Teie veebibrauseri paroolihaldur aitab reklaamifirmadel teid kogu veebis jälgida

Igas vestluses Interneti-turvalisuse kohta kuulete mõnda asja; üks esimesi oleks paroolihalduri kasutamine. Olen seda öelnud, enamik mu töökaaslasi on seda öelnud ja tõenäoline on sa oled ütles see, aidates samal ajal kellelgi teisel leida viise, kuidas oma andmeid turvaliselt ja usaldusväärselt hoida. See on endiselt hea nõuanne, kuid hiljutine uuring Princetoni ülikooli infotehnoloogiapoliitika keskus leidis, et teie veebibrauseri paroolihaldur, mida võite kasutada oma teabe privaatsena hoidmiseks, aitab ka reklaamifirmadel teid kogu veebis jälgida.

See on igast küljest hirmutav stsenaarium, peamiselt seetõttu, et seda pole lihtne parandada. See, mis toimub, ei ole ühegi mandaadi varastamine - reklaamifirma ei taha teie kasutajanime ja parooli - vaid paroolihalduri käitumist kasutatakse väga lihtsalt. Reklaamifirma paigutab lehele skripti (kaks nime järgi kutsutakse AdThink ja OnAudience), mis toimib sisselogimisvormina. See pole tõeline sisselogimisvorm, kuna see ei ühenda teid ühegi teenusega, vaid on lihtsalt sisselogimisskript.

Kui teie paroolihaldur näeb sisselogimisvormi, sisestab ta kasutajanime. Testitud brauserid olid: Firefox, Chrome, Internet Explorer, Edge ja Safari. Näiteks Chrome ei sisesta parooli enne, kui kasutaja vormiga suhtleb, kuid sisestab kasutajanime automaatselt. See on hea, sest see on kõik, mida skript soovib või vajab. Teised brauserid käitusid ootuspäraselt samamoodi.

Kui teie kasutajanimi on sisestatud, räsitakse see ja teie brauseri ID unikaalseks identifikaatoriks. Teil pole vaja arvutisse ega telefoni midagi salvestada, sest järgmine kord külastate mõnda saiti sama reklaamiettevõtte abil saate teise skripti, mis toimib sisselogimisvormina ja teie kasutajanimi on taas kord sisenes. Andmeid võrreldakse failis olevaga ja et voilà on teile lisatud unikaalne identifikaator, mida saab (ja kasutatakse) teie veebis jälgimiseks. Ja see töötab, sest see on oodatud ja "usaldusväärne" käitumine. Lisaks teie Interneti-harjumuste tegevuskavale sisaldab see UUID-i manustatud teave ka brauseri pistikprogramme, MIME tüübid, ekraani mõõtmed, keel, ajavööndi teave, kasutajaagendi string, operatsioonisüsteemi teave ja protsessor teavet.

Heuristika komplekt, mida kasutatakse automaatse sisselogimisvormi määramiseks, varieerub brauseriti, kuid põhinõue on see, et kasutajanime ja parooli väli oleks saadaval

See töötab tänu sellele, mida nimetatakse Sama päritolupoliitika. Kui esitatakse sisu kahest erinevast allikast, ei saa seda usaldada, kuid kui allikale usaldatakse kogu sisu ka praegune seanss on usaldusväärne (usaldus selles mõttes tähendab, et vaatate sihikindlalt või suhtlete sellega sisu). Olete suunanud oma brauseri veebilehele ja suhelnud sellel lehel oleva sisselogimisvormiga, nii et seda kõike peetakse lehel olles usaldusväärseks. Sel juhul oli skript siiski manustatud lehele, kuid pärineb tegelikult teisest allikast ja seda ei tohiks usaldada enne, kui olete oma kavatsuste näitamiseks klõpsanud või mingil viisil suhelnud seal.

Kui solvavad lehe elemendid olid manustatud iframe'i või mõnda muudesse meetoditesse, mis vastavad allikale ja andmete sihtpunkt, siis selle ekspluateerimise automaatsus (ja jah, ma nimetan seda ekspluateerimiseks) ei oleks töö.

Nimekiri teadaolevatest saitidest, mis kinnitavad skripte, mis kuritarvitavad sisselogimishaldurit jälgimiseks

On väga hea võimalus, et seda käitumist kasutavaid reklaamiteenuseid kasutavad veebikirjastajad ei tea, mis nende kasutajatega toimub. Kuigi see ei vabasta neid vastutusest, kasutatakse andmete kogumiseks lõpuks nende toodet kasutajate teadmata ja see peaks muutma iga saidi administraatori (ja võib-olla ka väga) irateerima). Kasutajana pole meil muud teha, kui järgida samu inkognito režiimis sirvimise tavasid, mida kasutatakse siis, kui soovime veebis veidi privaatsemaks jääda. See tähendab kõigi skriptide blokeerimist, kõigi reklaamide blokeerimist, andmete salvestamist, küpsiste aktsepteerimist ja iga veebiseansi käsitlemist põhimõtteliselt oma liivakastina.

Ainus tõeline lahendus on muuta paroolihaldurite tööd brauseri kaudu - nii sisseehitatud tööriistu kui laiendusi või muid pistikprogramme. Arvind Narayanan, üks projekti kallal töötanud professoreid, ütleb selle lühidalt:

Seda pole lihtne parandada, kuid see on seda väärt

Google, Microsoft, Apple ja Mozilla kujundasid kõik veebi selliseks, nagu see praegu on, ja nad suudavad asju uute probleemide lahendamiseks muuta. Loodetavasti on see muudatuste loendis.

Jerry Hildenbrand

Jerry on Mobile Nationi elanike nohik ja uhke selle üle. Pole midagi, mida ta ei saaks lahti võtta, kuid paljusid asju ei saa ta uuesti kokku panna. Leiate ta kogu mobiilsete riikide võrgustikust ja saate tabas teda Twitteris kui tahad öelda hei.