Идентификация в интернете

Коммуникации и общество

ГОЛОВИН Евгений Георгиевич —

д.э.н., профессор; заведующий кафедрой конституционного и муниципального права Нижегородского института управления — филиала Российской академии народного хозяйства и государственной службы при Президенте РФ

603000, Россия, г. Нижний Новгород, пр. Гагарина, 46

БОЛЬШАКОВА Валентина Михайловна —

к.ю.н., доцент Нижегородского института управления — филиала Российской академии народного

хозяйства и государственной службы при Президенте РФ

ЭЛЕКТРОННАЯ ИДЕНТИФИКАЦИЯ ЛИЧНОСТИ ГРАЖДАНИНА: ЗА И ПРОТИВ

ELECTRONIC IDENTIFICATION OF CITIZENS: PROS AND CONS

В статье анализируется реакция российского общества на введение в стране электронных идентификаторов личности: универсальных электронных карт и электронных паспортов. Показаны преимущества электронных документов и вместе с тем обобщаются аргументы религиозно ориентированной части общества, не желающей принимать эти документы. Предлагается компромиссное решение проблемы. Ключевые слова: универсальная электронная карта, электронный паспорт, государственные и муниципальные услуги, электронная идентификация личности

Keywords: universal electronic card, electronic passport, public and municipal services, electronic identification

Введение в оборот с 2013 г. во всех регионах страны универсальной электронной карты, предусмотренное федеральным законом «Об организации предоставления государственных и муниципальных услуг»1, вызвало в российском обществе неоднозначную реакцию.

С одной стороны, универсальная электронная карта, представляя собой материальный носитель, содержащий зафиксированную на нем в визуальной (графической) и электронной (машиносчитываемой) формах информацию о ее пользователе, удостоверяет личность гражданина и его право на получение государственных и муниципальных услуг и услуг иных

1 Федеральный закон от 27.06. 2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг».

организаций в электронном виде, даже если он находится за пределами Российской Федерации. Посредством электронной карты можно перечислять зарплату и пенсию, платить налоги и штрафы, совершать иные юридически значимые действия в электронной форме. Она объединяет в себе многие документы, в т.ч. полис обязательного медицинского страхования, страховое свидетельство обязательного пенсионного страхования, социальную карту, водительское удостоверение, студенческий и проездной билеты.

Важный нюанс состоит в том, что гражданин вправе отказаться от использования карты, написав соответствующее заявление в Центр информационных технологий. В этом случае карта подлежит аннули-

рованию в установленном порядке, а информация об «отказниках» будет бессрочно храниться в соответствующих реестрах. В 2015 г. планируется совместить универсальную электронную карту с документом нового поколения — электронным паспортом, который вправе получить все граждане России. До 2025 г. электронные паспорта будут действовать наравне с бумажными паспортами образца 1997 г.; вопрос о том, сохранятся ли бумажные паспорта и в дальнейшем, законодательством не урегулирован.

Электронный паспорт предназначен для выполнения двух социально значимых функций — служить электронным идентификатором личности гражданина и одновременно платежным документом. Согласно законопроекту «Об основном документе, удостоверяющем личность гражданина Российской Федерации», подготовленному Федеральной миграционной службой, для обеспечения электронной идентификации гражданина в электронный паспорт встраивается микрочип, содержащий визуальные и электронные носители информации с записанными на них персональными данными владельца, включая его биометрические данные; к ним действующее законодательство относит сведения, которые характеризуют физиологические и биологические особенности человека, позволяющие установить его личность, и персональные данные, которые используются оператором для установления личности субъекта: дактилоскопические данные, рисунок радужной оболочки глаз, анализ ДНК, рост, вес. Предполагается ввод и иной информации, недоступной его владельцу, но доступной дистанционному считыванию. Несомненно, более защищенная «начинка» электронного паспорта и его возможности облегчают процедуры паспортно-визового и пограничного контроля.

В качестве платежного документа электронный паспорт открывает доступ к конкретным счетам в различных банках через «личный кабинет», к получению публичных и коммерческих услуг. Более того, государство рассматривает интеграцию электрон-

ного паспорта в разрабатываемую национальную платежную систему как серьезный инновационный проект.

С другой стороны, возникает серьезная обеспокоенность широкой общественности, в т.ч. православной, да и вообще религиозно мотивированных граждан введением новых электронных технологий и, прежде всего, универсальной электронной карты и электронного паспорта1. Природа религиозного протеста, в частности, обусловлена тем, что электронная идентификация граждан, помимо политических, правовых, организационнотехнических аспектов, включает и религиозно-нравственную (богословскую) составляющую, не подлежащую правовому регулированию со стороны светского государства и поэтому не учитываемую им в должной мере. Протестные аргументы и серьезная обеспокоенность введением новых электронных технологий сводятся к следующему.

1. Опасность внедрения электронных технологий как механизма создания информационного общества состоит в том, что в последнем нет места свободе личности человека, уважения его религиозных и иных убеждений. Без согласия институтов гражданского общества и учета интересов его членов происходит массовое вторжение государства в личную жизнь граждан, когда в микрочип электронного устройства под личным идентификационным кодом человека записываются его биометрические данные, а также личная конфиденциальная информация обо всех сторонах

elektronnyj_pasport_putevka_v_rabstvo/; Позиция Церкви в связи с развитием технологий учета и обработки персональных данных. Документ принят Архиерейским собором Русской православной церкви 04.02.2013; Стратегия развития электронной промышленности России на период до 2025 года. Приказ Минпромэнерго РФ № 311 от 07.08.2007; Чапнин С. 2013. О подходах Церкви к вопросам электронной идентификации граждан государством. — Православие и мир. Доступ: http:// www.pravmir.ru/o-podxodax-cerkvi-k-voprosam-elektronnoj-identifikacii-grazhdan-gosudarstvom/

жизни: сведения о здоровье, доходах и уплате налогов, об имуществе и недвижимости, социальном обеспечении, отслеживаются его перемещения на общественном транспорте, покупки, финансовые операции, прохождение медицинских процедур, другие юридически и общественно значимые действия.

Объем накапливаемой информации и технологические возможности позволяют осуществлять тотальный контроль и управление человеком через данные о его экономической, социальной и личной жизни без его ведома и согласия. И в случае сопротивления подобному воздействию государства гражданин будет лишаться доступа к социальным благам, публичным услугам, а конституционные гарантии его прав и свобод неизбежно будут попираться. В условиях духовнонравственного порабощения человек теряет свободу, данную Богом.

2. Начинается глубокая трансформация места и роли человека в процессе создания информационного общества, в котором его благополучие напрямую будет зависеть от наличия электронного идентификатора личности, включающего личный код гражданина, пожизненно присваиваемый ему взамен имени и фамилии. Опасность состоит в том, что рассматриваемые электронные технологии могут в перспективе стать единственной возможностью гражданина для совершения юридически и общественно значимых действий, получения публичных и коммерческих услуг.

Уже сегодня происходит накопление и усложнение проблем, связанных с электронной идентификацией личности, учетом и автоматизированной обработкой персональных данных. Де-факто в правоприменительной практике предоставления государственных и муниципальных услуг, а также льгот происходит ограничение дееспособности граждан в случаях их отказа от использования электронных технологий, например при отказе расписаться на почтовом бланке либо социальной карте, если вместо собственного имени человека в них стоит цифровой код. Так, напри-

мер, если речь идет о государственных и муниципальных учреждениях здравоохранения, то отказ от предоставления соответствующих услуг посредством использования электронных технологий (в частности, универсальной электронной карты) вынуждает гражданина-налогоплательщика лечиться за свой счет, несмотря на то что ч. 1 ст. 41 Конституции РФ гарантирует ему бесплатную медицинскую помощь. Возникают проблемы и при записи ребенка в школу (в 1-й класс), если не пользоваться услугой электронной записи. В общеобразовательных учреждениях уже появилось типовое Согласие законного представителя на обработку персональных данных, в котором нарушается установленное законом соответствие объема, характера и способов обработки персональных данных детей целям их обработки. И так далее.

iНе можете найти то, что вам нужно? Попробуйте сервис подбора литературы.

3. Никакая компьютерная система не в состоянии гарантировать абсолютную защищенность персональных данных от разного рода технологических сбоев и вирусов, а также несанкционированного использования, особенно в условиях намечаемой государством передачи хранения личной информации и системы выдачи электронных паспортов коммерческим структурам. К примеру, британские и нидерландские хакеры неоднократно демонстрировали несовершенство существующей криптографической защиты персональных данных — им удавалось сканировать микрочипы даже на расстоянии. Относительно несложная техническая возможность снять информацию с чипа или даже отключить его представляют весьма серьезную угрозу не только для личной безопасности (со стороны криминалитета), но и для безопасности государственной (со стороны иностранных спецслужб).

Особую озабоченность общества вызывает появление имплантируемых электронных идентификационных устройств. Первопроходцами в этой сфере выступают США, в которых действующий закон о здравоохранении предусматривает, начиная с 2013 г., обязательную имплантацию каждому гражданину США микро-

чипа в руку. В России Стратегия развития электронной промышленности на период до 2025 года предусматривает необходимость еще большего проникновения наноэлектроники в повседневную жизнь населения: «Должна быть обеспечена постоянная связь каждого индивидуума с глобальными информационно- управляющими сетями типа Internet… наноэлектроника будет интегрироваться с биообъектами и обеспечивать непрерывный контроль за поддержанием их жизнедеятельности, улучшением качества жизни и таким образом сокращать социальные расходы государства. получат распространение средства прямого беспроводного контакта мозга человека с окружающими его предметами, транспортными средствами и другими людьми»1. Если сегодня несменяемый, пожизненный и посмертный цифровой идентификатор личности записывается на универсальную электронную карту, то в ближайшей перспективе он будет зафиксирован в электронном паспорте и на вживляемом под кожу человека чипе.

И, таким образом, гражданское общество становится электронным обществом, а его члены — электронным населением; органы государственной власти и органы местного самоуправления — электронным правительством и электронными муниципалитетами.

Несомненно, аргументы «против», содержащиеся в многочисленных публикациях, обсуждениях и дискуссиях на разного рода общественных форумах, а также форумах религиозной общественности, требуют всестороннего гражданского осмысления. Они свидетельствуют о том, что в случае принуждения граждан к использованию документов с электронными идентификаторами личности, участию в системе автоматизированного сбора и анализа информации об их личной жизни с использованием символов, имеющих для людей религиоз-

1 Стратегия развития электронной промышленности на период до 2025 года. Утв. приказом Минпромэнерго РФ № 311 от 07.08.2007.

ных мистический характер и оскорбляющих их чувства, нарушение прав и свобод человека и гражданина станет не только неизбежным, но и масштабным.

Пока что закон не принуждает граждан принимать электронные карты и электронные паспорта, и это отвечает духовно-нравственным запросам значительной части российского общества, позволяет, в частности, обеспечивать реализацию прав граждан на свободу совести и свободу вероисповедания.

Но вместе с тем нет и законодательных гарантий предоставления государственных, муниципальных услуг и льгот тем гражданам, которые не могут в силу возраста и физического состояния либо не желают по своим убеждениям использовать универсальные электронные карты. Указанные гарантии имели бы и перспективное значение, поскольку позволили бы исключить потенциально возможную «настойчивость» государства в области всеобщего и принудительного внедрения электронных паспортов, например под предлогом нецелесообразности их использования параллельно с бумажными паспортами.

Представляется, что при любых обстоятельствах, возникающих в процессе и в связи с формированием информационного общества, религиозные и вообще личные права и свободы человека и гражданина, провозглашенные Конституцией РФ, не могут быть ограничены, и граждане всегда должны иметь альтернативную законодательную возможность через соответствующие правовые механизмы получать удостоверяющие личность документы либо в виде пластиковых электронных карт, либо на бумажных носителях без использования электронных носителей информации. Иначе говоря, свободное принятие электронных документов не должно трансформироваться в обязательное условие реализации гражданином принадлежащих ему от рождения и гарантированных Конституцией РФ естественных прав и свобод.

Способы идентификации в интернете

Как идентифицировать посетителя?

Когда-то давно для этой задачи были придуманы Cookie.

Однако есть гораздо больше способов идентификации. Многие технологии так или иначе передают информацию о пользователе и компьютере.

Все это позволяет «узнавать» даже посетителя, который специально удалил куки, сменил браузер и перешел на другой IP.

Примеры

Некоторые примеры подобных сервисов есть в интернете.

Panopticlick

Сайт http://panopticlick.eff.org/ использует открыто предоставляемую браузером информацию для идентификации. Ему не нужны Cookie.

Просто зайдите на него и нажмите красную кнопку «Test Me». Мой браузер — уникален. А ваш?

Evercookie

Библиотека Evercookie на http://samy.pl/evercookie/ позволяет сохранять информацию, используя HTML5, Flash и другие средства. Удалить ее, просто почистив Cookie, невозможно.

И не только…

Ресурсы выше — так, детские игры.

Возможностей по идентификации гораздо больше. Многие из них вы найдете в этой статье. Во всяком случае, полнее обзора я не встречал. Даже просили не публиковать

Как можно использовать?

На ум приходит как минимум несколько применений.

Реклама.. «Петя, это ты! Ну и что, что куки отключены… Мы тебя узнали, купи слона!» Бан.. «Вася, тебе же сказали. За-ба-нен! И прекрати менять IP/браузеры.» Наблюдение и сбор информации.. Большой брат смотрит за тобой.

Подозреваю, что могут быть и другие примеры использования.

Компоненты цифровой подписи

Различные технологии позволяют серверу получать информацию о браузере и компьютере.

Фрагменты этой информации образуют подпись, которая, как вы наверно уже видели на http://panopticlick.eff.org/, позволяет успешно идентифицировать компьютер.

Работа с Cookie

Да, Cookie — это «old school». С точки зрения идентификации — работают, но не фонтан. Вася знает про куки. Злой тролль знает про куки и может их удалить или отключить..

Но интересно то, что иногда их и поставить — проблема. Даже если удалять никто не собирается.

3rd party cookie

Рассмотрим ситуацию… На странице установлен скрипт или даже iframe. Может ли он поставить свои cookie, и тем самым пометить посетителя?

А перед тем, как вы скажете «да, разумеется, любой HTTP-ответ может поставить cookie» — небольшой пример.

Пример

Вот iframe. Она загрузит iframe, который ставит cookie в заголовке и в javascript, а затем выведет текущие cookie на экран.

<?php setcookie(‘sid’, rand(),0,’/’); ?><!DOCTYPE HTML> <html> <head> <script> document.cookie = ‘sid=’ + Math.random() + ‘;path=/’ alert(document.cookie) </script> </head> <body></body> </html>

Вот страница для просмотра этого ифрейма. Запустите ее в IE или Safari:

<!DOCTYPE HTML> <html> <body> <iframe src=»http://ilyakantor.ru/js/3rd/frame.php» height=»100″></iframe> </body> </html>

При настройках браузера по умолчанию, вы должны увидеть пустой алерт. Это означает, что кука не поставилась.

Дело в том, что cookie с других доменов имеют особое название «3rd party cookie» и особое отношение со стороны браузера.

Браузеры можно настроить на запрет таких Cookies. Но пример выше не ставит куку даже при настройках по умолчанию. В чем дело?

P3P

IE не ставит 3rd party cookies без специальной политики P3P, которую можно передать в серверных заголовках. Эта политика показывает, в каких целях вы «метите» пользователя, что вы собираетесь делать с информацией о нем в дальнейшем.

Здесь все довольно просто — сервер с другого домена должен добавить заголовок, можно вот такой:

header(‘P3P: CP=»NOI ADM DEV PSAi COM NAV OUR OTRo STP IND DEM»‘);

После этого IE будет радостно ставить переданные куки.

Обход блокирования 3rd party cookies

… Но это не все. Настройки Safari по умолчанию запрещают прием 3rd party cookies. Аналогичную опцию можно включить и в ряде других браузеров.

Хорошо если такие куки вам не обязательны, а если они — важная часть системы, например, кросс-доменной авторизации?

Чтобы обойти засаду, нужно дать браузеру понять, что ваша кука — не какая-то там «левая», а что пользователь действительно осуществляет навигацию по ифрейму.

Для этого достаточно отправить в iframe POST-запрос, и в ответ на него сервер с другого домена уже может передать cookie, которые браузер примет как родные.

Код фрейма:

<?php setcookie(‘sid’, time(),0,’/’); header(‘P3P: CP=»NOI ADM DEV PSAi COM NAV OUR OTRo STP IND DEM»‘); ?><!DOCTYPE HTML> <html> <head> <script> alert(document.cookie) </script> </head> <body></body> </html>

Код страницы для просмотра в Safari или другом браузере с запретом 3rd party cookies:

<!DOCTYPE HTML> <body> <script> onload = function() { var div = document.createElement(‘div’) document.body.appendChild(div) div.innerHTML = ‘<iframe src=»» name=»iframe»></iframe> \ <form method=»POST» target=»iframe» action=»http://ilyakantor.ru/js/3rd/frame_hack.php»></form>’ div.getElementsByTagName(‘form’).submit() } </script> </body>

Попробовали? Должно быть все в порядке.

И еще пара заметок.

• Строго говоря, это не совсем хак, ведь такой iframe — не чужой внешнему окну. В него происходит POST.. А значит, скорее всего такой подход будет работать и далее.
• P3P-политика будет работать и для других объектов: подключаемых скриптов, картинок и так далее. Но… Только в IE. Другие браузеры ее не уважают, так что для Safari пока только iframe.

Javascript

С помощью javascript из браузера можно извлечь массу всего интересного. И не только извлечь, но и сохранить.

Browser Persistency

Этим ёмким словом называются различные варианты сохранения информации в браузере.

Если подробнее:

• userData (IE*)
• HTML5 localStorage (все современные браузеры)
• HTML5 database (Chrome, Safari, Opera)

Всё это позволяет сохранить информацию в браузере, которая, в отличие от cookie, не пересылается на сервер при HTTP-запросах.

Более подробно о технологии вы можете почитать в статье Хранение данных на клиенте. DOM Storage и его аналоги..

Пример — ниже. Там iframe с адреса http://javascript.ru/files/id/persistence.html, по нажатию на Save сохраняет данные из текстового поля во все доступные хранилища, по Load — восстанавливает.

Кнопка Refresh перегружает страницу. А впрочем, можно и браузер переоткрыть, разницы не будет.

navigator

С помощью Javascript доступен замечательный объект nagivator, содержащий полную информацию о браузере посетителя и название его OS.

<pre> <script> for(var prop in navigator) { if (navigator instanceof Object || navigator===») continue document.writeln(prop+»: «+navigator) } </script>

Многие из этих свойств не изменяются даже при обновлении мажорной версии браузера, не говоря уже минорной.

screen

Для полноты картины все об экране посетителя расскажет объект screen.

<pre> <script> for(var prop in screen) { if (navigator instanceof Object || screen===») continue document.writeln(prop+»: «+screen) } </script>

Плюс этой информации — в том, что этот компонент подписи очень стабилен и не меняется почти никогда.

navigator.plugins

Для всех браузеров, кроме IE, этот объект содержит информацию о плагинах и их версии. Посмотрите сами:

<pre> <script> var prev for(var i=0;i<navigator.plugins.length;i++) { var plugin = navigator.plugins var plugin = plugin.name+» «+(plugin.version || ») if (prev == plugin ) continue document.writeln(plugin ) prev = plugin } </script>

Вася обновил браузер? Ничего! Большинство плагинов по-прежнему такие же и тех же версий.

Плагины IE

В IE все сложнее. Плагины там являются компонентами ActiveX, поэтому получить их список нельзя. Однако, есть workaround — обернуть создание компонентов в try..catch:

try { new ActiveXObject(‘плагин’) // плагин есть } catch(e) { // плагина нет }

Все несколько сложнее, если нас интересует еще и версия, однако делается без особых проблем, и даже без VBScript.

Замечательная статья по этому поводу: Detecting plugins in Internet Explorer.

Обнаруживаемые плагины:

Весьма внушительный список, который можно даже немного порезать — и все равно будет неплохо.

Date

Объект Date содержит временную зону посетителя.

alert( -new Date().getTimezoneOffset()/60 )

Это еще один стабильный компонент для идентификации.

ActiveX (IE)

Потенциально ActiveX может очень многое. Но при обращении к большинству из них браузер запросит подтверждение у посетителя.

Для идентификации, особенно скрытой, такое явное раскрытие себя ни к чему.

Однако, получить список системных шрифтов при помощи ActiveX — проще пареной репы. И без всяких вопросов.

Следующий пример будет работать, только в IE.

<object id=»dialogHelper» classid=»clsid:3050F819-98B5-11CF-BB82-00AA00BDCE0B» width=»0px» height=»0px»></object> <script> onload = function() { var dlg = document.getElementById(‘dialogHelper’) var fonts = for (var i=0; i<dlg.fonts.count; i++) { fonts.push(‘<div style=»font-family:’ + dlg.fonts(i+1) + ‘»>’ + dlg.fonts(i+1)+ ‘</div>’) } document.write(fonts.join(«»)) } </script>

Flash

Local Storage

Как известно, у Flash есть свое локальное хранилище, в которое можно записывать данные и доставать их оттуда.

При этом Flash может замечательно взаимодействовать с Javascript, см. статью Javascript <-> Flash мост.

То есть, самый простой способ — это сохранить идентификатор посетителя и потом проверять его по необходимости.

Важно, что в отличие от методов хранения HTML 5, flash-хранилище привязано не к домену страницы, а к домену, с которого загружено flash-приложение.

Сведения о системе

Для получения сведений из Flash можно использовать объекты:

• system.Capabilities
• text.Font
• ..а также некоторые другие.

Таким образом можно получить:

• Сведения об экране.
• Сведения об операционной системе и ее возможностях.
• Список системных шрифтов.

Всю эту красоту можно передать либо в Javascript, либо напрямую на сервер.

Javascript отключен?

Flash работает даже с выключенным javascript.

Другие способы

CSS без JS

Есть ли хоть одна технология, которая «не стучит». Первая мысль была — CSS.

… Как я ошибался.

Современный CSS поддерживает media-query, то есть условия на:

• device-width
• device-height
• device-aspect-ratio
• color-index

Использовать это очень просто. Достаточно добавить несколько условий вида:

@media screen and (min-device-width: 0px) { #device-width { background: url(/forum/media.php?sid=…&device-width=0); } } } @media screen and (min-device-width: 800px) { #device-width { background: url(/forum/media.php?sid=…&device-width=800); } } @media screen and (min-device-width: 1024px) { #device-width { background: url(/forum/media.php?sid=…&device-width=1024); } } @media screen and (min-device-width: 1280px) { #device-width { background: url(/forum/media.php?sid=…&device-width=1280); } } @media screen and (min-device-width: 1440px) { #device-width { background: url(/forum/media.php?sid=…&device-width=480); } }

Как видно, условия перекрывают друг друга, и в каждом указана минимальная ширина экрана. Например, при экране 1280px будет использован фон media.php?key=…&device-width=1280.

Иначе говоря, на сервер отправится запрос, который скажет, что у посетителя экран — 1280 пикселей. При этом параметр sid может использоваться для сессии при отключенных cookies.

Да, это не внутренний IP, не МАС, но оно работает с отключенными JS и Cookies. А это уже чего-то стоит, информация стабильная и очень конкретная. Как компонент цифровой подписи — в самый раз.

CSS + History + JS

Можно ли использовать History для хранения идентификатора посетителя? Да, но не везде.

Для этого вспомним, что CSS-ссылка посещенная отличается от непосещенной по цвету.

Можно создать ссылку с нужным href и, используя getComputedStyle получить цвет, т.е. выяснить, посещал ли пользователь ссылку.

Любой идентификатор можно представить в двоичном виде, например 867865 = 11010011111000011001.

Для загрузки идентификатора достаточно создать такие ссылки и проверить, какие из них посещены и, таким образом, восстановить число. 32 ссылки — это 32-битный идентификатор, его хватит примерно на 4 миллиарда посетителей.

Надо сказать, что такой способ доступа к History через CSS известен уже много лет, и дыра постепенно закрывается браузерами, см. например https://bugzilla.mozilla.org/show_bug.cgi?id=147777.

IP

С IP все просто, но не совсем. Есть ведь динамические IP.

Что если Вася поменяет динамический адрес, как его отследить? А очень просто — записывать в подпись не только сам IP, а провайдера, который его выдал.

Так что переподключение Васю отчасти скроет (если ип другой), но провайдер в подписи останется тот же, это упростит идентификацию.

Также по базе GeoIP можно получить регион и страну.

Да, это не 100% надежно, но подпись — компонентная. Каждый компонент может быть неуникален, может меняться, но все вместе они однозначно идентифицируют посетителя.

HTTP-заголовки

Замечательный и очевидный источник информации:

• User-Agent
• Accept
• Keep-Alive
• Via (proxy)
• Редкие заголовки

Заголовок User-Agent может содержать не только информацию о браузере, но и OS, плагины, детали сборки.

Для более надежной обработки User-Agent можно распарсить на компоненты и использовать их как независимые части подписи, чтобы обновление одного из плагинов не сильно на ней отразилось.

Кэш браузера

Использовать кэш браузера можно различными способами. Самый простой — ETag.

При обращении к странице сервер выдает ETag, который браузер использует для кэширования содержимого. При последующих запросах он отправляет этот ETag на сервер, который, таким образом, узнает, кто к нему пришел.

В iframe ниже — ваш уникальный ETag.

Обратите внимание — даже при перезагрузке страницы по Ctrl-F5 кэш ифрейма не очищается! То есть, сервер вас по-прежнему будет узнавать, проверьте сами…

Браузерные фичи

Идентифицировать браузер можно и при заведомо кривом UserAgent’е. Достаточно посмотреть поддержку различных фич. Причем, для многих из них даже javascript включать не обязательно.

• Количество одновременных HTTP-соединений
• Поддержка link prefetching
• Поддержка conditional comments
• CSS Hacks and Features
• …

Скрыть свой браузер и его версию при грамотной проверке фич довольно сложно.

TCP

TCP-протокол с радостью предоставит информацию о вашей операционной системе.

Дело в том, что в различных OS по-разному настроен TCP-стек. А роутер, как правило, не меняет пакет, а просто передает его дальше.

Характеристики TCP-пакетов формируют свой фрагмент цифровой подписи.

Для его распознавания проще всего применить утилиту p0f.

Работает очень просто.

1. Вешается как фильтр пакетов и слушает сокет.
2. Сохраняет TCP-сигнатуры пакетов в кеш в памяти, держит их N секунд.
3. Веб-сервер отправляет на сокет сообщение «А кто это только что зашел под IP X.Y.Z ?»
4. p0f выдает OS, которую вычисляет по своей базе из сигнатуры (можно пропатчить, чтобы выдавал саму сигнатуру).

Общий алгоритм

Из всей этой красоты, описанной выше, строится компонентная цифровая подпись.

Алгоритм на сервере умеет сравнивать подписи. Пример такого алгоритма вы можете увидеть в статье на https://panopticlick.eff.org/ : How Unique is Your Browser?.

Но Pantoptclick — открытый проект. Он использует лишь небольшую часть приемов, описанных в статье, и при этом — весьма эффективен. Реальный алгоритм может быть сложнее и гораздо (в десятки и сотни раз) эффективнее.

Как скрыться?

Итак, мы поговорили о том, как идентифицировать посетителя. А теперь — поговорим, как скрыться.

Способов идентификации очень много. «Стучит» буквально все.

Одного простого средства типа «privacy mode» в браузере для скрытия недостаточно. Нужно одновременно использовать несколько защит:

Privacy/incognito mode Закроет возможность идентификации через кеш и различные виды browser storage. Желательна последняя версии Flash, т.к. хранилище ранних версий не интегрировано с браузером. NoScript Плагин для Firefox. Перекроет запуск скриптов, апплетов, flash, silverlight и другое активное содержимое. Таким образом будет закрыты механизмы идентификации через javascript, java, flash.

Жаль, для других браузеров такого нет.

Клиент к сети Tor, в частности расширение TorButton для Firefox Ваши запросы будут приходить с разных IP. Некоторые ресурсы, например Wikipedia, блокируют Tor. Локальный proxy, который правит заголовки. Заголовки типа User-Agent, Accept и т.п. ни в коем случае нельзя резать.

Если браузер — Firefox (это можно обнаружить по браузерным фичам), а User-Agent порезан или IE — это выделит из толпы самым ярчайшим образом.

Самое надежное — это поставить самые типичные заголовки для в вашей версии браузера. А любой нестандарт — убрать. Слиться с толпой.

При аккуратном применении этих мер — вас все равно можно будет как-то идентифицировать.

Например, отключенный javascript, отключенные cookies — это выделяет из толпы. Tor — тоже паттерн (запросы с разных IP в рамках одной сессии).

Но фингерпринтинг — вероятностный метод. Он часто позволяет идентифицировать посетителя с вероятностью, близкой к 100%, но eсли посетитель предпринимает серьезные усилия по анонимизации, а общее количество посетителей очень большое, то эта вероятность падает.

Реально достичь значения — 1 из 50.000. Для ресурсов с сотнями тысяч посетителей такое посещение достаточно анонимно.

P.S. После публикации статьи порекомендовали еще behavior clientCaps как источник информации, но вся информация оттуда доступна через navigator и screen, так что в статью этот источник не добавлен.

Чтобы купить билет на самолет, еще 10 лет назад приходилось ездить в другой конец города и искать офис авиакомпании. То же самое и с банками — чтобы оплатить квартплату, когда-то приходилось идти в ближайшее отделение и целый час стоять в очереди к кассе. Сегодня все иначе — это можно сделать онлайн всего за несколько минут.

Но иногда, чтобы получить какую-то услугу, нам все же приходится куда-то идти, стоять в очереди и тратить время. Учитывая, что мы привыкли многое делать онлайн, каждый такой поход доставляет массу неудобств.

Но есть решение — удаленная идентификация. О том, что это такое и как работает в Казахстане, рассказывают специалисты BTS Digital.

Что такое удаленная идентификация

Удаленная идентификация — это система, которая распознает личность человека на расстоянии. Благодаря ей можно получить многие услуги дистанционно — например, открыть в банке новый счет, получить кредит или купить смартфон в рассрочку. Для клиентов это удобно, потому что, чтобы получить услугу, никуда не нужно идти. А для компаний, которые внедряют такие системы, это экономит деньги, потому что растет скорость обслуживания клиентов, а расходы на персонал и аренду офисов снижаются.

Чтобы распознать личность человека дистанционно, нужны его биометрические данные. Например, фотография лица, запись голоса, отпечатки пальцев, рисунок сетчатки глаза и капилляров на пальцах. Все эти данные человек передает добровольно, после чего они хранятся на защищенных серверах какой-то организации или в единой государственной системе.

Первый вариант часто используют западные банки, которые хранят биометрические данные клиентов и никому их не передают. Например, Barclays, Bank of America, Royal Bank of Canada, Royal Bank of Scotland и HSBC. Второй используется, к примеру, в России, где в прошлом году запустили Единую систему удаленной биометрической идентификации. Все биометрические данные хранятся в Единой системе идентификации и аутентификации. Особенность этого способа в том, чтобы если человек уже зарегистрировал свои данные в системе, получать финансовые услуги он сможет удаленно в разных банках.

Как работает удаленная идентификация

Идентификация — это первичная регистрация в системе. Чтобы ее пройти, нужно зарегистрироваться, указать информацию о себе, а затем предоставить свои биометрические данные — например, фотографию лица или «видео-селфи». В некоторых сервисах для этого достаточно скачать мобильное приложение и выполнить несколько простых действий с включенной фронтальной камерой смартфона.

В этот момент система создает для каждого пользователя определенные идентификаторы (например, изображение лица), по которым будет сверяться в будущем. Эти идентификаторы уникальны для каждого пользователя, так как уникальны наши лица.

Если пользователю нужно получить услугу после идентификации, ему уже не нужно регистрироваться в системе. Достаточно ввести свой логин, которым обычно бывает номер телефона, после чего выполнить простое действие на фронтальную камеру смартфона. Система сверяет полученные биометрические данные с идентификаторами. Если все сходится, значит это действительно зарегистрированный пользователь. Этот этап называется удаленной аутентификацией.

Насколько это безопасно

Чтобы получить доступ к чужому банкингу, мошенникам достаточно получить доступ к смартфону или электронной почте. Это вполне реально и случается постоянно. А чтобы пройти удаленную идентификацию (или аутентификацию), мошенникам нужно «подделать» биометрические данные пользователя. Например, его внешность, голос, отпечатки пальцев и так далее. Учитывая, что биометрические данные каждого пользователя уникальны, сделать это очень сложно, поэтому риски есть, но они минимальны.

На случай если мошенники попытаются взломать хранилище, в котором хранятся биометрические данные, компаниям есть что ответить. Во-первых, они шифруют все персональные данные пользователей, так, чтобы недоброжелатели попросту не могли их использовать в своих интересах. Во-вторых, компании шифруют пользовательские пароли доступа к системе, чтобы посторонние не могли получить туда доступа. В-третьих, компании используют безопасное соединение между разными частями системы, чтобы вся внутренняя информация была защищена. И самое главное — как правило, у пользователей всегда есть полный контроль над собственными данными. Поэтому они могут выбирать, кому давать доступ к данным, а кому — нет. А также, в случае чего, пользователи могут попросту заблокировать или удалить свои данные.

Какие способы удаленной идентификации и аутентификации существуют

Идентификация по отпечатку пальцев. Это самый распространенный способ идентификации пользователя. Ведь на протяжении последних нескольких лет его используют практически все производители смартфонов. Метод использует уникальность рисунка папиллярных узоров на пальцах. Преимущества идентификации по отпечатку — легкость в использовании, удобство и надежность. А наличие сканеров отпечатков пальцев в современных смартфонах значительно облегчает процесс сбора биометрических данных.

Идентификация по лицу. Один из самых распространенных способов идентификации, который используется практически во всех смартфонах последних моделей. При регистрации пользователю нужно выполнить несколько простых действий на камеру. Например, улыбнуться или повертеть головой в разные стороны. В этом случае система делает цифровой «слепок» лица и в дальнейшем сравнивает с ним новые фото пользователя. А еще системы идентификации по лицу умеют сравнивать фото пользователя с его фотографией на официальном документе — например, на удостоверении личности. Таким образом, система определяет, действительно ли это один и тот же человек.

Идентификация по голосу. Когда пользователь регистрируется в системе, ему нужно произнести вслух текст, написанный на экране. Как правило, в тексте «спрятаны» некоторые хитрости, которые помогают системе проанализировать уникальные особенности голоса. При последующих входах система сравнивает голос пользователя с аудиозаписью и определяет, есть ли сходства. Этот способ один из самых распространенных в мире — им пользуются и службы безопасности, и финансовые организации, и военные. И все благодаря безопасности этого метода. Дело в том, что даже если мошенники смогут сымитировать голос пользователя, они точно не смогут подделать базовую канву и его особенности. Система заметит разницу. Но есть нюансы — идентификация может затрудняться, если человек простужен, голос записан на некачественный микрофон (в записи много постороннего шума) или меняется в зависимости от эмоционального состояния человека.

Идентификация по радужной оболочке глаза. Радужная оболочка — это тонкая подвижная диафрагма глаза. Она образовывается еще до рождения человека и не меняется на протяжении всей жизни. По своей структуре она похожа на сеть, которая создает сложный рисунок. Именно его и сканирует компьютер. Это более сложный, но и более эффективный способ идентификации. К примеру, для идентификации по отпечатку пальцев система анализирует до 70 точек на пальце, а при идентификации радужной оболочки — больше 200. Для анализа требуется специальный сканер, поэтому этот метод не применяется в многопользовательских системах.

Идентификация по сетчатке глаза. У каждого человека уникальный рисунок кровеносных сосудов глазного дна. Этот рисунок не совпадает даже у близнецов. Это и гарантирует точность и безопасность идентификации. Однако есть и свои нюансы — этот способ сложнее и требует специального оборудования, что усложняет процесс. К тому же некоторые заболевания (например, катаракта) могут препятствовать идентификации.

Зачем нужна удаленная идентификация

Для обычных пользователей:

— Экономия времени. Чтобы получить нужную услугу, никуда не нужно идти — все необходимое можно сделать онлайн. Например, сейчас если пользователь хочет купить смартфон в рассрочку, ему придется пойти в магазин техники, выбрать подходящий смартфон, оформить нужные документы и дождаться одобрения банка. Это не так быстро, как хотелось бы. С системой удаленной идентификации ему не придется никуда идти — все эти действия можно выполнить, не выходя из дома — зарегистрироваться в системе, сфотографировать удостоверение личности, пройти идентификацию, получить одобрение банка и дождаться курьера из магазина.

— Контроль над личными данными. Чтобы открыть депозит в банке, нужно прийти в отделение, заполнить личные данные и подписать несколько юридических документов. Чтобы открыть депозит в другом банке, все эти действия придется повторить. С удаленной идентификацией все гораздо проще: пользователю достаточно лишь раз зарегистрироваться в системе, а потом — когда нужно получить услугу — подтверждать свою личность. При этом если пользователь решит обратиться, к примеру, в другой банк, ему не нужно заново регистрироваться там, нужно только открыть доступ банку к своим личным данным.

Для банков, страховых компаний, торговых площадок, телекоммуникационных компаний, компаний в сфере e-commerce:

— Развитие бизнеса. Чтобы зарегистрировать нового клиента в офлайн, компании тратят много человеко-часов — на работу отделения, сбор данных клиента, обработку информации и хранение бумажных договоров. Система удаленной идентификации может оптимизировать этот бизнес-процесс и сократить его до минимума. Клиент регистрируется онлайн, там же подтверждает свои данные, получает услугу, а информация о нем напрямую поступает в клиентскую базу. Больше не нужны длинные очереди в отделениях, не требуется вручную вводить данные клиента в базу данных и где-то хранить бумажные договора.

— Экономия денег. Чем больше клиентов пользуются услугами компании онлайн, тем меньше ей нужны привычные офисы продаж и отделения. Если пользователи смогут взять кредит онлайн, при этом подтвердив свою личность, банк сможет сократить расходы на аренду, содержание офисов и большой штат. А «сэкономленные» деньги потратить на что-нибудь другое — например, на маркетинг или развитие ИТ-инфраструктуры.

— Защита от мошенничества. Вероятность подделать биометрические данные человека невысокая. Гораздо меньше, чем вероятность украсть его реквизиты доступа. Удаленная идентификация решает этот вопрос и сильно упрощает сбор информации о клиентах. Обмануть компанию становится значительно сложнее, а значит, сокращаются и случаи мошенничества.

— Улучшение качества обслуживания клиентов. Если клиент потратит меньше времени и усилий на то, чтобы получить услугу компании, он останется доволен. Ведь экономия времени и удобство — признак хорошего сервиса.

— Увеличение потока клиентов. Удаленная идентификация — это конкурентное преимущество. Если будет возможность, пользователи выберут ту компанию, в которой смогут сэкономить время и получить услугу онлайн. В свою очередь, компания, сократив время обслуживания до минимума, сможет обслуживать больше клиентов за рабочий день.

Как удаленная идентификация работает в Казахстане

В Казахстане пока работают только две системы удаленной идентификации: ЭЦП и динамическая идентификация по одноразовому коду. Эти системы сильно отличаются от зарубежных: в них нельзя зарегистрироваться дистанционно и идентифицироваться по биометрическим данным. Что очень неудобно. Несколько лет назад в Нацбанке начали разрабатывать свою систему, в которой можно было бы идентифицировать пользователей по видеосвязи. Это позволило бы казахстанцам получать любые банковские услуги онлайн. К сожалению, пока о запуске системы ничего не известно.

Чтобы внедрить на рынок удаленную идентификацию, отвечающую зарубежным требованиям, казахстанская компания BTS Digital разработала технологию по удаленной идентификации клиентов — Digital ID. С ее помощью можно распознавать лица и определять личность пользователей. Это позволит казахстанцам получать многие услуги, не выходя из дома, а компаниям — идентифицировать своих клиентов дистанционно.

Система представляет собой специальное мобильное приложение, которое сможет скачать любой казахстанец. При регистрации пользователь вводит номер телефона, после чего проходит проверку личности. Для этого на камеру смартфона нужно сделать сначала селфи, а затем выполнить несколько простых действий и пройти видео-проверку. Затем пользователю нужно сфотографировать удостоверение личности или паспорт. Пользовательские данные оцифровываются, а система сверяет фото и видео пользователя с фотографией на документе. Точность определения лица при сравнении селфи и другого фото пользователя, по заявлениям разработчиков, — 99,93%.

После того, как пользователь зарегистрируется в системе и пройдет идентификацию, он сможет открывать доступ к персональным данным для разных компаний. Например, банкам, страховым компаниям, операторам связи, торговым площадкам, компаниям из сферы e-commerce и многим другим, которые стали партнерами Digital ID. Это позволит ему регистрироваться в сервисах компаний и получать их услуги дистанционно, ведь теперь компании смогут идентифицировать этого пользователя и узнать, кто он такой. При этом пользовательские данные будут храниться в зашифрованном виде на защищенных серверах казахстанских разработчиков, а компаниям-партнерам передаваться с разрешения пользователей по защищенному API. Технология Digital ID гарантирует полную защиту личных данных клиентов и их конфиденциальность.

По своей сути Digital ID — это цифровое удостоверение личности, ведь система идентифицирует всех пользователей и позволяет им пользоваться услугами дистанционно. Таким образом, пользователи смогут, не выходя из дома, к примеру, оформить депозит, зарегистрироваться в системе каршеринга или купить смартфон в рассрочку.

Система Digital ID уже работает в в пилотном режиме на проекте финансового супермаркета, который презентовали на форуме Astana Finance Days. Проект, разработанный AIFC FinTech при партнерстве с BTS Digital, позволит казахстанцам выбирать наиболее выгодные предложения по вкладам, кредитам, страховым и другим финансовым услугами. При этом все услуги пользователи смогут получать, не выходя из дома.

Первыми компаниями, испытавшими финансовый супермаркет и удобство системы удаленной идентификации Digital ID, стали Альфа-Банк, Home Credit Bank, ForteBank и Chocotravel. Однако в ближайшее время список партнеров увеличится, ведь удаленная идентификация — это не просто тренд, а обязательное требование для современного бизнеса.