Sicherheitsforscher weist auf Tracking via Akkukapazität hin

Im Auftrag des W3C nahm Lukasz Olejnik die Battery Status API unter die Lupe. Sein Befund: Ladestand und Restlaufzeit lassen sich zur Ermittlung der Kapazität kombinieren. Die API trägt somit zu Identifikation von vermeintlich anonymen Anwendern durch Fingerprinting bei.

In der Diskussion um die standardisierte Battery Status API insbesondere für Smartphone-Browser hat Spezialist Lukasz Olejnik auf Risiken für die Privatsphäre hingewiesen. Eine Identifikation sei über einen längeren Zeitraum möglich, als man vielleicht denke. Kürzlich hatten Forscher der Universität Princeton schon auf Nutzertracking über den Ladestand hingewiesen (PDF).

Akku (Bild: Shutterstock)Olejniks Analyse erfolgte im Auftrag des W3C, das die Battery Status API standardisiert hat. Er berichtet, über diese Programmierschnittstelle könnten Websites den Ladestand in Prozent, die verbleibende Laufzeit und die für eine Komplettaufladung benötigte Zeit auslesen. Daraus lasse sich aber oft die Kapazität des Akkus berechnen und als ergänzender Identifikationsfaktor nutzen.

Beispielsweise können Websites und Werbenetze so Nutzer auseinanderhalten, die hinter einer Firewall mit Network Address Translation (NAT) sitzen und daher die gleiche IP-Adresse verwenden. Auch helfe es dem Anwender dadurch kaum noch, seine Cookies zu löschen, um seine Anonymität wiederherzustellen: Der Ladestand sei zumindest ein Indiz, dass es sich auch ohne Cookie um denselben Nutzer wie zuvor handle.

HIGHLIGHT

Mehr Sicherheit im smarten Zuhause

Wie Sie Ihr persönliches Internet der Dinge vor versteckten Gefahren schützen

Olejnik zufolge hatte seine Analyse bereits Erfolg. Das W3C arbeitet an einer Modifikation der API, um weniger über den Nutzer zu verraten. Und der Mozilla-Browser Firefox wurde modifiziert. Außerdem habe es eine Reihe Diskussionsbeiträge in der Community gegeben. Der Fall zeige auch, wie wichtig eine Analyse neuer Funktionen unter dem Gesichtspunkt der Privatsphäre sei, auch wenn es sich um scheinbar harmlose Optionen handle.

Sicherheitsforscher Graham Cluley weist darauf hin, dass solche Informationen nicht nur zur Überwachung dienen könnten. So sei es dem Vermittler Uber bekannt, dass er deutlich höhere Preise für Fahrten fordern könne, wenn der Akku eines Anwenders nahezu leer sei.

Mitte Juli hatten Steven Englehardt und Arvind Narayanan zwei Tracking-Skripte identifiziert, die die Battery Status API als Faktor nutzen, um einen digitalen Fingerabdruck eines Anwenders zu erstellen. Und an der Universität Stanford wiesen Forscher schon im Februar 2015 darauf hin, dass der Akkuverbrauch ein Hinweis auf die Nutzeridentität ist.

Ein ebenfalls noch recht neuer Tracking-Faktor sind so genannte Audio-Fingerabdrücke. Dazu wird nicht etwa das Mikrofon herangezogen, es handelt sich vielmehr um eine Eigenschaft des Audio-Stacks eines Systems. Zunehmend wird via WebRTC die lokale IP-Adresse des Anwenders ermittelt. Auch installierte Schriftarten können herangezogen werden.

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.

Themenseiten: Browser, Mobile, Privacy, W3C

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

Artikel empfehlen:

Neueste Kommentare 

1 Kommentar zu Sicherheitsforscher weist auf Tracking via Akkukapazität hin

Kommentar hinzufügen
  • Am 3. August 2016 um 2:58 von Kamikater

    Also kurz: die Werbeindustrie nutzt ALLES, um User zu verfolgen und zu überwachen, um mit diesen Profilen dann Handel zu treiben.
    Letztendlich ist es doch egal, ob wieder ein neuer Weg gefunden wurde – der Inhalt der Meldungen ist immer derselbe: die Industrie schei..t auf Datenschutz und Privatsphäre und sucht immer neue Wege, die Menschen auszunutzen.

    Und immer mehr zucken die Scbultern und lassen das auch mit sich machen …

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *