Hvordan websporere utnytter passordbehandlere

Prøv Instrumentet Vårt For Å Eliminere Problemer

De fleste nettlesere har en innebygd passordbehandling, et grunnleggende verktøy for å lagre innloggingsdata i en database og fylle ut skjemaer og / eller logge på nettsteder automatisk ved å bruke informasjonen som er i databasen.

Brukere som ønsker mer funksjonalitet, er avhengige av tredjeparts passordbehandlere som LastPass, KeePass eller Dashlane. Disse passordadministratorene legger til funksjonalitet, og kan installere som nettleserutvidelser eller desktop-programmer.

Forskning fra Princetons Center for Information Technology Policy antyder at nyoppdagede websporere utnytter passordbehandlere for å spore brukere.

Sporingsskriptene utnytter en svakhet hos passordbehandlere. Det som skjer er ifølge forskerne:

  1. En bruker besøker et nettsted, registrerer en konto og lagrer dataene i passordbehandleren.
  2. Sporingsskriptet kjøres på tredjeparts nettsteder. Når en bruker besøker nettstedet, injiseres påloggingsskjemaer usynlig på nettstedet.
  3. Nettleserens passordbehandling vil fylle ut dataene hvis et matchende nettsted finnes i passordbehandleren.
  4. Skriptet oppdager brukernavnet, hasjer det og sender det til tredjepartsservere for å spore brukeren.

Følgende grafiske fremstilling visualiserer arbeidsflyten.

password manager web tracker exploit

Forskerne analyserte to forskjellige skript designet for å utnytte passordbehandlere for å få identifiserbar informasjon om brukere. De to skriptene, AdThink og OnAudience, injiserer usynlige påloggingsformer på websider for å hente brukernavndata som returneres av nettleserens passordbehandling.

Skriptet beregner hasjer og sender disse hasjene til tredjepartsservere. Hashet brukes til å spore brukere på tvers av nettsteder uten bruk av informasjonskapsler eller andre former for brukersporing.

Brukersporing er en av de hellige grilene ved online annonsering. Bedrifter bruker dataene til å lage brukerprofiler som registrerer brukerinteresser basert på en rekke faktorer, for eksempel basert på nettstedene som besøkes - Sport, underholdning, politikk, vitenskap - eller hvor en bruker kobler seg til Internett.

Skriptene som forskerne analyserte fokuserer på brukernavnet. Ingenting hindrer også andre skript i å trekke passorddata, noe som ondsinnede skript allerede har prøvd tidligere.

Forskerne analyserte 50 000 nettsteder, og fant ingen spor etter dumping av passord på noen av dem. De fant sporingsskriptene på 1100 av de beste 1 million Alexa-nettstedene.

Følgende skript brukes:

  • AdThink: https://static.audienceinsights.net/t.js
  • OnAudience: http://api.behavioralengine.com/scripts/be-init.js

AdThink

opt-out tracking

Adthink-skriptet inneholder veldig detaljerte kategorier for personlige, økonomiske, fysiske egenskaper, så vel som hensikter, interesser og demografi.

Forskerne beskriver funksjonen til manuset på følgende måte:

  1. Skriptet leser e-postadressen og sender MD5, SHA1 og SHA256 hashes til secure.audiencesights.net.
  2. En annen forespørsel sender MD5-hash av e-postadressen til datamegleren Acxiom (p-eu.acxiom-online.com)

Internett-brukere kan sjekke statusen for sporing og velge bort innsamling av data på denne siden .

OnAudience

OnAudience-skriptet er 'oftest til stede på polske nettsteder'.

  1. Skriptet beregner MD5-hash av e-postadresser, og også andre nettleserdata som vanligvis brukes for fingeravtrykk (MIME-typer, plugins, skjermdimensjoner, språk, informasjon om tidssone, brukeragentstreng, OS og CPU-informasjon).
  2. En annen hasj genereres basert på dataene.

Beskyttelse mot påloggingsskjema websporing

Brukere kan installere innholdsblokkere for å blokkere forespørsler til domenene som er nevnt over. De EasyPrivacy listen gjør det allerede, men det er enkelt nok å legge til URL-ene til svartelisten manuelt.

Et annet forsvar er deaktivering av automatisk utfylling av innloggingsdata. Firefox-brukere kan angi preferansen for: config? Filter = signon.autofillForms til falsk for å deaktivere autofylling.

Lukkende ord

Måker publiseringsbransjen sin egen grav? Invasive sporingsskript er nok en grunn til at brukerne installerer annonse- og innholdsblokkering i nettlesere.

Ja, dette nettstedet har også annonser. Jeg skulle ønske det var et annet alternativ å drive et uavhengig nettsted, eller et selskap som ville tilby native reklameløsninger som bare kjøres på serveren et nettsted kjører på, og som ikke krever tredjepartsforbindelser eller bruker sporing.

Du kan støtte oss gjennom Patreon , PayPal , eller ved å legge igjen en kommentar / spre ordet på Internett.