Алексаня Тюрик
Ч0ткий!
Мне порядком надоела уверенность и непогрешимость некоторых комментаторов по поводу их мнения о JavaScript. Если кто не в курсе, некоторые особо параноидальные личности думают, что если сайт использует JS - то он является совместной разработкой ФСБ и Моссада как минимум. И наоборот, что если выключить JS полностью, любой может продавать героин тоннами без риска быть пойманным ЦРУ. Причем довольно часто утверждающие это умудряются путать JavaScript и Java
Лично я не собираюсь никого переубеждать. Но тут недавно, читая рассылку Tor, наткнулся на мнение некоего Mike Perry, не много не мало создателя TorButton и разработчика Tor Browser. Вот некоторые вырванные из контекста для промывания мозгов выдержки:
Mike Perry пишет:
nearly all of the information available to Javascript is also available to CSS and HTTP even when JS is disabled. This includes fonts, desktop resolution, browser widget resolution, caching-based identifiers, and probably a few more things, too.
Вольный перевод: "практически вся информация, которая может стать доступной через JavaScript, также доступна через CSS и HTTP, даже если JS выключен. Включая информацию по шрифтам, разрешению экрана и браузера, идентификаторам из кэша и возможно еще кое-что".
Mike Perry пишет:
disabling a whole random collection of random junk specific to you is a *huge* hit, if anyone bothers to look. You cannot expect to be able to use the same web service under two different accounts if you use 3rd party domain JS filtering features of NoScript, for example. They will have a wealth of fingerprinting information based simply on the scripts you choose to download and run, if they care to look.
Вольный перевод: "отключение всевозможного мусора - это просто огромный риск по отношению к тебе, если за тебя возьмутся всерьез. К примеру, ты не сможешь анонимно использовать два разных аккаунта на одном и том же сервисе, если ты включил блокировку сторонних скриптов с помощью NoScript. Если ты кому-то интересен, у них будет достаточно идентификационных данных: они просто соотнесут, какие скрипты ты скачиваешь, а какие - нет".
Mike Perry пишет:
We have plenty of academic research and mathematical proofs that tell us quite clearly that the more people use Tor, the better the privacy, anonymity, and traffic analysis resistance properties will become.
In fact, my personal goal is to grab the entire "Do Not Track" userbase from Mozilla. That userbase is probably well in excess of 12.5 million people:
http://www.techworld.com.au/article/400248/
I do *not* believe we can capture that userbase if we ship a JS-disabled-by-default browser.
Вольный перевод: "У нас достаточно научных расчетов и математических доказательств для того, чтобы совершенно четко сказать: чем больше людей использует Tor, тем выше анонимность и тем сложнее анализ траффика. Лично я хочу сагитировать всю базу пользователей функции "Do Not Track" от Mozilla, которая составляет примерно 12,5 миллионов человек. И я уверен, что мы не сможем убедить тех людей перейти на Tor Browser, если JS будет выключен по умолчанию".
Mike Perry пишет:
Javascript is effectively a VM which is now fully under our control.
Ну вы поняли.
Источник, второй
Лично я не собираюсь никого переубеждать. Но тут недавно, читая рассылку Tor, наткнулся на мнение некоего Mike Perry, не много не мало создателя TorButton и разработчика Tor Browser. Вот некоторые вырванные из контекста для промывания мозгов выдержки:
Mike Perry пишет:
nearly all of the information available to Javascript is also available to CSS and HTTP even when JS is disabled. This includes fonts, desktop resolution, browser widget resolution, caching-based identifiers, and probably a few more things, too.
Вольный перевод: "практически вся информация, которая может стать доступной через JavaScript, также доступна через CSS и HTTP, даже если JS выключен. Включая информацию по шрифтам, разрешению экрана и браузера, идентификаторам из кэша и возможно еще кое-что".
Mike Perry пишет:
disabling a whole random collection of random junk specific to you is a *huge* hit, if anyone bothers to look. You cannot expect to be able to use the same web service under two different accounts if you use 3rd party domain JS filtering features of NoScript, for example. They will have a wealth of fingerprinting information based simply on the scripts you choose to download and run, if they care to look.
Вольный перевод: "отключение всевозможного мусора - это просто огромный риск по отношению к тебе, если за тебя возьмутся всерьез. К примеру, ты не сможешь анонимно использовать два разных аккаунта на одном и том же сервисе, если ты включил блокировку сторонних скриптов с помощью NoScript. Если ты кому-то интересен, у них будет достаточно идентификационных данных: они просто соотнесут, какие скрипты ты скачиваешь, а какие - нет".
Mike Perry пишет:
We have plenty of academic research and mathematical proofs that tell us quite clearly that the more people use Tor, the better the privacy, anonymity, and traffic analysis resistance properties will become.
In fact, my personal goal is to grab the entire "Do Not Track" userbase from Mozilla. That userbase is probably well in excess of 12.5 million people:
http://www.techworld.com.au/article/400248/
I do *not* believe we can capture that userbase if we ship a JS-disabled-by-default browser.
Вольный перевод: "У нас достаточно научных расчетов и математических доказательств для того, чтобы совершенно четко сказать: чем больше людей использует Tor, тем выше анонимность и тем сложнее анализ траффика. Лично я хочу сагитировать всю базу пользователей функции "Do Not Track" от Mozilla, которая составляет примерно 12,5 миллионов человек. И я уверен, что мы не сможем убедить тех людей перейти на Tor Browser, если JS будет выключен по умолчанию".
Mike Perry пишет:
Javascript is effectively a VM which is now fully under our control.
Ну вы поняли.
Источник, второй