На самом сайте Киберполиции работал скрипт для деанонимизации пользователей, имеющий российские корни

by

Как мы сообщали вчера, некоторые онлайн-СМИ начали получать письма от Киберполиции с предложением разместить на страницах скрипт для деанонимизации посетителей. И сегодня эта история получила достаточно неожиданное, хотя и вполне логичное, продолжение.

Во-первых, Киберполиция опубликовала на своей странице в соцсети Facebook заявление, в котором говорится, что всё чаще преступники используют различные средства анонимизации для сокрытия своей противоправной деятельности в сети. Но для остановки преступных деяний киберпреступников необходима их идентификация и привлечения к ответственности. Потому Киберполиция сотрудничает со всеми заинтересованными сторонами, которые стремятся не допустить у себя инцидентов.

«При этом Киберполиция не устанавливает и не настаивает на установке каких-либо программ, которые собирали бы персональную информацию пользователей или вмешивались в работу различных ресурсов», — говорится в заявлении ведомства.

Что касается сообщений о том, что региональные подразделения Киберполиции отправляли официальные письма с предложениями установить скрипт, то по этому факту проводится служебная проверка, а по ее результатам будет принято соответствующее решение.

Таким образом, появление опубликованного письма можно было бы списать на чрезмерное рвение сотрудников региональных подразделений. Но здесь внезапно всплыло «во-вторых».

А, во-вторых, выяснилось, что на самом сайте Киберполиции был установлен скрипт для отслеживания и деанонимизации посетителей сайта. После того, как пользователи обратили на него внимание, его удалили из кода сайта. Описание и возможности этого инструмента сходятся с теми, что описывается в письме Киберполиции.

Анализ сохранённых копий исходного кода сайта Киберполиции показал, что до 30 января на нём было установлено 15 активных скриптов. К концу дня 30 января — когда история с письмами в СМИ набрала резонанса — один из скриптов исчез из кода сайта. Это была бесплатная версия Javascript-библиотеки Fingerprint. Ее исходный код опубликован на GitHub.

Библиотека предназначена для обнаружения пользователей. По ряду косвенных признаков скрипт присваивает браузеру уникальный идентификатор. Это не просто обнаружение по файлам cookie, которые можно легко очистить в настройках. Создание «цифрового отпечатка» позволяет обойти режим приватности, VPN и другие средства анонимизации. Fingerprint собирает все уникальные настройки и данные о браузере, системе, компьютере, группирует их в единую строку, делает из них идентификатор и хеширует его. В качестве основной сферы использования данной технологии называют настройку персонализированной рекламы, аналитику, защиту от мошенничества.

Что не менее интересно, так это авторство библиотеки Fingerprint. Её создал российский программист Валентин Васильев, разработку он начал ещё в 2012 году во время работы в компании «КупиКупон», а в 2015 году – представил публично. С 2015 года Васильев живет и работает в США, там же зарегистрировал компанию FingerprintJS. Она по подписке продает Pro-версию одноименной библиотеки, которая собирает больше данных, делает это быстрее и использует единые сервера в США и ЕС для идентификации. Цены начинаются от $100/месяц.