Jak webové sledovače využívají správce hesel

Vyzkoušejte Náš Nástroj Pro Odstranění Problémů

Většina webových prohlížečů přichází s vestavěným správcem hesel, základním nástrojem pro ukládání přihlašovacích údajů do databáze a vyplňování formulářů a / nebo přihlašování na weby automaticky pomocí informací, které jsou v databázi.

Uživatelé, kteří chtějí více funkcí, se spoléhají na správce hesel třetích stran, jako jsou LastPass, KeePass nebo Dashlane. Tito správci hesel přidávají funkce a mohou se instalovat jako rozšíření prohlížeče nebo programy pro počítače.

Výzkum z Zásady pro informační technologie společnosti Princeton naznačují, že nově objevené webové sledovače využívají ke sledování uživatelů správce hesel.

Sledovací skripty využívají slabost ve správcích hesel. Podle vědců se děje následující:

  1. Uživatel navštíví web, zaregistruje účet a uloží data do správce hesel.
  2. Sledovací skript se spouští na webech třetích stran. Když uživatel navštíví web, jsou na něj neviditelně vloženy přihlašovací formuláře.
  3. Správce hesel v prohlížeči vyplní data, pokud ve správci hesel nalezne odpovídající web.
  4. Skript detekuje uživatelské jméno, hashe a odešle jej na servery třetích stran ke sledování uživatele.

Následující grafické znázornění vizualizuje pracovní postup.

password manager web tracker exploit

Vědci analyzovali dva různé skripty určené k využití správců hesel k získání identifikovatelných informací o uživatelích. Dva skripty, AdThink a OnAudience, vkládají do webových stránek neviditelné přihlašovací formuláře k načtení dat uživatelského jména, která je vrácena správcem hesel v prohlížeči.

Skript vypočítá hash a odešle tyto hash na servery třetích stran. Hash se používá ke sledování uživatelů napříč weby bez použití cookies nebo jiných forem sledování uživatelů.

Sledování uživatelů je jedním ze svatých grálů online reklamy. Společnosti používají data k vytvoření uživatelských profilů, které zaznamenávají zájmy uživatelů na základě řady faktorů, například na základě navštívených webů - sport, zábava, politika, věda - nebo odkud se uživatel připojuje k internetu.

Skripty, které vědci analyzovali, se zaměřují na uživatelské jméno. Nic nebrání ostatním skriptům v tahání dat o heslech, ale něco, co škodlivé skripty vyzkoušely již v minulosti.

Vědci analyzovali 50 000 webových stránek a na žádném z nich nenašli žádné stopy po dumpingu hesla. Sledovací skripty však našli na 1100 z 1 miliónu největších webových stránek Alexa.

Používají se následující skripty:

  • AdThink: https://static.audienceinsights.net/t.js
  • OnAudience: http://api.behavioralengine.com/scripts/be-init.js

AdThink

opt-out tracking

Adthink skript obsahuje velmi podrobné kategorie pro osobní, finanční, fyzické rysy, stejně jako záměry, zájmy a demografie.

Vědci popisují funkčnost skriptu následujícím způsobem:

  1. Skript přečte e-mailovou adresu a odešle hash MD5, SHA1 a SHA256 na secure.audiencesights.net.
  2. Další požadavek odešle hash MD5 e-mailové adresy zprostředkovateli dat Acxiom (p-eu.acxiom-online.com)

Uživatelé internetu mohou zkontrolovat stav sledování a odhlásit se ze shromažďování údajů tato stránka .

OnAudience

Skript OnAudience je „nejčastěji přítomný na polských webech“.

  1. Skript vypočítá hash e-mailových adres MD5 a také další data prohlížeče běžně používaná pro otisky prstů (typy MIME, pluginy, rozměry obrazovky, jazyk, informace o časovém pásmu, řetězec agenta uživatele, informace o OS a CPU).
  2. Na základě dat se vygeneruje další hash.

Ochrana před webovým sledováním přihlašovacího formuláře

Uživatelé mohou nainstalovat blokátory obsahu, aby blokovali požadavky do výše uvedených domén. EasyPrivacy seznam to již dělá, ale je snadné snadno přidat adresy URL do černé listiny ručně.

Další obranou je zakázání automatického doplňování přihlašovacích údajů. Uživatelé Firefoxu mohou nastavit preference na: config? Filter = signon.autofillForms na false, aby se zakázalo automatické vyplňování.

Závěrečná slova

Je průmysl vydavatelství reklamy házet svůj vlastní hrob? Invazivní sledovací skripty jsou dalším důvodem, proč uživatelé instalují blokování reklam a obsahu do webových prohlížečů.

Ano, na tomto webu jsou také reklamy. Přál bych si, aby existovala další možnost provozovat nezávislý web nebo společnost, která by nabídla nativní reklamní řešení, která běží pouze na serveru, na kterém je web spuštěn, a nevyžadují připojení třetích stran ani nepoužívají sledování.

Můžete nás podpořit Patreone , PayPal , nebo zanecháním komentáře / šíření slova na internetu.