, adblock instaluju default uplne kazdymu ... jeste si nikdo nestezoval.

Vis co me trebas sere? Napisu google.com ... a posle me to na .cz/.de/.... a samo mi to predhodi cesky/nemecky/... vysledky vepredu. Tohle musela vymyslet hlava vymazana ... Ano, vim jak to obejit (/ncr), ale i tak me to sere.

[chrono]

Sledovať používateľa je možné napr. aj pomocou cache prehliadača (pri nejakom prvku sa použije napr etag, ktorý bude pre každého používateľa jedinečný), takže zakázanie cookies až tak nepomáha.

[tranzistor]

Uved jeden priklad webu ktory tak robi - I DARE YOU

[j]

Heh .. vzhledem k tomu ze 99% webu posila nocache uplne na vsechno (i na ty veci ktery by naopak bylo cachovat treba) ...

Hele (abicko):

Server: nginx/0.7.67

Date: Mon, 05 May 2014 13:22:53 GMT

Content-Type: text/html;charset=UTF-8

Connection: keep-alive

Last-Modified: Mon, 05 May 2014 13:22:53 GMT

Expires: Fri, 22 Dec 2000 05:00:00 GMT

Cache-Control: no-cache, must-revalidate

Pragma: no-cache

Content-Length: 20842

Content-Encoding: gzip

200 OK

Nekdo by zaslouzil nakopnout rit.

[xkucf03]

Ono u složitějších HTML stránek dynamicky skládaných z různých komponent je dost těžké zjistit, jestli je potřeba poslat aktuální, nebo zda klient může použít tu z mezipaměti. Resp. takové zjištění dá zhruba stejně práce[navíc se při tom dá snadno nasekat řada chyb, takže uživatelé pak vidí starou verzi stránky, přestože se už změnila, a diví se tomu], jako sestavení celé stránky, takže rozdíl je vlastně jen v odeslání těch pár kilobajtů po síti (vzhledem k objemu obrázků a dalšího obsahu je to zanedbatelné).

[j]

Chtel si rict par MB ... dneska nema zadna stranka pod mega, a nektery i nekolik desitek ...

A tech nekolik jednotek milisekund ... zjistovani, zda je na strance novejsi obsah ... hmm...

[trekker.dk]

A tech nekolik jednotek milisekund ... zjistovani, zda je na strance novejsi obsah ... hmm...

Odborník na všechno promluvil...

[j]

Zato blb kterej nerozumi nicemu prisel z uzasnym argumentem ... jak dlouho asi tak trva jeden select do databaze? No pokud je nekde debil tak klidne i desitky sekund, to je pravda ...

[xkucf03]

Běžné www stránky se ti načítají desítky sekund? Ale bez ohledu na to: pointa byla v tom, že vytáhnout z databáze data (např. text článku) netrvá o moc déle, než zjištění, zda se ten článek od minule změnil.

[trekker.dk]

Jeden select do databáze, aby se zjistilo, jestli se změnila stránka, která se skládá ze spousty částí. No jo, je vidět, že jste opravdu odborník.

Samozřejmě se ale rád poučím, mohl bych ten select vidět? Připomínám, že je potřeba reflektovat změnu v boxu "píšeme jinde", zprávičkách, článcích, diskuzích v poradně, nové blogy, změny ve skupinách, službách, desktopech a ten rozcestník, co je dole. To vše s ohledem na to, že si uživatel změnil nastavení. A samozřejmě je také potřeba brát do úvahu komentáře u toho všeho, aby se správně zobrazovala hvězdička v těch diskuzích, kde jsou nové příspěvky.

Určitě také můžete pojednat o tom, jak do Vašeho jednoho selectu zapadají přihlášení uživatelé za HTTP proxy. Připomínám, že přihlášení uživatelé mají v hlavičce stránky uživatelské jméno a mohou si vybírat, co chtějí vidět na hlavní stránce.

[Šangala]

Jen pro info:

jsi na stránce, která má ≈112KiB a vyvolá (při plném reload) asi 80 požadavků a celkem stáhne asi 1.1MiB (a je potenciálně kdykoliv změněná).

Při běžném obnovení (s využitím cache a dotazů na změnu) je vyvoláno asi 70 dotazů přičemž 3/4 jsou jen dotazy na změnu od 30-180ms vs. celý obsah html je stažen < 0.3sec a celý proces je skončen po 3.5sec s celkovým objemem stažení ≈500KiB, vyhodím-li reklamy a balast, tak je proces ukončen někdy po 2 sec, ale celý html obsah zabral jen 0.3sec.

[Bubak]

Coz znamena, ze je tady podstatne vic picovin, ktere nepotrebuju, nez jsem predpokladal... Jako fsude jinde. Budiz vydlazdena cesta do pekel.

P.S. A s displeji s (hodne) vysokym rozlisenim se samozrejme nepocita - proc taky, na tomto portalu...

[Šangala]

Nepřijde mi že by to tady bylo zrovna prošpikováno reklamou nebo nechtěným obsahem. To, že to nepotřebuješ ty, je jen jedna strana mince, něco potřebuje taky portál/server a přišel jsi ty za ním, ne on za tebou. Máš přece normální nástroje na vypnutí, ty věci stahuješ TY a TY jsi o ně říkáš, vypni si obrázky, vypni styly, vypni javascript, zakaž svému prohlížeči ptát se na dodatečné informace (ikonka a pod) - reklamu už asi blokuješ globálně, když ti to tak vadí - no a na konec se dostaneš jen na to html, ale nevím jestli bych to tak chtěl…

Reklama bych řekl, že je zde jen minimální nutné zlo, ke statistikám, tedy výhrady mám (a mám je vždy, pokud nejsou interní daného webu, když už se musí dělat nad rámec logů).

Ale hezky se to rozdělilo, jeden říká že je těch dotazů málo a mělo by se to ještě rozdělit a druhý, že je jich moc a mělo by se ubrat. Jsi v lepší pozici, než druhá skupina, ty můžeš řídit co stahuješ. Vypnutím javascriptu a obrázků jsi na 18 dotazech, z čehož je 17 stylů (které jsou v cache). Co máš s rozlišením nevím, stránka normálně plní plochu (simulace na 1920×1200 se zmenšením).

Řekl bych, že jen si vulgárně plačeš nad sebou samým .

[Bubak]

Neříkám, že to někdo nemůže potřebovat, jen mě vždycky překvapí, co za blbosti ve stránkách (různých, ne jen abclinuxu, to je celkem v pohodě) je. A úplně mě vytáčí linkování javascriptu přímo od googlu či odjinud. Na takových stránkách většinou dlouho nepobudu, protože tam stejně bez toho js nic nefunguje.

Reklamu blokuju globálně, to máš pravdu, protože na spoustě stránek jinak vpodstatě nenajdu to, co hledám. A abcl je jedna z mála výjimek, tady alespoň některé reklamy povolené mám. (Ačkoliv to možná teď právě není pravda, nedávno se přestaly zobrazovat, budu muset zkontrolovat pravidla.) Ale asi před týdnem jsem na jednu i kliknul

S rozlišením máš asi pravdu, ono to bude spíš věcí prohlížečů, které na to jsou, jako většina softu, nepříliš připravené. Ale na 3200x1800 na třinácti palcích si člověk opravdu užije. Ale je to asi nějaký obecný trend, všechno počítat na pixely, i když to u většiny takových věcí není naprosto potřeba.

Jedno "vulgární" slovo často nejlépe vystihne to, co by se spoustou "slušných" slov, aby se někdo náhodou neurazil, opisovalo zbytečně dlouho a nejasně...

[Šangala]

Ony ty ‚G‘ javascripty od google jsou důsledkem reklamy AdSense. Já zas jsem osobně rád, když už se používá „aktivní“ reklama, že je to tato, bo ta je aspoň dobře udělaná a když se správně použije, tak to sice generuje několik dotazů, ale v pozadí.

Dokonce mi ani trocha reklamy nevadí - spíše nevadila, jenže „její“ hloupost (,postavená na základě sledování, které více-méně neblokuji), už nezná mezí. Neustále mi nabízí to co nabízím já (pracovně), nebo si jednou koupím pneumatiky po velmi krátkém hledání a mám to na talíři celý další měsíc, vánoční dárek o který jsem se zjímal pro syna mi to nabízí stále tak 1/4 času (i když jsem se od Vánoc na to nepodíval).

Pro mě už trpaslící přepsali některé weby a zmenšili mi písmo, takže i na běžném 1920×1200 je moc malé, a zvětšení písem není dobrý nápad, bo pixel perfekt weby apod. to rozhodí, takže klasické zvětšení (Ctrl+ -/+/0) využívám často a abíčko s tím nemá problém, na rozdíl od GE bankovnictví, kde z nějakého důvodu nacpali soustu malých obrázků místo textů a při zvětšení se vyblijí a na tvém rozlišení by jsi je asi ani nepřečetl a opakem je děs zvaný http://www.tsbohemia.cz, kde je to první s miliardou menších informací a pak se objeví hroβe big rolovací chaos - ještě že funguje http://dealer.tsbohemia.cz/. Hold web-diversita je velká a asi to budeme muset zvládnou a komukolivdík i na pixel perfekt weby to zvětšování funguje ± OK

Taky používám, možná až příliš, sprostá slova se stejným argumentem, nicméně ruku na srdce, když se to vymění za „kravin(y)“ význam je naprosto stejný a neohrožuje to výřečnost papoušků…

[j]

Mno ... je videt ze vis o cem mluvis ... kdyz nastavim stylopisu (trebas) zivotnost mesic, tak se prohlizec na zmenu vubec ptat nebude. Dtto obrazky a 99% vseho. Zjistovat neco potrebuju tak u 1%.

500kB je kupodivu celkem podstatny % z FUP vetsiny mobilnich uzivatelu. Nemluve o tom, ze to neni zas tak dlouho, kdy se doporucovalo, aby kompletni stranka nemela vic nez 100kB ...

[Šangala]

Ta stránka má(měla) 112KiB ne 500kB a její velikost je odvinutá od toho jak moc diskutujeme a nastavit životnost jí nelze podobně jako na většině informačních webů - plně statická informace je velmi malé procento obsahu. Zbytek obrázků a reklam (reklamy dělají téměř celý zbytek) si můžeš típnout, cache obrázků apod. si v zásadě řídíš ty, ne web (spíš je problém aby web vůbec vynutil načtení nových).

Takový web (a spousta dalších) může existovat jen pokud jej někdo dotuje jak penězi tak prací, nebo má nějaké zisky, kterými se platí a ty jsou holt z reklam (nebo „napůl“).

Není tak dlouho co 512MiB RAM bylo dělo a připojení bylo max 56kbits, vlézt se dnes celkem do 100KiB s využitím stylů a pár obrázky je téměř nemožné, a pokud přidáš reklamu tak nemožné, nebo na té stránce nic není (pokud to není opravdu jen krátký text lehce formátovaný, jako třeba nějaký postup/manuál/zápisek bez ničeho, ale s „cizí“ reklamou to stejně nedáš).

A znovu k těm desítkám mega, která stránka to má nějaká fotogalerie obludná fotogalerie nebo video galerie možná, kdyby jsi napsal několik mega, tak se možná pár webů najde, ale většinou s kompletním načtením jsi tak max kousek za hranicí 1MiB ale spíše méně - kdo by na to čekal kdyby to mělo desítky…

[Jendа]

Na tom webu ovsem jsou poradny nesmysly ...

V čem?

1, 2, 3 jsem udělal, přesto jsem furt unikátní (český Iceweasel na Debianu Unstable). UA už jsem změnil, ale furt jsem jeden ze sto tisíc kvůli cs,en;q=0.5. Nápady? (cs tam musím posílat, protože dost webů podle toho vybere jazykovou verzi)

Asi vyscrapuju logy mých webserverů a nastavím to podle toho.

[Jendа]

Asi vyscrapuju logy mých webserverů a nastavím to podle toho.

Přesněji: Neudělal to už někdo? Ušetřil by mi trochu práce :).

[tany]

Hm a co takhle napsat rozšíření do prohlížeče, které při startu vybere náhodně UA z DB :) Konečně důvod se podívat na API Chrome ...

[M]

Já tam mám text/html, */* gzip, deflate en-US,en;q=0.5

a zatím jsem s žádným webem neměl problém s jazykem...

Unikátní je rozumně málo, 4.31 bitu informace

Mě víc štve user agent, to dá 11bitů informace, FF na linuxu... tipuju že to bude hlavně tím linuxem, ale na Windows se mi to měnit nechce.

[Jendа]

Ad. UA:

# tail -n 30000 access.log | cut -d \" -f 6 | sort | uniq -c | sort -n
    265 Mozilla/5.0 (Windows NT 6.2; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/34.0.1847.131 Safari/537.36
    312 Mozilla/5.0 (Windows NT 6.1; Trident/7.0; rv:11.0) like Gecko
    362 Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20100101 Firefox/29.0
    395 Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/34.0.1847.131 Safari/537.36
    454 Mozilla/5.0 (Windows NT 5.1; rv:29.0) Gecko/20100101 Firefox/29.0
    513 Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/34.0.1847.131 Safari/537.36
    569 Mozilla/5.0 (Windows NT 6.1; WOW64; Trident/7.0; rv:11.0) like Gecko
    579 Mozilla/5.0 (Windows NT 6.1; rv:28.0) Gecko/20100101 Firefox/28.0
    883 Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/34.0.1847.131 Safari/537.36
    968 Mozilla/5.0 (Windows NT 5.1; rv:28.0) Gecko/20100101 Firefox/28.0
   1173 Mozilla/5.0 (Windows NT 6.1; WOW64; rv:28.0) Gecko/20100101 Firefox/28.0
   1400 Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/34.0.1847.131 Safari/537.36

Vyber si. Navíc hloupější exploity vyberou payload podle OS, takže když si nastaviš Windows, nebudou ti fungovat :).

[j]

Ten web ti bude vracet ze mas unikatni prohlizec i v pripade, ze vemes zcela defaultni instalaci a pripojis se z poza NATu, za kterym jsou tisice lidi. A i kdyz to budes delat opakovane, porad ti bude hlasit ze mas unikatni pohlizec.

[Jendа]

Příloha:

• panopticlick.png (198368 bytů)

Ne.

[stativ]

To nemáš nainstalované žádné pluginy, nebo se ti podařilo firefox/iceweasel donutit, aby na sebe nepráskal, co je v systému všechno za pluginy, i když jsou zakázané?

[Jendа]

Detekce pluginů závisí na JavaScriptu. Já ho mám povolený jen pro několik webů.

[stativ]

Tak to pak jo. Ale nechápu, proč FF zpřístupňuje i informace o vypnutých modulech a proč to nejde snadno vypnout (přes veškerou svou snahu jsem možnost to vypnout prostě nikdy nikde nenašel).

[Jendа]

Tak si ještě najdi "Battery API". Už by to chtělo wiki, co všechno ve Firefoxu vypnout, aby se choval slušně. Například extensions.blocklist.interval (bonzuje na Mozillu cookies, architekturu, rozšíření). Já jsem navštívil about:config a všechny výskyty http:// a https:// jsem nahradil za svůj web a pak se dívám do access.log, co všechno to posílá.

[jadd]

A není jednodušší vypnout konrolu přímo v GUI aby k žádným dotazům vůbec nedocházelo, přes Google? Super (flash) Cookie je dobré promazávat po ukončení relace doplňkem Better Privacy. Doplněk NoScript zamezí dle filtrů přístupu dotazů jakýchkoliv skriptů nebo podpožadavků (xml). třeba

#--- Analytics
Site
http://www.google-analytics.com/ga.js 
http://spir.hit.genius.pl/xgenius.js 
Deny

NoScript by měl jakékoli dotazy "ga" ať jsou v jakémkoliv souboru sám nepropouštět dle jeho zprávy na hlavní stránce. Doplňěk Ghostery (podobně omezenější Disconnect) informuje i o už zablokovaných stranách, nedělá nic jiného, než že prozkoumá naučené prvky skript, ale už nedokáže prozkoumat skryté skripty ve skriptech. A absurdní na tom je, že to dělá aby zničilo konkurenci, protože jeho tvůrci se sami živý reklamními službami.

pak se dívám do access.log, co všechno to posílá

a co to posílá?

[Jendа]

A není jednodušší vypnout konrolu přímo v GUI aby k žádným dotazům vůbec nedocházelo, přes Google?

Kde to jde?

a co to posílá?

https://addons.mozilla.org/blocklist/3/{ec8030f7-c20a-464f-9b0e-13a3a9e97384}/
24.2.0/Iceweasel/20131215070311/Linux_x86_64-gcc3/en-US/default/Linux 3.11-1-amd64
 (GTK 2.24.22)/default/default/45/464/1/

[jadd]

karta Zabezpečení - blokovat stránky?

[jadd]

https://addons.mozilla.org/en-US/firefox/addon/guiconfig/ to taky není špatný

[Jendа]

Ne. Tohle není stahování seznamu nebezpečných stránek (to mám samozřejmě vypnuté), tohle je stahování seznamu nebezpečných rozšíření.

[stativ]

Jo, přes JS se dá zjistit kdeco. Bohužel. Jen mi u toho tvého screenu hned nedocvaklo, že jsi toho dosáhl díky vypnutému js (já vím, je to tam napsáno, ale asi to bylo až moc výrazně). Zrovna informace o baterii jsou celkem k ničemu (pořád se mění). Maximálně tak k určení, že zařízení nějakou baterii má. Horší je spíš kvůli extensions WebGL.

[stativ]

Třeba tady.

[PL]

3) samozrejme adblock, jako bonus opet narust vykonu, likvidace vsemoznyho svinstva ...

adblock edge pochopitelně, adblock plus a jejich "acceptable ads" je prasečina co nechává amazon, google a podobný humus povolený. Tj. to nejhorší nevytípe.

[chrono]

Nie je problém tú nevtieravú reklamu zakázať.

[xkucf03]

Liší se to jen jedním kliknutím v nastavení, ne? Kvůli tomu ještě nemusím instalovat nový doplněk.

[PL]

To je otázka, jestli je to jen o tom jednom kliknutí... http://techcrunch.com/2013/07/06/google-and-others-reportedly-pay-adblock-plus-to-show-you-ads-anyway/

[jas]

Vis co me trebas sere? Napisu google.com ... a posle me to na .cz/.de/.... a samo mi to predhodi cesky/nemecky/... vysledky vepredu. Tohle musela vymyslet hlava vymazana ... Ano, vim jak to obejit (/ncr), ale i tak me to sere.

Toto netreba nejak obchadzat, staci si len nastavit spravne preferenciu jazykov v prehliadaci (a mozno este v google ucte ak nejaky je). Sice bude aj tak posielat na domenu podla ip, ale vysledky bude uz zobrazovat podla preferovaneho jazyka. Spolu s mazanim cache pri vypnuti je to jedna z prvych veci, co v prehliadaci nastavujem. A respektuje to az prekvapivo vela stranok.

[xkucf03]

Toto netreba nejak obchadzat, staci si len nastavit spravne preferenciu jazykov v prehliadaci

Tohle němá s jazykem nic společného – jsem Čech, žiji v ČR, mluvím česky a někdy mne zajímá celosvětový Internet a někdy bych raději omezil vyhledávání jen na ten český¹ → tohle by měl být parametr vyhledávání a ne že vyhledávač bude hádat, kdo jsem a co chci – protože se nemůže trefit – ten samý člověk hledá v čase různé věci. Stejně tak by tam měla být volba, zda chci informační nebo prodejní weby – někdy chci nakupovat a jindy sháním informace – vyhledávač to nepozná a v obou případech se musím probírat spoustou nezajímavých výsledků.

_{[1] nejlépe podle jazyka/místa, ne jen podle .cz domény}

[jas]

Ja by som bol tiez radsej keby davali vyhladavanie napr. podla domeny a nemiesali do toho to ich automaticke rozpoznavanie. Takto pouzivam preferenciu pre us/gb a ked chcem lokalne hladanie, tak tam pridam site:.cz/site:.sk. Nie je to uplne idealne, ale aspon nejak to funguje.

[Jendа]

Já jsem začal posílat user-agent jako Firefox na Win7 (tím už mě Panopticlick nerozezná jako úplně unikátního). Ale nevím, jak na Linuxu natunit accept-headers, aby to vypadalo jako Firefox na českých W7.

[Petr Tomášek]

Čím víc lidí to bude mít, tím mín charakteristický to bude...

[little.owl]

Ja bych se radsi anonymne ztratil v davu ....

[Jendа]

Bohužel dav lidí s Iceweaselem z Debianu Unstable není moc velký :). Ještě když to v user-agentu bonzuje architekturu (proboha, proč?).

[little.owl]

Nejaka lokalni proxy, ktera by to vyfiltrovala/zamenila?

[xkucf03]

Privoxy

[little.owl]

Diky, privoxy vypada velmi schopne, otazka je zdali si najdu cas to nakonfigurovat.

[tranzistor]

mozno naivna otazka, ale debbuguje niekto tie addony na ochranu sukromia, ci data neposielaju CIA ci Europolu?

[koudy]

Samozrejme, NSA, FBI a KGB (dnes je to vlastne FSB).

Kdyz to pisou... ;)

[R]

Badger

[Fluttershy, yay!]

The Crazy Nastyass Honey Badger (original narration by Randall)