Novo modo anônimo do Chrome continua permitindo rastreamento da navegação

Muita gente comemorou quando a Google anunciou que o Chrome 76 finalmente iria resolver um problema antigo, que permitia a sites perceberem quando o usuário está navegando de forma anônima. O update veio e, efetivamente fez o que prometeu, alterando o funcionamento de uma API de sistemas de arquivos, mas o efeito não foi o esperado, com muitos sites ainda sendo capazes de flagrar usuários utilizando o modo incógnito.

A descoberta é do pesquisador de segurança Vikas Mishra, que em uma publicação própria, revela como sites ainda podem realizar esse tipo de rastreamento utilizando, inclusive, o mesmo método anterior. Tudo se resume a uma API chamada FileSystem, que cria um sistema de arquivos no computador para que o browser não tenha que baixar e captar recursos toda vez que for utilizado.

Anteriormente, ela não estava disponível no modo anônimo e, com a atualização, o Chrome passou a criar uma instância isolada dela. Aos sites, para perceber o uso do modo, basta verificar a quantidade de espaço em disco que a API está utilizando; caso esse limite seja de 120 MB, isso significa que o usuário está navegando de maneira incógnita.

Um segundo pesquisador, Jesse Li, também revelou outro método pelo qual sites continuam a acompanhar usuários, mesmo utilizando o navegador de forma oculta. De acordo com um trabalho próprio, a velocidade de gravação de dados da API FileSystem é mais rápida no modo incógnito, que utiliza a memória RAM, e isso também pode ser utilizado para rastrear usuários.

Assim, permanece o problema que levou a Google a liberar a atualização, inicialmente comemorada pelos usuários. Sites podem, por exemplo, solicitar que os visitantes façam login ou simplesmente saiam do modo anônimo, impedindo o acesso a serviços que, de outra maneira, que não permitiria a coleta de telemetria e o armazenamento de arquivos que possam ser usados em campanha de publicidade direcionada, por exemplo.

Ambos os casos, antes de revelados ao público, foram passados à equipe do Chromium, responsável pelo browser de código aberto que é a base do Chrome. Uma atualização para resolver as duas questões já está em desenvolvimento, mas ainda não tem data para ser liberada aos usuários. Até lá, é melhor se lembrar que a promessa de navegação anônima nem sempre pode ser verdadeira.

Fonte: Vikas Mishra, Jesse Li