Adblocker-ontwikkelaar AdGuard heeft een overzicht gepubliceerd met daarop duizenden CNAME-trackers die internetgebruikers op geraffineerde wijze op het web volgen. Onlangs maakten onderzoekers bekend dat het gebruik van CNAME-gebaseerde tracking op websites sterk is toegenomen.

Voorheen plaatsten webtrackers en advertentiebedrijven die als derde partij actief op een website zijn van een ander domein cookies bij gebruikers. Aangezien deze cookies van een ander domein dan het bezochte domein afkomstig zijn worden dit third-party cookies genoemd. Via third-party cookies is het eenvoudig om gebruikers over het web te volgen, omdat de derde partij die via allerlei sites kan plaatsen en zo kan zien welke websites een gebruiker bezoekt.

Verschillende browsers besloten daarop tracking via third-party cookies tegen te gaan door domeinen van deze partijen te blokkeren. Derde partijen die op een website actief zijn kunnen daardoor geen cookies meer bij gebruikers van deze browsers plaatsen. Verschillende trackingbedrijven vonden een oplossing in het gebruik van first-party trackers, ook wel "dns delegation", "dns aliasing" of "cname cloaking" genoemd.

De bedrijven vragen aan uitgevers en andere websites om CNAME-record aan te maken waarbij een subdomein, bijvoorbeeld tracking.example.tld, naar het domein van de adverteerder of tracker wijst. Doordat het subdomein in de context van het bezochte domein valt, example.tld, worden de cookies van het subdomein door de browser geaccepteerd, ook al gaat het eigenlijk om cookies van een derde partij. Zodoende weten trackingbedrijven third-party trackingcookies als first-party trackers te vermommen.

Onderzoekers ontdekten dertien bedrijven die zich met deze werkwijze bezighouden. Het gebruik van CNAME-gebaseerde tracking nam volgens de onderzoekers de afgelopen 22 maanden met 21 procent toe. Populaire trackers en minder populaire trackers kenden in dezelfde periode een afname van respectievelijk acht en drie procent. Op bijna tien procent van de tienduizend populairste websites op internet wordt CNAME-gebaseerde tracking toegepast.

Naast het volgen introduceert CNAME-gebaseerde tracking ook andere privacyproblemen. "Verschillende trackers plaatsen vaak first-party cookies via de document.cookie interface. We ontdekten dat vanwege de manier waarop de webarchitectuur werkt, deze werkwijze tot het lekken van cookies kan leiden", aldus de onderzoekers. Cookies die voor example.tld worden geplaatst worden hierdoor ook naar tracking.example.tld gestuurd. Daarnaast blijkt dat veel CNAME-trackers via http en niet via https gaan. Dit maakt man-in-the-middle-aanvallen mogelijk.

AdGuard heeft nu op GitHub een overzicht van duizenden CNAME-trackers gepubliceerd. Bovenaan het overzicht staat Adobe Experience Cloud (voorheen Omniture), met meer dan 2500 domeinen, gevolgd door Pardot met bijna 1600 trackers. AdGuard laat weten dat het de lijsten geregeld zal bijwerken. Tevens spreekt de adblocker-ontwikkelaar de hoop uit dat andere makers van filterlijsten het overzicht ook zullen gebruiken.