आपके वेब ब्राउज़र का पासवर्ड मैनेजर विज्ञापन कंपनियों को पूरे वेब पर आपको ट्रैक करने में मदद कर रहा है

इंटरनेट सुरक्षा के बारे में हर बातचीत में कुछ बातें आप सुनेंगे; पहले वाले में से एक पासवर्ड मैनेजर का उपयोग करना होगा। मैंने इसे कहा है, मेरे अधिकांश सहकर्मियों ने कहा है, और संभावना है आपने किसी और को अपने डेटा को सुरक्षित और मजबूत रखने के तरीकों को सुलझाने में मदद करते हुए यह कहा। यह अभी भी अच्छी सलाह है, लेकिन हाल ही के एक अध्ययन से प्रिंसटन विश्वविद्यालय का सूचना प्रौद्योगिकी नीति केंद्र ने पाया है कि आपके वेब ब्राउज़र में पासवर्ड मैनेजर जो आप अपनी जानकारी को निजी रखने के लिए उपयोग कर सकते हैं वह विज्ञापन कंपनियों को पूरे वेब पर आपको ट्रैक करने में मदद कर रहा है।

यह सभी तरफ से एक भयावह परिदृश्य है, ज्यादातर इसलिए कि इसे ठीक करना आसान नहीं है। जो कुछ भी हो रहा है वह किसी भी क्रेडेंशियल्स की चोरी नहीं है - एक विज्ञापन कंपनी आपके उपयोगकर्ता नाम और पासवर्ड नहीं चाहती है - लेकिन एक पासवर्ड प्रबंधक द्वारा उपयोग किए जाने वाले व्यवहार का बहुत ही सरल तरीके से शोषण किया जा रहा है। एक विज्ञापन कंपनी एक पृष्ठ पर एक स्क्रिप्ट डालती है (दो नाम से पुकारे जाते हैं AdThink और OnAudience) जो एक लॉगिन फ़ॉर्म के रूप में कार्य करती है। यह एक वास्तविक लॉगिन फ़ॉर्म नहीं है, क्योंकि यह आपको किसी भी सेवा से जोड़ने वाला नहीं है, यह एक लॉगिन स्क्रिप्ट "बस" है।

जब आपका पासवर्ड प्रबंधक एक लॉगिन फ़ॉर्म देखता है, तो यह एक उपयोगकर्ता नाम दर्ज करता है। ब्राउज़रों का परीक्षण किया गया: फ़ायरफ़ॉक्स, क्रोम, इंटरनेट एक्सप्लोरर, एज और सफारी। उदाहरण के लिए, जब तक उपयोगकर्ता प्रपत्र के साथ इंटरैक्ट नहीं करता है, क्रोम पासवर्ड दर्ज नहीं करेगा, लेकिन यह स्वचालित रूप से उपयोगकर्ता नाम दर्ज करता है। यह ठीक है क्योंकि वह सब स्क्रिप्ट चाहता है या जरूरत है। अन्य ब्राउज़रों ने वैसा ही व्यवहार किया, जैसा कि अपेक्षित था।

एक बार आपका उपयोगकर्ता नाम दर्ज हो जाने के बाद, यह और आपकी ब्राउज़र आईडी एक विशिष्ट पहचानकर्ता में दर्ज हो जाती है। अगली बार जब आप किसी साइट पर जाते हैं तो आपको अपने कंप्यूटर या फोन पर कुछ भी सहेजने की आवश्यकता नहीं है उसी विज्ञापन कंपनी का उपयोग करके आपको एक और स्क्रिप्ट एक्टिंग मिलती है जो एक लॉगिन फ़ॉर्म के रूप में है और आपका उपयोगकर्ता नाम एक बार फिर है घुसा। डेटा की तुलना फ़ाइल पर है, और एट वॉयल एक अद्वितीय पहचानकर्ता आपके साथ जुड़ा हुआ है और आपको पूरे वेब पर ट्रैक करने के लिए उपयोग किया जा सकता है (और किया जा रहा है)। और यह काम करता है क्योंकि यह अपेक्षित और "विश्वसनीय" व्यवहार है। आपकी इंटरनेट आदतों के रोडमैप के अलावा, इस UUID में संलग्न होने वाले डेटा में ब्राउज़र प्लग इन भी शामिल हैं, MIME प्रकार, स्क्रीन आयाम, भाषा, समयक्षेत्र जानकारी, उपयोगकर्ता एजेंट स्ट्रिंग, OS जानकारी और CPU जानकारी।

यह निर्धारित करने के लिए उपयोग किए जाने वाले उत्तराधिकार का सेट कि कौन से लॉगिन फ़ॉर्म स्वत: पूर्ण होंगे ब्राउज़र द्वारा भिन्न होते हैं, लेकिन मूल आवश्यकता यह है कि उपयोगकर्ता नाम और पासवर्ड फ़ील्ड उपलब्ध हो

यह काम करता है के कारण के रूप में जाना जाता है एक ही मूल नीति. जब दो अलग-अलग स्रोतों से सामग्री प्रस्तुत की जाती है तो उस पर भरोसा नहीं किया जाता है, लेकिन एक बार स्रोत पर भरोसा करने के लिए सभी सामग्री होती है वर्तमान सत्र भी विश्वसनीय है (इस अर्थ में विश्वास का अर्थ है कि आप उद्देश्यपूर्ण रूप से देख रहे हैं या उसके साथ बातचीत कर रहे हैं सामग्री)। आपने अपने ब्राउज़र को एक वेबपृष्ठ पर निर्देशित किया है और उस पृष्ठ पर एक लॉगिन फ़ॉर्म के साथ बातचीत की है, इसलिए जब आप पृष्ठ पर होते हैं, तो यह सब विश्वसनीय माना जाता है। इस मामले में, हालांकि, स्क्रिप्ट को एक पृष्ठ में एम्बेड किया गया था, लेकिन वास्तव में एक अलग स्रोत से है और तब तक भरोसा नहीं किया जाना चाहिए जब तक कि आप क्लिक नहीं करते हैं या किसी तरह से बातचीत नहीं करते हैं, ताकि आप अपना इरादा दिखा सकें वहाँ।

यदि आपत्तिजनक पृष्ठ तत्वों को iframe या किसी अन्य विधि में एम्बेड किया गया है जो स्रोत और से मेल खाता है डेटा का गंतव्य, इस कारनामे का स्वचालित-नेस (और हां, मैं इसे शोषण कहूंगा) नहीं होगा काम।

ट्रैकिंग के लिए लॉगिन प्रबंधक का दुरुपयोग करने वाली स्क्रिप्ट एम्बेड करने वाली ज्ञात साइटों की एक सूची

इस बात का बहुत अच्छा मौका है कि इस व्यवहार का फायदा उठाने वाली विज्ञापन सेवाओं का उपयोग करने वाले वेब प्रकाशकों को इस बात का अंदाजा नहीं है कि उनके उपयोगकर्ताओं के साथ क्या हो रहा है। हालांकि यह उन्हें जिम्मेदारी से मुक्त नहीं करता है, लेकिन यह अंततः उनके उत्पाद का उपयोग डेटा की कटाई के लिए किया जाता है अपने ज्ञान के बिना उपयोगकर्ताओं से, और कहा कि हर साइट व्यवस्थापक (और संभवतः बहुत चिंतित होना चाहिए क्रुद्ध)। एक उपयोगकर्ता के रूप में, बहुत कुछ हम उसी "गुप्त" वेब ब्राउज़िंग प्रथाओं का पालन करने के अलावा नहीं कर सकते हैं जब हम वेब पर कुछ अधिक निजी रहना चाहते हैं। इसका मतलब है कि सभी स्क्रिप्ट्स को ब्लॉक करना, सभी विज्ञापनों को ब्लॉक करना, कोई डेटा नहीं बचाना, कोई कुकीज़ स्वीकार नहीं करना और मूल रूप से प्रत्येक वेब सत्र को अपना सैंडबॉक्स मानना।

ब्राउज़र के माध्यम से पासवर्ड प्रबंधकों के काम करने के तरीके को बदलने के लिए एकमात्र सही समाधान है - दोनों अंतर्निहित टूल और एक्सटेंशन या अन्य प्लगइन्स। प्रोजेक्ट पर काम करने वाले प्रोफेसरों में से एक अरविंद नारायणन इसे पूरी तरह से कहते हैं:

इसे ठीक करना आसान नहीं होगा, लेकिन यह करने लायक है

Google, Microsoft, Apple, और मोज़िला सभी ने वेब को आकार दिया है जो आज है, और वे नए मुद्दों को पूरा करने के लिए चीजों को बदलने में सक्षम हैं। उम्मीद है, यह बदलाव की छोटी सूची पर है।

जेरी हिल्डेनब्रांड

जेरी मोबाइल नेशन का निवासी है और उस पर गर्व करता है। ऐसा कुछ भी नहीं है जिसे वह अलग नहीं कर सकते, लेकिन कई चीजें जो उन्हें आश्वस्त नहीं कर सकती हैं। आप उसे मोबाइल राष्ट्र नेटवर्क में पा सकते हैं और आप कर सकते हैं उसे ट्विटर पर मारा अगर आप कहना चाहते हैं अरे