Hogyan használják az internetes nyomkövetők a jelszókezelőket?

A legtöbb böngésző beépített jelszókezelővel rendelkezik, amely egy alapvető eszköz a bejelentkezési adatok adatbázisba mentéséhez, az űrlapok kitöltéséhez és / vagy a webhelyekre történő automatikus bejelentkezéshez az adatbázisban található információk felhasználásával.

A több funkcionalitást igénylő felhasználók a harmadik fél jelszókezelőire támaszkodhatnak, mint például a LastPass, a KeePass vagy a Dashlane. Ezek a jelszókezelők hozzáadják a funkcionalitást, és telepíthetők böngésző kiterjesztésként vagy asztali programként.



Kutatás a Princeton Informatikai Politikai Központjából azt sugallják, hogy az újonnan felfedezett internetes nyomkövetők jelszókezelőket használnak fel a felhasználók nyomon követése érdekében.

A nyomkövető szkriptek kihasználják a jelszókezelők gyengeségét. A kutatók szerint mi történik:

  1. A felhasználó meglátogat egy webhelyet, regisztrál egy fiókot, és elmenti az adatokat a jelszókezelőbe.
  2. A nyomkövetési szkript harmadik fél webhelyein fut. Amikor egy felhasználó meglátogatja a webhelyet, a bejelentkezési űrlapokat láthatatlanul injektálják a webhelyre.
  3. A böngésző jelszókezelője kitölti az adatokat, ha a jelszókezelőben megtalálható egy megfelelő webhely.
  4. A szkript felismeri a felhasználónevet, kivágja és továbbítja harmadik fél szervereire a felhasználó nyomon követése érdekében.

A következő grafikus ábrázolja a munkafolyamatot.

password manager web tracker exploit

A kutatók két különféle szkriptet elemeztek, amelyek célja a jelszókezelők kiaknázása, hogy a felhasználókról azonosítható információkat szerezzenek. A két szkript, az AdThink és az OnAudience, láthatatlan bejelentkezési űrlapokat fecskendez be a weboldalakba, hogy beolvassa a felhasználónevet, amelyet a böngésző jelszókezelője ad vissza.



A szkript kiszámítja a kivonatot, és elküldi ezeket a kivonatokat harmadik fél szervereinek. A hash a webhelyek felhasználói nyomon követésére szolgál, sütik vagy más felhasználói követés nélkül.

A felhasználói követés az online hirdetés egyik szent kerete. A vállalatok az adatok felhasználásával olyan felhasználói profilokat hoznak létre, amelyek számos tényező alapján rögzítik a felhasználói érdekeket, például a meglátogatott webhelyek alapján - Sport, Szórakozás, Politika, Tudomány - vagy ahonnan a felhasználó csatlakozik az internethez.

A kutatók által elemzett szkriptek a felhasználónévre koncentrálnak. Semmi sem akadályozza meg a többi szkriptet abban, hogy meghúzza a jelszóadatokat, és ezt a rosszindulatú szkriptek már korábban kipróbálták.

A kutatók 50 000 webhelyet elemeztek, és egyikükön sem találtak nyomot a jelszó dömpingjéről. A követő szkripteket azonban az első 1 millió Alexa webhely 1100 oldalán találták meg.

A következő szkriptek kerülnek felhasználásra:

  • AdThink: https://static.audienceinsights.net/t.js
  • OnAudience: http://api.behavioralengine.com/scripts/be-init.js

AdThink

opt-out tracking

Az Adthink forgatókönyv nagyon részletes kategóriákat tartalmaz a személyes, pénzügyi, fizikai tulajdonságokra, valamint a szándékok, érdekek és demográfia szempontjából.



A kutatók a szkript funkcionalitását az alábbiak szerint írják le:

  1. A szkript elolvassa az e-mail címet, és MD5, SHA1 és SHA256 kivonatokat küld a secure.audiencesights.net webhelyre.
  2. Egy másik kérés elküldi az e-mail cím MD5 kivonatát az Acxiom adatközvetítőnek (p-eu.acxiom-online.com).

Az Internet-felhasználók ellenőrizhetik a nyomon követés állapotát és lemondhatnak az adatok gyűjtéséről ez az oldal.

OnAudience

Az OnAudience szkript „leggyakrabban jelen a lengyel webhelyeken”.

  1. A szkript kiszámítja az MD5 kivonatot az e-mail címekről, valamint az ujjlenyomatokhoz általánosan használt egyéb böngészőadatokat (MIME típusok, beépülő modulok, képernyő méret, nyelv, időzóna információ, felhasználói ügynök karakterlánc, operációs rendszer és CPU információ).
  2. Az adatok alapján újabb kivonat jön létre.

Védelem a bejelentkezési űrlap követése ellen

A felhasználók telepíthetnek tartalomblokkolókat, hogy blokkolják a fentebb említett tartományokra vonatkozó kérelmeket. A EasyPrivacy A lista már ezt megteszi, de elég könnyű az URL-eket manuálisan hozzáadni a feketelistához.

Egy másik védelem a bejelentkezési adatok automatikus kitöltésének letiltása. A Firefox felhasználói beállíthatják a következő beállításokat: config? Filter = signon.autofillForms hamisra az automatikus kitöltés kikapcsolásához.

Záró szavak

A reklámkiadó ipar saját sírját ásja-e le? Az invazív nyomkövetési szkriptek egy újabb ok arra, hogy a felhasználók telepítsék a hirdetés- és tartalomblokkolókat a böngészőkbe.

Igen, ezen a weboldalon is vannak hirdetések. Bárcsak lenne egy másik lehetőség egy független webhely üzemeltetésére, vagy egy olyan társaság számára, amely natív hirdetési megoldásokat kínálna, amelyek csak azon a szerveren futnak, amelyen a webhely működik, és nem igényelnek harmadik féltől származó kapcsolatokat vagy nyomon követést.

Támogatsz bennünket Patreon, PayPal, vagy megjegyzés hagyásával / a szó terjesztésével az interneten.