Zo blokkeer je trackers en scripts in je browser
Zodra je met je browser op het internet struint word je al snel door talrijke trackers gevolgd. Enorm vervelend voor wie op zijn privacy is gesteld, en ook al die bijhorende advertenties zijn niet bepaald gewenst. We tonen je hoe trackers te werk gaan, maar vooral hoe je (grotendeels) kunt voorkomen dat je op de voet wordt gevolgd.
Wanneer je naar een website surft, krijgt de webserver je ip-adres te zien. Tenzij het om een vast ip-adres gaat dat bijvoorbeeld aan je domeinnaam is gekoppeld, leidt dat ip-adres naar een adrespool bij je internetprovider en verraadt niet zomaar je identiteit. Dat kun je checken door je externe ip-adres op te vragen, bijvoorbeeld via www.whatismyip.org, en dat vervolgens doorgeven aan een service als www.db.ripe.net/whois.
Houd je je ip-adres liever geheim, dan kun je een anonimiserende browser als Tor gebruiken, al dan niet gevirtualiseerd met Whonix. Of je zet een betrouwbare vpn-service in waarmee je je ip-adres verbergt. Maar denk maar niet dat je trackers hiermee compleet op een dood spoor zet. Die gebruiken namelijk nog wel meer middelen om je te volgen. Welke technieken dat zijn en hoe je je daartegen kunt beschermen, lees je in dit artikel.
01 Browsers
De ene browser is de andere niet, ook niet met het oog op je privacy. Vind je Tor een brug te ver, dan is Firefox wellicht de meest aangewezen browser, al was het maar omdat het zowat de enige populaire opensource-browser is die geen gebruikmaakt van eigen onderdelen. Toegeven, ook Chromium (waarop Chrome is gebaseerd) is opensource, maar dat is wel gelinkt aan Google. Houd je toch graag vast aan het Chromium-concept, dan valt zeker ook Brave te overwegen. Deze gratis opensource-browser heeft enkele technieken ingebouwd die het specifiek opnemen tegen trackers en advertenties. En het moet gezegd: ook de nieuwste Edge Chromium-browser besteedt extra aandacht aan privacy en traceerpreventie.
In dit artikel focussen we ons echter vooral op de populairste browsers: Chrome en Firefox.
©PXimport
02 Cookies
We trappen ongetwijfeld een open deur in: cookies zijn nog altijd een veelgebruikt middel om je te volgen. Om tegen te gaan dat cookies permanent bewaard worden, kun je in zowel Firefox als Chrome privémodus surfen. Wil je ook in de normale browsermodus het tracken beperken, dan doe je er goed aan in ieder geval de cookies van derden te blokkeren. Stel, je bezoekt site X die een link bevat naar de site van een advertentiebureau, en daarna bezoek je site Y waar het advertentiebureau ook een link heeft staan, dan kan dat bureau de eerder geplaatste cookies inlezen en weet het dat het om dezelfde persoon gaat – althans, het dezelfde browser is.
Standaard worden cookies van derden toegelaten, zowel in Chrome als in Firefox. In Chrome blokkeer je die als volgt: tik chrome://settings/content/cookies in de adresbalk in en zet de schakelaar bij Indirecte cookies blokkeren op Uit. Deze functie kun je ook via het menu bereiken, ga dan via de drie puntjes naar Instellingen / Geavanceerd / Privacy en beveiliging / Site-instellingen / Cookies en sitegegevens. In Firefox voer je about:preferences#privacy in of navigeer je via het hamburgermenu naar Opties / Privacy & Beveiliging waar je bij Browserprivacy de optie Aangepast aankruist. We raden je aan hier alle opties aan te vinken. Specifiek bij Cookies kun je dan Alle cookies van derden selecteren. Levert dat te veel problemen op bij het surfen, kies dan Cross-site en sociale-mediatrackers.
©PXimport
03 Fpi
Firefox heeft een handige functie ingebouwd tegen cross-site-tracering via cookies van derden: First Party Isolation (fpi). Het komt erop neer dat zulke cookies, evenals andere surfdata zoals de browsercache, alleen nog binnen het actuele domein benaderbaar zijn en er dus geen cross-site tracering meer mogelijk is. Je activeert deze functie als volgt: Tik about:config in, zoek naar firstparty en dubbelklik vervolgens op privacy.firstparty.isolate zodat de waarde op true wordt ingesteld. Levert dit onverhoopt problemen op, dan kun je die instelling wat verzachten door de twee andere opties hier op false in te stellen. Wil je deze fpi-functie met één muisklik kunnen in- of uitschakelen, dan kun je de extensie First Party Isolation installeren.
In Chrome vind je weliswaar het concept ‘site isolation’ terug, maar dat is meer gericht op het tegengaan van malafide aanvallen en verhindert geen cross-site tracering. Wil je deze functie aanscherpen, tik dan chrome://flags in, zoek naar isolation, zet Disable site isolation op Default en stel Strict-Origin-Isolation in op Enabled.
©PXimport
04 Adblocker
Om te verhinderen dat webservers je surfdata verzamelen, kun je de dnt-functie (Do Not Track) activeren. In Firefox bereik je deze functie op de pagina about:preferences#privacy (of via het hamburgermenu / Opties / Privacy & Beveiliging) waar je Altijd inschakelt bij Websites een ‘Niet volgen’-signaal sturen om te laten weten dat u niet gevolgd wilt worden. In Chrome vind je de functie door chrome://settings/privacy in de adresbalk te typen of via het menu te gaan naar Instellingen / Geavanceerd / Privacy en beveiliging. Zet hier de schuif aan bij Een verzoek voor niet bijhouden met je browseverkeer verzenden. Veel heil hoef je hier echter niet van te verwachten: het gaat om een simpel verzoek en de meeste webservers geven daar geen gevolg aan.
Grover geschut is dus nodig, in de vorm van een advertentie- en contentblocker. Een van de betere is uBlock Origin, beschikbaar als plug-in voor Chrome en Firefox. uBlock Origin werkt op basis van filterlijsten en standaard zijn al talrijke domeinen geblokkeerd. Je beheert de plug-in vanuit het dashboard: klik op het bijhorende pictogram rechts van de adresbalk en vervolgens op het knopje met de schuifregelaars. Open het tabblad Filterlijsten en laat bij voorkeur de vinkjes bij alle filterlijsten staan.
Soms komt het voor dat websites weigeren content te tonen zodra ze merken dat je een adblocker hebt draaien. Dan heb je in principe twee mogelijkheden: je kunt die website aan de witte lijst van uBlock Origin toevoegen (het volstaat het pictogram aan te klikken en de blauwe startknop in te drukken) of je installeert er een anti-adblock-blocker eroverheen (zie kader ‘Anti-adblock-blocker’).
©PXimport
Anti-adblock-blocker
Gebeurt het je naar je zin te vaak dat er op websites geen content weergegeven wordt omdat je een adbocker geïnstalleerd hebt? Dan kun je dat tegengaan door een anti-adblock-blocker als Nano Defender te installeren in Chrome of in Firefox. Om Nano Defender in uBlock Origin te integreren, moet je wel nog een aantal stappen uitvoeren, zoals hier beschreven. Voer alle instructies nauwgezet uit vanuit de browser waarop je zowel uBlock Origin als Nano Defender hebt geïnstalleerd. Bij Step 3 dien je dus het tabblad Instellingen in het dashboard van uBlock Origin te openen en een vinkje te plaatsen bij Ik ben een ervaren gebruiker. Vervolgens klik je op het tandwielpictogram achter dit item en vervang je unset in de onderste regel bij userResourcesLocation door wat er genoemd staat. Bevestig de aanpassingen door de knop Wijzigingen toepassen in te drukken. De andere stappen spreken voor zich. Wanneer je vervolgens het tabblad Filterlijsten opent, zul je bij Aangepast drie Nano-filters zien verschijnen.
©PXimport
05 Cdn’s
Veel websites maken gebruik van javascript en maken daarbij dankbaar gebruik van frameworks waarin veelgebruikte javascriptfuncties zijn opgenomen. Deze frameworks halen ze meestal bij zogenoemde content delivery networks, oftewel cdn’s vandaan, met Google als een van de populairste. Dat ophalen van frameworks bij cdn’s zorgt ervoor dat ook jouw ip-adres en andere browsergegevens richting het cdn gaan, waardoor je ook langs die weg getraceerd wordt. De browserplug-in Decentraleyes, beschikbaar voor onder meer Chrome en Firefox, zorgt ervoor dat de meest gebruikte frameworks lokaal beschikbaar komen voor je browser, waarna pogingen om een cdn te benaderen automatisch naar het lokale framework worden omgeleid. Dat beschermt je privacy en bovendien werkt het net iets sneller. Je kunt de situatie voor en na de installatie van Decentraleyes testen. Heb je ook uBlock Origin draaien, dan kan die er juist weer voor zorgen dat het ophalen en updaten van de lokale JavaScript-bibliotheken verhinderd wordt. Op www.imgur.com/3YwdpGP is aangegeven welke domeinen je aan de uitzonderingslijst van uBlock Origin moet toevoegen om het allemaal te laten werken.
©PXimport
06 Scripting
Je kunt natuurlijk nog verder gaan en alle (java)scripts instantie blokkeren. Het is tenslotte vaak dankzij dergelijke scripts dat webservers je op basis van allerlei browserkenmerken weten te identificeren (het zogenaamde browser fingerprinting). Met een simpele muisklik kun je op AmIUnique of Panopticlick uitvinden tot in hoeverre je eigen browser uniek en dus te identificeren is.
De populaire browserplug-in NoScript (beschikbaar voor Chrome en Firefox) laat je echter zelf beslissen welke scripts en andere inhoud je wilt uitvoeren. Door op het NoScript-pictogram te klikken, krijg je extra feedback. Zo zie je welke domeinen erbij betrokken zijn en kun je aangeven of je de externe onderdelen van het betreffende domein beschouwt als Vertrouwd (waarmee je ze toelaat), Tijd. Vertrouwd (alleen voor het huidige bezoek toelaat), Niet-vertrouwd (waarmee je ze blokkeert) of Standaard. In de Opties kun je zelf aangeven welke elementen je voor elke zone al dan niet wilt blokkeren. Open het tabblad Algemeen en klik op elk van de drie zones: door vinkjes te zetten, beslis je zelf wat je in elke zone wilt toelaten. Op het tabblad Toestemmingen per website kun je voor elke bezochte website de vertrouwenszone aanpassen.
©PXimport
07 Referers
Even een klein experiment: start Firefox, surf naar www.google.nl, voer ‘computer!totaal’ in en klik op de link die naar de website van Computer!Totaal leidt. Rechtsklik vervolgens op een lege plek op die webpagina en kies Pagina-info bekijken. Bij Verwijzende URL lees je nu https://www.google.nl. Dat is de zogenoemde referer die via de http-headers standaard naar een bezochte website wordt doorgestuurd. Deze praktijk is wel bedenkelijk voor je privacy, want niet alleen de website weet nu waar je vandaan komt, maar ook de eventuele advertentie- of socialmedia-netwerken die content hebben staan op die webpagina. Zo’n url kan trouwens extra gevoelige informatie bevatten – wat dacht je bijvoorbeeld van deze referer: https://www.healthcare.gov/seeplans/85601/results/?county=04019&age=40&smoker=1&pregnant=1&zip=85601&state=AZ&income=35000’?
In Firefox kun je echter voorkomen dat deze referer-informatie wordt doorgegeven. Tik about:config op de adresbalk en zoek naar network.http.sendRefererHeader. Dubbelklik op dit item en wijzig de standaardwaarde 2 in 0 als je voortaan alle referers wilt blokkeren. Stel je dit in op 1, dan worden referers alleen tegengehouden als er afbeeldingen op een pagina worden geladen.
In Chrome is er geen voorziening tegen referers ingebouwd. Voor zowel Chrome als Firefox is echter de browserplug-in Referer Control beschikbaar. Hiermee kun je zelfs tot op siteniveau bepalen hoe je wilt dat de browser met deze verwijzende url’s omspringt.
©PXimport
08 Parameters
Ook de url’s zelf kunnen informatie bevatten die nuttig kan zijn voor trackers, zoals de ‘ValueTrack’-parameters bij Google Ads. Als een adverteerder bijvoorbeeld {lpurl}?network={network}&device={device} in zijn traceersjabloon opneemt, dan zal de url iets worden als www.hetbedrijf.com/?network=g&device=t, zodat de adverteerder weet dat je via Google en vanaf een tablet op die link hebt geklikt. Ook Google Analytics maakt behoorlijk gebruik van url-parameters (herkenbaar aan &utm in de string).
De browserplug-ins ClearURLs en Neat URL, beschikbaar voor zowel Chrome als Firefox, strippen zulke parameters uit de url voordat die aan de webserver wordt doorgegeven. We bekijken hier kort Neat URL. Na de installatie is de plug-in automatisch actief. Om hier nog wat aan aan te passen, klik je op het bijhorende pictogram met de rechtermuisknop en kies je Preferences. Op het tabblad Opties zie je bij Geblokkeerde parameters een overzicht van de parameters en kun je er zelf eigen parameters aan toevoegen, weliswaar volgens bepaalde regels. Je dient je wijzigingen te bevestigen met Voorkeuren opslaan. Voeg je hier bijvoorbeeld paramnaam aan toe, dan zal deze parameter uit elke url worden geweerd. Een item als q@*.google.nl zorgt ervoor dat de parameter q uitsluitend in google.nl, weliswaar inclusief subdomeinen (*), wordt opgeruimd. Dit is echter geen voorbeeld om zelf te implementeren, want hierdoor zullen je zoekopdrachten in www.google.nl niet langer werken.
©PXimport
