Sicherheitsforscher weist auf Tracking via Akkukapazität hin

In der Diskussion um die standardisierte Battery Status API insbesondere für Smartphone-Browser hat Spezialist Lukasz Olejnik auf Risiken für die Privatsphäre hingewiesen. Eine Identifikation sei über einen längeren Zeitraum möglich, als man vielleicht denke. Kürzlich hatten Forscher der Universität Princeton schon auf Nutzertracking über den Ladestand hingewiesen (PDF).

Olejniks Analyse erfolgte im Auftrag des W3C, das die Battery Status API standardisiert hat. Er berichtet, über diese Programmierschnittstelle könnten Websites den Ladestand in Prozent, die verbleibende Laufzeit und die für eine Komplettaufladung benötigte Zeit auslesen. Daraus lasse sich aber oft die Kapazität des Akkus berechnen und als ergänzender Identifikationsfaktor nutzen.

Beispielsweise können Websites und Werbenetze so Nutzer auseinanderhalten, die hinter einer Firewall mit Network Address Translation (NAT) sitzen und daher die gleiche IP-Adresse verwenden. Auch helfe es dem Anwender dadurch kaum noch, seine Cookies zu löschen, um seine Anonymität wiederherzustellen: Der Ladestand sei zumindest ein Indiz, dass es sich auch ohne Cookie um denselben Nutzer wie zuvor handle.

Olejnik zufolge hatte seine Analyse bereits Erfolg. Das W3C arbeitet an einer Modifikation der API, um weniger über den Nutzer zu verraten. Und der Mozilla-Browser Firefox wurde modifiziert. Außerdem habe es eine Reihe Diskussionsbeiträge in der Community gegeben. Der Fall zeige auch, wie wichtig eine Analyse neuer Funktionen unter dem Gesichtspunkt der Privatsphäre sei, auch wenn es sich um scheinbar harmlose Optionen handle.

Sicherheitsforscher Graham Cluley weist darauf hin, dass solche Informationen nicht nur zur Überwachung dienen könnten. So sei es dem Vermittler Uber bekannt, dass er deutlich höhere Preise für Fahrten fordern könne, wenn der Akku eines Anwenders nahezu leer sei.

Mitte Juli hatten Steven Englehardt und Arvind Narayanan zwei Tracking-Skripte identifiziert, die die Battery Status API als Faktor nutzen, um einen digitalen Fingerabdruck eines Anwenders zu erstellen. Und an der Universität Stanford wiesen Forscher schon im Februar 2015 darauf hin, dass der Akkuverbrauch ein Hinweis auf die Nutzeridentität ist.

Ein ebenfalls noch recht neuer Tracking-Faktor sind so genannte Audio-Fingerabdrücke. Dazu wird nicht etwa das Mikrofon herangezogen, es handelt sich vielmehr um eine Eigenschaft des Audio-Stacks eines Systems. Zunehmend wird via WebRTC die lokale IP-Adresse des Anwenders ermittelt. Auch installierte Schriftarten können herangezogen werden.

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.