Cloudflare Turnstile WebGL barmaq izini bloklayan brauzerlərdə işləmir

Sonsuz dövrə

Ziyarətçilərdən insan olduqlarını təsdiqləməyi tələb edən Cloudflare Turnstile, WebKitGTK əsaslı brauzerdə təxminən bir həftədir sonsuz dövrədə fırlanır, yazır hacktivis.me bloqunun müəllifi. Nasazlıq bir çox sayta girişi bloklayır və son vaxtlar vəziyyət daha da pisləşib. Müəllifə görə səbəb Turnstile-ın cihazın barmaq izini WebGL vasitəsilə istəməsidir — bunun isə izləmədən başqa məqsədi olmadığını bildirir.

Cloudflare-ın öz izahı

Yazı Turnstile-ın zərər çəkmiş ziyarətçilərə göstərdiyi bildirişi sitat gətirir: «Turnstile insan olduğunuzu təsdiqləmək üçün brauzer barmaq izindən istifadə edir. Barmaq izini bloklayan və ya təsadüfiləşdirən məxfilik alətləri brauzerinizi kimliyini gizlətməyə çalışan bot kimi göstərir. Bu sayt üçün barmaq izinə müvəqqəti icazə vermək problemi həll edəcək.» Bu cür barmaq izi WebKit-də illərdir bloklanıb, qeyd edir müəllif — o qədər aqressivdir ki, hətta Apple da bloklayır — və bu, mühərrikdə asanlıqla söndürülə bilən məxfilik müdafiəsi deyil. Praktiki nəticə, yazır o, Cloudflare-ın Safari üçün istisna ilə bütün WebKitGTK brauzerlərini bloklamasıdır.

Firefox-un yarım həlli

Yeri gəlmişkən, yazı Gecko-nun saytlara təmizlənmiş GPU xüsusiyyətlərini açdığını, WebKit və Blink-in isə bütün istifadəçilərə sərt kodlanmış sətirlər qaytardığını qeyd edən Mozilla səhv hesabatına — Bugzilla#1916271-ə işarə edir. Müəllif həmçinin qeyd edir ki, Firefox parametrlərində sərt gücləndirilmiş məxfilik müdafiəsi seçilsə belə privacy.resistFingerprinting aktiv deyil. Bu parametr açıq olduqda, məxfiliklərinə diqqət edən Firefox istifadəçiləri gələcəkdə Cloudflare-ın cihaz təsdiqini keçə bilməyəcək.

Niyə vacibdir

Bu hadisə daha geniş bir güzəşti göstərir: cihaz barmaq izinə söykənən bot aşkarlanması güclü məxfilik müdafiəsi olan brauzerləri bot vəziyyətinə salır. Müəllif əvvəllər də Cloudflare-ın IP aralıqlarının bloklanması barədə yazmışdı və bu addımı həmin istiqamətin davamı kimi görür. Onun iddiası dar və konkretdir: WebGL tələbi təsdiq deyil, izləmə üçün barmaq izidir və bunun qiymətini açıq kodlu geniş yayılmış mühərrikin istifadəçiləri ödəyir.