Fakultät für Elektrotechnik und Informationstechnik On the Feasibility and Impact of Digital Fingerprinting for System Recognition Dissertation Thomas Hupperich 01. Februar 2017 Fakultät für Elektrotechnik und Informationstechnik On the Feasibility and Impact of Digital Fingerprinting for System Recognition Dissertation zur Erlangung des Grades eines Doktor-Ingenieurs der Fakult¨atf¨urElektrotechnik und Informationstechnik an der Ruhr-Universit¨atBochum vorgelegt von Thomas Hupperich aus Wermelskirchen Bochum, 01. Februar 2017 Gutachter: Prof. Dr. Thorsten Holz Ruhr-Universit¨atBochum Zweitgutachter: Prof. Dr. Felix Freiling Friedrich-Alexander-Universit¨atErlangen-N¨urnberg Tag der m¨undlichen Pr¨ufung:30. Juni 2017 \The most merciful thing in the world, I think, is the inability of the human mind to correlate all its contents. We live on a placid island of ignorance in the midst of black seas of infinity, and it was not meant that we should voyage far. The sciences, each straining in its own direction, have hitherto harmed us little; but some day the piecing together of dissociated knowledge will open such terrifying vistas of reality, and of our frightful position therein, that we shall either go mad from the revelation or flee from the deadly light into the peace and safety of a new dark age." | H.P. Lovecraft - The Call of Cthulhu Acknowledgement First and foremost, I thank my supervisor Prof. Dr. Thorsten Holz for guiding my explorations through the infinite black seas of research and for all the enlightening scientific insights. I am grateful for the freedom to research topics of my interest and for the lively discussions about them. Leaving the island of ignorance and broadening the horizon requires exploration. Exploring something new, however, means to voyage and to give up at least a part of placidness. I express my gratitude to all my colleagues and contributors for the inspiring collaborations and for making my voyage an unforgettable time. Special thanks go to Jannik Pewny for discussing absurd and brilliant ideas, Henry Hosseini and Nicolai Wilkop for supporting my research countless times, and to Mark K¨uhrer,Katharina Krombholz, Davide Maiorca, Christian Rossow, as well as Sebastian Uellenbeck and Katharina Kohls for joyful and productive teamwork. Finally, I thank my family and friends for their support and help to not going mad. Abstract In the recent years, obtaining data about users and their online devices to track their activities and find out about their interests has become standard practice. While browser cookies have been state-of-the-art for user tracking a long time, a new technique evolved and is more and more applied in practice: digital fingerprinting. In contrast to cookies, fingerprinting a digital system reveals information about the system itself. It is possible to learn a systems software or hardware configuration with this technique. Still, it remained unclear to what extent fingerprinting can be utilized and also what risks and opportunities the use of fingerprinting entails. In the past, there has been researching mostly about fingerprinting a system's browser|so-called browser fingerprinting. Transferring such methods to finger- printing whole digital systems may be achieved in different ways and has to be fitted to the exact scenario, including the types of systems like mobile devices, the data available, e. g., browser attributes or hardware measurements, and the overall goal|for instance recognizing a single device among others. Hence, differentiated approaches and determining suitable methods are required to make fingerprinting feasible. This thesis emphasizes two key aspects: First, we explore the feasibility of fin- gerprinting in various scenarios, e. g., browser fingerprinting in a Web context or system-based hardware fingerprinting, to investigate which goals can be achieved by this technique. Second, we investigate the impact of fingerprinting, including the risks for user privacy and the chances to enhance existing security mechanisms. In this work, we shift to fingerprinting not only a browser but complete systems by determining the general feasibility of fingerprinting mobile devices, like smartphones and tablets, and also the possibilities to elude fingerprinting methods. Fingerprinting mobile devices is deemed to be hard as these are highly standardized in contrast to desktop computers or browsers and, as a general rule, fingerprinting is less effective in a uniform group of devices. While some methods of browser fingerprinting can be instrumented for fingerprinting mobile devices as well, also new approaches can be developed since modern devices are more complex systems and, for instance, include hardware sensors. Hence, we also examine the feasibility of fingerprinting system hardware, e. g., a mobile device's sensors and investigate whether or not it is possible to recognize devices just by hardware imperfections of these sensors. We also study whether or not differences in digital fingerprints may lead to triggering online marketing policies. In the media, there have been articles over the past years, claiming that users of specific computer systems experience price differentiation. Since such behavior may be based on digital system fingerprinting, we shed light on the impact of various fingerprints on online pricing. Finally, we take fingerprinting beyond digital systems and analyze whether writing styles may also be fingerprinted i effectively as an example of the transferability of fingerprinting methods to other research areas. Our findings reveal both the opportunities of digital fingerprinting as well as its limits. We present various applications for this new technique, investigating its power, risks, and chances. ii Kurzfassung In den letzten Jahren ist es g¨angigePraxis geworden, Daten ¨uber Benutzer und deren Internetger¨ate zu sammeln, um ihre Aktivit¨atenzu verfolgen und Informationen ¨uber ihre Interessen zu gewinnen. W¨ahrendBrowser-Cookies lange das Mittel der Wahl f¨urBenutzer-Tracking waren, etabliert sich mehr und mehr eine neue Technik: Digitales Fingerprinting. Im Gegensatz zu Cookies erm¨oglicht Fingerprinting den direkten Zugriff auf Informationen ¨uber ein System. So erm¨oglicht es diese Technik, Informationen ¨uber eine Softwarekomponente, wie z.B. Browser in Erfahrung zu bringen. Dennoch blieb bislang unklar, welche weiteren Anwendungsm¨oglichkeiten f¨urFingerprinting genutzt werden k¨onnenund welche Risiken und Chancen der Einsatz von Fingerprinting mit sich bringt. In der Vergangenheit wurde vor allem ¨uber Fingerprinting des Browsers eines Systems, sog. Browser-Fingerprinting, geforscht. Die Ubertragbarkeit¨ bekannter Methoden aus dem Browser-Fingerprinting auf Fingerprinting ganzer Systeme, sog. System Fingerprinting, kann auf unterschiedliche Weise erreicht werden. Angewen- dete Methoden m¨ussen jedoch stets auf das vorliegende Szenario abgestimmt werden und sowohl die Arten von Systemen (z.B. Mobilger¨ate),als auch die verf¨ugbaren Daten (bspw. Browserattribute oder Hardwaremessungen) ber¨ucksichtigen. Zudem entscheidet das letztliche Ziel, wie zum Beispiel die Erkennung eines einzelnen Ger¨ates unter anderen, ¨uber die Vorgehensweise. Schließlich sind differenzierte Ans¨atzeund die Bestimmung geeigneter Verfahren erforderlich, um Fingerprinting durchf¨uhrbar zu machen. Die vorliegende Dissertation setzt den Fokus auf die folgenden zwei Schwerpunkte: Zun¨achst wird die Machbarkeit von Fingerabdr¨ucken in verschiedenen Szenarien un- tersucht, bspw. Browser-Fingerprinting im Webkontext oder Hardware-basiertes Fin- gerprinting, und außerdem, welche Ziele mit dieser Technik erreicht werden k¨onnen. Zweitens werden die Auswirkungen von Fingerprinting erforscht, einschließlich der Risiken f¨urdie Privatsph¨areder Nutzer und die M¨oglichkeiten, bestehende Sicher- heitsmechanismen zu verbessern. Diese Arbeit fokussiert sich nicht nur auf das Fingerprinting von Browsern, sondern kompletter Systeme, indem die allgemeine Machbarkeit von Fingerprinting mobiler Ger¨atenwie Smartphones und Tablets unter- sucht wird, sowie die M¨oglichkeiten, Fingerprinting zu umgehen. Das Fingerprinting mobiler Ger¨ategilt als schwierig, da diese hoch standardisiert sind, im Gegensatz zu Desktop-Computern und Browsern, die sich stark personalisieren lassen, z.B. durch Installieren von Erweiterungen oder Anpassen des Erscheinungsbilds. In der Regel ist Fingerprinting weniger wirksam in einer homogenen Gruppe von Ger¨aten. W¨ahrendmanche Methoden des Browser-Fingerprintings auch f¨urFingerprinting mobiler Ger¨ateinstrumentiert werden k¨onnen,k¨onnenauch neue Ans¨atzeentwickelt werden, da moderne Ger¨atekomplexere Systeme sind und zum Beispiel Hardware- Sensoren umfassen. Daher wird auch die Durchf¨uhrbarkeit von Hardware-basiertem iii Fingerprinting untersucht, z.B. ob es m¨oglich ist, Ger¨atenur durch Fertigungsfehler von Sensoren zu erkennen. Es wird ebenfalls gekl¨art,inwieweit Online-Marketing- Strategien auf Unterschiede von digitalen Fingerprints reagieren. In den vergangenen Jahren meldeten Medien immer wieder, dass die Nutzer bestimmter Computersys- teme andere Preise angeboten bekommen als Nutzer anderer Computersysteme. Da ein solches Verhalten auf dem Fingerabdruck des digitalen Systems basieren kann, werden Auswirkungen verschiedener Fingerabdr¨ucke auf die Online-Preisgestaltung aufgezeigt. Schließlich wird der Bezug des Themas Fingerprinting ¨uber digitale Systeme hinaus erweitert und er¨ortert,wie Fingerprinting-Verfahren auch effektiv f¨ur andere Forschungsgebiete eingesetzt werden k¨onnen,etwa