Le modalità private dei browser non sono private

Secondo una ricerca (PDF) presentata recentemente allo Usenix Security Symposium a Washington, le funzioni di navigazione privata offerte dai principali browser (Internet Explorer, Firefox, Chrome e Safari) non funzionano come promesso e possono dare un falso senso di sicurezza.

In teoria queste funzioni dovrebbero consentirvi di visitare un sito Web senza lasciarne traccia sul vostro computer, ma non è così. Per esempio, quando un utente visita in modalità privata uno dei tanti siti che usano certificati di sicurezza SSL, se usa IE, Firefox e Safari questa visita viene registrata comunque in un file sul suo computer. In Firefox, la modalità privata lascia tracce ogni volta che un utente imposta delle preferenze specifiche per un sito oppure usa un plug-in o un’estensione (componente aggiuntivo del browser) o visita un sito che usa le funzioni avanzate dell’HTML5. Internet Explorer è invece colto in fallo dai siti che effettuano query SMB per qualsiasi motivo.

In generale, i browser non isolano correttamente le sessioni di navigazione privata da quelle non private, per cui un sito appositamente predisposto può tenere traccia dei visitatori che lo consultano prima in modalità pubblica e poi in modalità privata. Gli autori della ricerca hanno trovato inoltre il modo di consentire a un sito di sapere se i suoi visitatori usano la modalità privata: basta l’uso attento di un IFRAME e di un po’ di Javascript.

Cosa ancora più interessante, i ricercatori hanno usato questo sistema per sapere in quali situazioni viene usata la navigazione privata. Anche se i produttori reclamizzano queste funzioni come soluzioni per acquistare regali senza che il destinatario lo venga a sapere in anticipo, in realtà l’uso più comune della navigazione privata riguarda i siti a luci rosse. Questo risultato statistico probabilmente non sorprenderà nessuno. La vera sorpresa è che la percentuale di utenti che adotta la modalità privata nei siti osé è molto vicina a quella di coloro che la usano per fare shopping o per la navigazione generica: rispettivamente l’8% e il 6%.

L’altro aspetto interessante è che c’è molta variabilità da un browser all’altro. Gli utenti di Internet Explorer sono quelli che usano meno le funzioni di privacy (il 2%, compresi i siti pornografici), mentre gli utenti di Safari sono all’estremo opposto con un notevole 14%. Il problema fondamentale è che a prescindere dal tipo di sito visitato, la ricerca mostra chiaramente che la fiducia degli utenti nelle funzioni pro-privacy dei programmi di navigazione è mal riposta. Qualunque cosa facciate online, è meglio sapere di essere osservati che credere di essere invisibili.

Fonti: The Register, The Inquirer, Gizmodo, Ars Technica.