Onderzoek: Webtrackers kunnen bitcoin-gebruiker ontmaskeren
Webtrackers van derde partijen waar webwinkels gebruik van maken kunnen genoeg informatie verzamelen om gebruikers van bitcoin en andere cryptocurrencies te ontmaskeren, zo stellen onderzoekers van Princeton University (pdf). Webwinkels hebben vaak tientallen webtrackers draaien.
Ze worden gebruikt voor analytics of het weergeven van advertenties. Webwinkels kunnen al dan niet bewust informatie aan deze trackers lekken. Zo kunnen webtrackers, ongeacht de gekozen betaalmethode, gevoelige details van de bestelling opvangen, zoals de goederen die iemand in het winkelmandje plaatst en hun prijs. De onderzoekers ontdekten dat veel webwinkels voldoende informatie over de aankoop aan webtrackers lekken dat die het kunnen koppelen aan de betalingstransactie op de blockchain.
Daarvandaan zijn er bekende manieren om die transactie aan de rest van het bitcoinwallet-adres van de gebruiker te koppelen, aldus de onderzoekers. Gebruikers kunnen zich door browserextensies zoals Adblock Plus en uBlock Origin wel tot enige hoogte beschermen, en door bitcoin-anonimiseringstechnieken zoals CoinJoin te gebruiken, maar nog steeds is het mogelijk om de transactie te koppelen.
Onderzoek
Voor het onderzoek onderzochten de onderzoekers 130 webwinkels die bitcoin accepteren en ontdekten dat 53 van deze webwinkels transactiedetails aan trackers lekken. De meeste van deze 'lekkages' zijn opzettelijk zo ontworpen om advertenties en analytics mogelijk te maken. 49 websites blijken echter persoonlijke identifiers aan trackers te lekken, zoals namen, e-mailadressen, gebruikersnamen en dergelijke. Op deze manier is het mogelijk voor trackers om zogeheten 'real-world identifiers' aan bitcoin-adressen te koppelen.
Nu is er een anonimiseringsmethode voor bitcointransacties genaamd CoinJoin. In dit geval wisselen gebruikers bitcoins met elkaar uit op een manier die de link tussen de oude en nieuwe bitcoins verbergt. De onderzoekers wilden weten of deze techniek gebruikers echt kan beschermen en besloten bij verschillende webwinkels iets te kopen, waarbij CoinJoin werd gebruikt. Als een tracker in dit geval twee aankopen van de gebruiker weet te monitoren, iets dat veel voorkomt, kan die in 80 procent van de gevallen de bitcoinwallet identificeren.
Er zijn echter verschillende maatregelen die genomen kunnen worden om gebruikers te beschermen. Webwinkels kunnen ervoor kiezen om qr-codes met bitcoin-adressen zelf te genereren en eventuele lekken op de betaalpagina tegengaan. Gebruikers kunnen ervoor kiezen om extensies zoals Adblock Plus, Ghostery of uBlock Origin te installeren, maar de onderzoekers merken op dat deze tools maar gedeeltelijk effectief zijn. Aan de kant van de gebruikte cryptocurrency kunnen zogeheten mixingtechnieken worden toegepast. Dit kan een effectieve methode zijn, maar is niet perfect, aldus de conclusie van de onderzoekers. Verder adviseren ze het gebruik van alternatieve cryptocurrencies en betaalmechanismen.
"We show how third-party web trackers can deanonymize users of cryptocurrencies."
Waarom denken de onderzoekers van dit paper dat gebruikers van cryptocurrencies anoniem zijn? Volgens mij is dit een aanname, en eentje die in heel veel situaties helemaal niet opgaat. Bijvoorbeeld wanneer je besluit met Bitcoin te betalen bij een webwinkel. Dan ben je per definitie niet meer anoniem. En ja, dat een tracking cookie weet heeft van deze gesloten transactie, en op die manier wellicht kan komen aan de gegevens die je nota bene zelf achterlaat bij deze transactie, is niet zo heel gek. Zeker niet in een land waar zaken als bescherming van privacy niet zo'n hele grote prioriteit heeft in de wetgeving.
"We present two distinct but complementary attacks. On most shopping websites, third party trackers receive information about user purchases for purposes of advertising and analytics. We show that, if the user pays using a cryptocurrency, trackers typically possess enough information about the purchase to uniquely identify the transaction on the blockchain, link it to the user’s cookie, and further to the user’s real identity."
In feite niets nieuws onder de zon dus. Normaliter kan dit dus evengoed, ook als je betaald met wire, cc, paypal, of wat dan ook. Echter het grote verschil is dat, vanwege de openheid van de blockchain, in feite jouw de inhoud en transacties van je wallet (lees: betaalrekening) gewoon openbaar is. Dat is een bekende zwakheid in bitcoin, dus dat is verder ook niet nieuw. Ze hebben nu 1 plus 1 opgeteld, en niet geheel verrassend is de uitkomst 2.
"Our second attack shows that if the tracker is able to link two purchases of the same user to the blockchain in this manner, it can identify the user’s entire cluster of addresses and transactions on the blockchain, even if the user employs blockchain anonymity techniques such as CoinJoin. The attacks are passive and hence can be retroactively applied to past purchases."
Tsja, dit is toch ook oude koeien uit de sloot trekken? Zodra je een naam aan een bitcoin wallet kan knopen, dan kun je in die blockchain verder zoeken naar alle transacties van en naar die wallet. Zo werkt het systeem gewoon, en dat is wederom niks nieuws. Zeker als de verkopende en betalende partij altijd dezelfde wallets aanhouden is zoiets erg eenvoudig, en dus ook als je CoinJoin achtige systemen gebruikt. Het grootste probleem blijft de blockchain waarin alles transparant en publiek toegankelijk voor iedereen ligt opgeslagen.
Maar ik snap sowieso de huidige inflatie van BTC niet. Mixers stoppen ermee, DNM's worden uit de lucht gehaald, er is veel rumoer gaan in de tor/btc onderwereld, en de acceptatie in de bovenwereld is nog altijd erg laag. Dit soort papers die nog eens onderstrepen dat je geen anonieme BTC transacties kan doen... en zo nog tien redenen... al met al genoeg om er juist weg te blijven, maar blijkbaar denkt de slimme 'investeerder' daar op het ogenblik anders over.
Heeft iemand nog tips? Heb umatrix geprobeerd maar vond het te veel gedoe.
Heeft iemand nog tips? Heb umatrix geprobeerd maar vond het te veel gedoe.
Wat wil je met de addons bereiken? Addons kunnen je browser uniek maken (combinatie van factoren) en daarmee kun je ook worden herkend. Als je een browser gebruikt die speciaal is aangepast om niet uniek te zijn - en op te gaan in de massa - voorkom je dat.
"We show how third-party web trackers can deanonymize users of cryptocurrencies."
Waarom denken de onderzoekers van dit paper dat gebruikers van cryptocurrencies anoniem zijn? Volgens mij is dit een aanname, en eentje die in heel veel situaties helemaal niet opgaat. Bijvoorbeeld wanneer je besluit met Bitcoin te betalen bij een webwinkel. Dan ben je per definitie niet meer anoniem. En ja, dat een tracking cookie weet heeft van deze gesloten transactie, en op die manier wellicht kan komen aan de gegevens die je nota bene zelf achterlaat bij deze transactie, is niet zo heel gek. Zeker niet in een land waar zaken als bescherming van privacy niet zo'n hele grote prioriteit heeft in de wetgeving.
"We present two distinct but complementary attacks. On most shopping websites, third party trackers receive information about user purchases for purposes of advertising and analytics. We show that, if the user pays using a cryptocurrency, trackers typically possess enough information about the purchase to uniquely identify the transaction on the blockchain, link it to the user’s cookie, and further to the user’s real identity."
In feite niets nieuws onder de zon dus. Normaliter kan dit dus evengoed, ook als je betaald met wire, cc, paypal, of wat dan ook. Echter het grote verschil is dat, vanwege de openheid van de blockchain, in feite jouw de inhoud en transacties van je wallet (lees: betaalrekening) gewoon openbaar is. Dat is een bekende zwakheid in bitcoin, dus dat is verder ook niet nieuw. Ze hebben nu 1 plus 1 opgeteld, en niet geheel verrassend is de uitkomst 2.
"Our second attack shows that if the tracker is able to link two purchases of the same user to the blockchain in this manner, it can identify the user’s entire cluster of addresses and transactions on the blockchain, even if the user employs blockchain anonymity techniques such as CoinJoin. The attacks are passive and hence can be retroactively applied to past purchases."
Tsja, dit is toch ook oude koeien uit de sloot trekken? Zodra je een naam aan een bitcoin wallet kan knopen, dan kun je in die blockchain verder zoeken naar alle transacties van en naar die wallet. Zo werkt het systeem gewoon, en dat is wederom niks nieuws. Zeker als de verkopende en betalende partij altijd dezelfde wallets aanhouden is zoiets erg eenvoudig, en dus ook als je CoinJoin achtige systemen gebruikt. Het grootste probleem blijft de blockchain waarin alles transparant en publiek toegankelijk voor iedereen ligt opgeslagen.
Maar ik snap sowieso de huidige inflatie van BTC niet. Mixers stoppen ermee, DNM's worden uit de lucht gehaald, er is veel rumoer gaan in de tor/btc onderwereld, en de acceptatie in de bovenwereld is nog altijd erg laag. Dit soort papers die nog eens onderstrepen dat je geen anonieme BTC transacties kan doen... en zo nog tien redenen... al met al genoeg om er juist weg te blijven, maar blijkbaar denkt de slimme 'investeerder' daar op het ogenblik anders over.
Helemaal eens, met uw analyse.
Wie anoniem wil zijn, moet niet met Bitcoins online aankopen doen.
Degene die je opsomt staan d'r bij mij ook allemaal op!
+
Element Hiding Helper for Adblock Plus
GoogleSharing
NO Google Analytics
Referrer Control
en
Lightbeam om alsnog te kunnen zien wie/wat d'r nog meekijkt.
Nog een tip voor ublock,
zet in de dashboard, tab settings: "Block remote fonts" aan,
zodat voornamelijk google wéér minder browse-info van je vergaart om je mee te kunnen profileren.
@ Vandaag, 08:44 door Anoniem
De Agent Spoofer addon zorgt ervoor dat je browser niet te fingerprinten is (mits je 'm zo nu en dan wijzigt).
Da's jou mening, ik heb bijvoorbeeld de afgelopen 2 maanden ruim 16.000 euro bij verdiend, als 'slimme investeerder'. Dat jij daar niet aan mee wil doen, dat moet je natuurlijk geheel zelf weten.
Lekker boeiend, zolang je je niet bezig houdt met illegale praktijken. Ik koop BTC ook in vanaf mijn bankrekening. En verkoop het uiteindelijk weer naar diezelfde bankrekening. Het niet-anoniem zijn zie ik niet als ''reden om er juist weg te blijven''. Eerder als iets volstrekt irrelevants.
zet in de dashboard, tab settings: "Block remote fonts" aan,
zodat voornamelijk google wéér minder browse-info van je vergaart om je mee te kunnen profileren.
https://en.wikipedia.org/wiki/Comet_Cursor
Maar, waar denk je dat je jquery lib vandaan komt?
Of erger; wat denk je dat cloudflare zo gratis maakt? (en daarom al te graag alle soorten extremisme support!)
Wat wil je met de addons bereiken? Addons kunnen je browser uniek maken (combinatie van factoren) en daarmee kun je ook worden herkend. Als je een browser gebruikt die speciaal is aangepast om niet uniek te zijn - en op te gaan in de massa - voorkom je dat.
Mijn doel is zoveel mogelijk reclame en tracking shit te blokkeren niet perse om anoniem te zijn. Maar jij zou dan liever standaard ff draaien zonder add-ons om zo niet uniek te zijn? Denk dat je dan toch beter af bent met op zijn minst een add-blocker.
Als ik anoniem wil zijn gebruik ik wel tor of een vpn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
