Większość przeglądarek internetowych ma wbudowany menedżer haseł, podstawowe narzędzie do zapisywania danych logowania do bazy danych oraz wypełniania formularzy i / lub logowania się na stronach automatycznie przy użyciu informacji znajdujących się w bazie danych.
Użytkownicy, którzy chcą większej funkcjonalności, polegają na zewnętrznych menedżerach haseł, takich jak LastPass, KeePass lub Dashlane. Te menedżery haseł dodają funkcjonalność i mogą być instalowane jako rozszerzenia przeglądarki lub programy komputerowe.
Badania przeprowadzone przez Princeton’s Center for Information Technology Policy sugerują, że nowo odkryte urządzenia śledzące wykorzystują menedżerów haseł do śledzenia użytkowników.
Skrypty śledzące wykorzystują słabość menedżerów haseł. Zdaniem naukowców dzieje się, co następuje:
- Użytkownik odwiedza witrynę internetową, rejestruje konto i zapisuje dane w menedżerze haseł.
- Skrypt śledzenia działa w witrynach stron trzecich. Gdy użytkownik odwiedza witrynę, formularze logowania są wstrzykiwane w witrynie niewidocznie.
- Menedżer haseł przeglądarki wypełni dane, jeśli w menedżerze haseł zostanie znaleziona pasująca witryna.
- Skrypt wykrywa nazwę użytkownika, haszy ją i wysyła na serwery innych firm w celu śledzenia użytkownika.
Poniższa reprezentacja graficzna przedstawia przepływ pracy.
Naukowcy przeanalizowali dwa różne skrypty zaprojektowane do wykorzystania menedżerów haseł w celu uzyskania możliwych do zidentyfikowania informacji o użytkownikach. Dwa skrypty, AdThink i OnAudience, wstrzykują niewidoczne formularze logowania na stronach internetowych, aby odzyskać dane nazwy użytkownika zwracane przez menedżera haseł przeglądarki.
Skrypt oblicza skróty i wysyła je na serwery innych firm. Hash służy do śledzenia użytkowników w witrynach bez użycia plików cookie lub innych form śledzenia użytkowników.
Śledzenie użytkowników jest jednym ze świętych graali reklamy internetowej. Firmy wykorzystują te dane do tworzenia profili użytkowników, które rejestrują zainteresowania użytkowników na podstawie wielu czynników, na przykład na podstawie odwiedzanych witryn — Sport, Rozrywka, Polityka, Nauka — lub skąd użytkownik łączy się z Internetem.
Skrypty analizowane przez naukowców koncentrują się na nazwie użytkownika. Nic nie powstrzymuje jednak innych skryptów przed pobieraniem danych haseł, czymś, co złośliwe skrypty próbowały już w przeszłości.
Badacze przeanalizowali 50 000 stron internetowych i nie znaleźli żadnych śladów odrzucania hasła na żadnej z nich. Znaleźli jednak skrypty śledzące w 1100 z 1 miliona najpopularniejszych witryn Alexa.
Używane są następujące skrypty:
- AdThink: https://static.audienceinsights.net/t.js
- OnAudience: http://api.behavioralengine.com/scripts/be-init.js
AdThink
Skrypt Adthink zawiera bardzo szczegółowe kategorie dotyczące cech osobistych, finansowych, fizycznych, a także zamiarów, zainteresowań i danych demograficznych.
Badacze opisują funkcjonalność skryptu w następujący sposób:
- Skrypt odczytuje adres e-mail i wysyła skróty MD5, SHA1 i SHA256 do secure.audiencesights.net.
- Kolejne żądanie wysyła skrót MD5 adresu e-mail do brokera danych Acxiom (p-eu.acxiom-online.com)
Użytkownicy Internetu mogą sprawdzić status śledzenia i zrezygnować z gromadzenia danych na tej stronie.
OnAudience
Skrypt OnAudience jest „najczęściej obecny na polskich stronach”.
- Skrypt oblicza skrót MD5 adresów e-mail, a także inne dane przeglądarki powszechnie używane do pobierania odcisków palców (typy MIME, wtyczki, wymiary ekranu, język, informacje o strefie czasowej, ciąg agenta użytkownika, informacje o systemie operacyjnym i procesorze).
- Kolejny skrót jest generowany na podstawie danych.
Ochrona przed logowaniem ze śledzenia stron internetowych
Użytkownicy mogą instalować programy blokujące zawartość, aby blokować żądania do wyżej wymienionych domen. Lista EasyPrivacy już to robi, ale wystarczy ręcznie dodać adresy URL do czarnej listy.
Kolejną obroną jest wyłączenie automatycznego uzupełniania danych logowania. Użytkownicy przeglądarki Firefox mogą ustawić preferencje dotyczące: config? Filter = signon.autofillForms na false, aby wyłączyć automatyczne wypełnianie.
Słowa końcowe
Czy przemysł wydawniczy reklam odkopuje swój własny grób? Inwazyjne skrypty śledzące to kolejny powód, dla którego użytkownicy instalują blokery reklam i treści w przeglądarkach internetowych.
Tak, ta strona ma również reklamy. Chciałbym, aby istniała inna opcja prowadzenia niezależnej witryny lub firmy, która oferowałaby natywne rozwiązania reklamowe, które działałyby tylko na serwerze, na którym działa strona, i nie wymagało połączeń stron trzecich ani śledzenia.
Możesz nas wesprzeć za pośrednictwem Patreon, PayPal lub poprzez pozostawienie komentarza / rozpowszechnianie informacji w Internecie.
Podsumowanie
Nazwa artykułu
W jaki sposób moduły śledzące wykorzystują menedżery haseł
Opis
Badania przeprowadzone przez Princeton’s Center for Information Technology Policy sugerują, że nowo odkryte urządzenia śledzące wykorzystują menedżerów haseł do śledzenia użytkowników.
