Viele Firefox-Anwender warten bereits gespannt auf Firefox 57, der am 14. November einen technisch runderneuerten Browser bringt. doch hier und heute geht es bereits um Firefox 58, der am 16. Januar 2018 erwartet wird. Mit dieser Ausgabe will Mozilla den Anwender besser vor Tracking durch Canvas Fingerprinting schützen. Dabei geht es darum, Besucher von Webseiten ohne den Einsatz von Cookies eindeutig identifizieren zu können. Diese Art des Tracking ist wesentlich schwieriger zu blockieren als das Tracking mit Cookies.

Wie funktioniert Canvas Fingerprinting?

Canvas Fingerprinting, auch Supercookie genannt, macht sich den Umstand zunutze, dass das Rendern von Canvas-Elementen je nach Betriebssystem, verwendeter Grafikkarte und weiteren Merkmalen in jedem Browser kleine Unterschiede in der Darstellung erzeugt. Unternehmen wie AddThis, die Canvas Fingerprinting für Online-Werbe-Agenturen betreiben, lassen den Browser beim Besuch von Webseiten für den Anwender unmerklich auf einem unsichtbaren Canvas-Element  ein kleines Bild oder eine Wortkombination rendern. Das Aussehen dieses Bildes sagt viel über den Anwender vor dem Bildschirm aus.

So können  Betriebssystem, Bildschirmauflösung, eingestellte Sprache, installierte Schriftarten und Erweiterungen sowie der Browser selbst in der genauen Version identifiziert werden. Aus dem Ergebnis dieses Prozesses wird ein Hashwert berechnet, der in eine ID einfliesst. Auf der nächsten Seite, die  Canvas Fingerprinting einsetzt, wird der Surfer somit wiedererkannt. So ergibt sich ein Profil des Surfverhaltens, dass es Unternehmen ermöglicht, gezielte Werbung zu verteilen.

Schwer zu stoppen

Canvas Fingerprinting ist schwer zu stoppen. Je individueller der Browser eingerichtet ist, umso eindeutiger ist er auch zu identifizieren. Die Electronic Frontier Foundation (EFF) hat das Canvas-Fingerprinting-Schutzprogramm Privacy Badger entwickelt, das auch in Firefox als Erweiterung zur Verfügung steht. Auch Adblock Plus hat sich auf die Fahnen geschrieben, diese Art des Tracking zu stoppen. Für Firefox und Chrome ist die Erweiterung Disconnect verfügbar, die ebenfalls diese Art des Trackings verhindern soll. Auf deren Listen basiert die jetzt in Firefox integrierte Schutzfunktion. Bisher ist außer dem Tor-Browser und Brave, dem Browser-Projekt des ehemaligen Mozilla-CEO Brendan Eich, allerdings kein Browser in der Lage, einen Schutz vor Canvas Fingerprinting ohne den Einsatz von Erweiterungen zu gewährleisten.

Blockieren ohne Addons

Das will Mozilla mit Firefox 58 ändern, wie die Sicherheitsforscher von Sophos jetzt berichten. Da der Torbrowser auf Firefox-ESR basiert, ist es sinnvoll, diese Funktion allen Firefox-Anwendern zur Verfügung zu stellen. Bereits vor rund einem Jahr wurde mit Firefox 52 die wenig von Entwicklern, dafür um so mehr von der Tracking-Mafia verwendete Battery API entfernt. Jetzt wird die Nutzung der Canvas-Funktion durch Webseiten an ein Opt-in gekoppelt, indem der Browser Fingerprinting-Versuche erkennt und dem Anwender die Wahl lässt, diese zu blockieren oder zuzulassen. Da die Erkennung nicht zu 100 Prozent korrekt ist, gibt es auch keine generelle Option zum Abschalten von Canvas-Funktionen.