Что такое веб маяки и зачем собирают мои данные
За нами следят веб-камеры: как уберечься от чужих глаз
За ними наблюдают. В этом уверены почти 90% россиян. В этом они подозревают спецслужбы, крупные корпорации и мошенников. Особенно люди опасаются слежки через камеры компьютеров и смартфонов.
Специалисты рекомендуют заклеивать камеру на компьютере. От профессионального киберпреступника это, конечно, не спасет, но, как минимум, вам так будет спокойнее.
— Каждый раз, когда начинаю снова работать за компьютером, всегда меняю скотч, чтобы, на всякий случай, он не отклеился.
Этот нехитрый ритуал – первое, что делает житель Сочи Артур Магомедов, как только открывает крышку ноутбука. Уж слишком не хотелось бы молодому человеку оказаться под наблюдением чужих любопытных глаз.
«Когда ты сидишь, вроде бы, сохраняется такая твоя интимная домашняя обстановка, где ты можешь расслабиться, и что за тобой постоянно кто-то наблюдает. Это все равно сковывает немного», – отмечает Артур Магомедов.
Кстати, в том, что Большой брат следит за ними, уверены почти 90% россиян. Причем значительная часть соотечественников считает, что делают это крупные корпорации, чтобы атаковать их таргетированной рекламой. Но эксперты уверяют: ваши хоум-видео, в отличие от разговоров, коммерческим компаниям не слишком интересны.
«Нужно понимать, что функционал камеры намного шире, в том числе смартфоновской камеры, – подчеркивает исполняющий обязанности декана факультета рекламы и связей с общественностью РГГУ Алан Абаев. – И, в первую очередь, важно не видеонаблюдение, а аудионаблюдение. В основном, это работают механизмы, роботы. И они оценивают слова».
Когда следят роботы – это не так страшно. Гораздо хуже, когда за вами наблюдают мошенники. Правда, делать это они будут только при условии, что вы не рядовой гражданин, а, например, звезда шоу-бизнеса. Иначе, уверяет Дмитрий, ради вас никто не будет, что называется, заморачиваться. А словам бывшего хакера, наверное, можно верить.
«Если вы никакая не известная медийная личность, не политик – человек, на которого может быть интересен компромат, вам переживать определенно нечего. За вами, вряд ли, кто-то следит», – утешает сограждан специалист по информационной безопасности, бывший хакер Дмитрий Буравцов.
Но чисто теоретически это все-таки возможно. Чтобы кто-то не наблюдал за вами, на всякий случай наблюдайте сами. Не за другими людьми, конечно, а за своими гаджетами.
«Можно проследить за общими признаками заражения устройства – это странное поведение: зависание, это появление новых файлов, это перезагрузки», – перечисляет признаки, который могут свидетельствовать о пояснение киберугроз замглавы лаборатории компьютерной криминалистики по обучению Анастасия Баринова.
Чтобы не допустить заражения компьютера или телефона вредоносными программами, которые могут получить доступ к камере, специалисты советуют посещать только официальные сайты и пользоваться антивирусом. А, скачивая даже лицензионное приложение, давать ему минимальный доступ к своим ресурсам.
И заклеивать камеру. От профессионального киберпреступника это, конечно, не спасет, но, как минимум, вам так будет спокойнее.
Как рекламодатели используют веб-маяки для отслеживания вас в Интернете и в электронных письмах
За последние несколько лет мы очень хорошо познакомились с такими веб-технологиями, как печально известный файл cookie. На самом деле, куки являются настолько большой частью Интернета, что Европейский Союз заставил все веб-сайты отображать уведомление в соответствии с забавной директивой ЕС о файлах cookie.
Можно подумать, что такая зрелая технология, как куки, будет хорошо понятна, но в эпоху блокировщиков рекламы компании находят хитрые способы избежать игры по правилам.
Файлы cookie являются одним из многих аспектов, составляющих основу интернет-браузера. Они позволяют вам оставаться на веб-сайтах во время сеансов, и они могут хранить настройки для каждого пользователя. Для конфиденциальности, блокировки и очистки куки
это часто предлагаемый совет для минимизации онлайн-отслеживания.
Тем не менее, наряду с появлением «supercookie», в онлайн-игре отслеживания есть еще один игрок: веб-маяки.
Что такое веб-маяки?
Веб-маяки небольшие объекты, которые обычно незаметно встраиваются в веб-страницу. Наиболее распространенной формой веб-маяка является GIF 1 × 1 (не путать с анимированными GIF-файлами, которые вы знаете по мемам). Формат тот же, но GIF-файлы используются в качестве маяков, потому что формат общепризнан в любом современном веб-браузере.
Почему такой маленький графический размер? Потому что он минимизирует размер файла, что минимизирует время, необходимое для его загрузки, что сводит к минимуму влияние, которое он оказывает на скорость загрузки веб-страницы. Таким образом, даже соединения с низкой пропускной способностью и данными могут обрабатывать веб-маяки.
Когда ваш браузер подключается к веб-странице, и веб-страница содержит изображение веб-маяка, ваш браузер отправляет веб-серверу запрос на загрузку этого изображения — и с этим запросом сервер регистрирует определенные данные, такие как ваш IP-адрес, дату и время и многое другое.
Затем владелец сайта может использовать эти журналы для отслеживания того, сколько раз был получен доступ к веб-странице, а также время, когда к ней обращались, и местоположения пользователей, которые обращались к ней. Запрос также может ссылаться на наличие любых файлов cookie, которые ранее были установлены на компьютере веб-сервером.
Веб-маяки также стали полезным инструментом для рекламодателей, которые хотят создать профили просмотра, чтобы определить, какую рекламу показывать на данной веб-странице. Наряду с альтернативными именами, такими как веб-ошибка и тег страницы, веб-маяки также называются очистить гифки или же отслеживание пикселей со ссылкой на вставленный 1 × 1 GIF.
Маяки в электронных письмах
Маяки не ограничиваются только веб-сайтами. Они обычно используются для отслеживания и мониторинга скорости открытия электронной почты, а также кликов по ссылкам. Компания Email-маркетинга MailChimp, прославившаяся настоящим подкастом о преступности Serial, использует Open Tracking, который представляет собой метод вставки маяков в изображения прямо внутри электронных писем.
Когда ваш почтовый клиент пытается загрузить изображение, маяк уведомляет сервер о том, что был получен доступ к уникальному идентификатору, что позволяет серверу пометить эту конкретную электронную почту как открытую. Это важный показатель для маркетологов электронной почты, наряду с которыми нажимаются ссылки.
Маяки также могут быть встроены в ссылки, как правило, в качестве идентификатора реферала в конце URL-адреса. При нажатии на ссылку уникальный идентификатор позволяет MailChimp определять, какие ссылки были открыты и когда.
Маяки в Фейсбуке
В наши дни Facebook не привыкать к конфликтам в сфере конфиденциальности, но так было не всегда. Фактически, их первое серьезное нарушение конфиденциальности было связано с использованием веб-маяков в 2007 году. Facebook Beacon собирал данные от партнеров Beacon о том, какие веб-сайты посещались и какие виды деятельности происходили на этих сайтах.
Однако большая проблема заключалась в том, что Facebook публиковал эту информацию в профилях, не спрашивая пользователей, хотят ли они, чтобы эта информация была опубликована.
Изображение предоставлено: Lewis Tse Pui Lung через Shutterstock
Неудивительно, что люди не были довольны этим, тем более что не было никакого способа заблокировать Facebook от публикации этой информации. Фактически, люди были настолько оскорблены этой новой «функцией», что против Facebook был возбужден коллективный иск, в результате которого было урегулировано 9 миллионов фунтов стерлингов (около 11,2 миллиона долларов США) и был прекращен Facebook Beacon.
Как вы можете остановить эти маяки?
Большинство онлайн-рекламодателей и аналитических компаний стараются соблюдать конфиденциальность пользователей, собирая только неидентифицируемые агрегированные данные. Однако многие защитники конфиденциальности утверждают, что необоснованное и нежелательное отслеживание все еще является инвазивным и должно быть предотвращено.
Несмотря на впечатление о Google как о большой машине наблюдения
старый девиз компании «Не будь злым» во многом определяет их решения. Один из способов, которыми Google пытается защитить своих пользователей, — это приложение Gmail для электронной почты.
Пользователи Gmail были хорошо знакомы с оповещениями в каждом письме, спрашивая, хотите ли вы, чтобы изображения отображались в этих письмах. Это должно было предотвратить загрузку вредоносного контента без ведома или согласия пользователя.
Затем в 2013 году Google внес важное изменение в Gmail: все изображения электронной почты теперь будут загружаться по умолчанию, за исключением того, что эти изображения сначала загружались и кэшировались Google на собственных серверах Google. Это предотвратило загрузку вредоносного контента и ускорило и улучшило работу с электронной почтой.
Но такой подход к отображению изображений в электронных письмах усложняет работу почтовых маяков. Поскольку изображения теперь загружаются Google, издатели теряют информацию о том, кто первоначально открыл электронную почту. Все, что они получают, — это IP-адрес Google. Этот метод также предотвращает чтение маяками любых файлов cookie на вашем компьютере.
Такие расширения, как Privacy Badger от Electronic Frontier Foundation (EFF), могут блокировать некоторые веб-маяки. Они также могут блокировать другие формы онлайн-отслеживания, которые собирают данные о вас в Интернете, но не всегда. К сожалению, веб-маяки спроектированы так, чтобы быть невидимыми и не всегда могут быть уловлены расширениями конфиденциальности.
Стоит ли останавливать эти маяки?
Хотя веб-маяки обычно называют онлайн-трекерами, информация, которую они собирают, не идентифицируется лично.
Например, пиксель Facebook может видеть только те веб-сайты, которые вы посещаете с включенным пикселем. Когда вы посещаете сайт с поддержкой Pixel, они смогут видеть только время и дату вместе с некоторой информацией браузера, а не всю историю посещенных страниц.
Конечно, веб-маяки являются лишь частью более широкой тенденции в онлайн-отслеживании. Между рекламодателями и защитниками конфиденциальности постоянно идет борьба за то, кто контролирует ваши онлайн-данные. Веб-маяки относительно безвредны сами по себе. Только когда их данные объединяются с другой информацией, такой как ваш профиль на Facebook, такая практика становится противоречивой.
Как вы относитесь к веб-маякам? Является ли технология полезной или вы думаете, что это просто еще одна схема заработка рекламодателями? Вы используете веб-или почтовые маяки на своем сайте? Дайте нам знать в комментариях ниже!
Большое Братство: кто следит за нами в Интернете
Интернет-ресурсы вторгаются в частную жизнь пользователей. Мы расскажем об основных методах слежки в Cети
Стоит пользователю поискать в Сети ноутбук или, предположим, скороварку — и рекламные блоки разных сайтов еще долго будут заваливать его предложениями интернет-магазинов. Те, кто не разбирается в подобных вещах, нередко воспринимают это как стечение обстоятельств или даже знак судьбы — в общем, магию в том или ином смысле. Но все гораздо рациональнее: так работает контекстная реклама — есть множество законных методов отслеживания активности людей в Интернете. Сегодня мы расскажем о наиболее распространенных.
Кто за нами следит?
Короткий, но достаточно полный вариант ответа на этот вопрос: все, кто может.
Кто следит за нами в вебе? Все, кто может #web #tracking
За пользователями шпионят практически все популярные ресурсы, но чаще всего это делают рекламные сети: Google Adwords (DoubleClick), Oracle Bluekai, Atlas Solutions (подразделение Facebook), AppNexus и другие. Далее идут разнообразные счетчики и прочие инструменты веб-аналитики.
Социальные сети не отстают от рекламных. Как и популярные видеохостинги (например, YouTube), сервис AddThis, плагин обсуждений Disqus и так далее. При этом не думайте, что те же соцсети могут следить за вами только в своей ленте. Это совсем, совсем не так: сегодня практически на каждом сайте есть кнопки или виджеты наиболее популярных сервисов, через которые и происходит учет всех ваших перемещений по необъятным просторам Интернета.
Слежка за человеком стоит всего пять баксов в час. А оптом и того дешевле: http://t.co/IoNO8BTGmo
Способы слежки
Методов великое множество. Базовые возможности получения данных о пользователе встроены в саму конструкцию веба: ваш браузер добровольно выдает сведения о вашем IP-адресе, версиях используемого программного обеспечения, разрешении дисплея и так далее. В сочетании этот ряд параметров уже представляет собой неплохую основу для дальнейших действий.
Сохраненные при посещении сайта небольшие файлы cookies содержат информацию для аутентификации, ваши предпочтения, часто посещаемые рубрики и так далее. Куки позволяют отслеживать пользователя по уникальному идентификатору и собирать о нем разные данные — это один из самых популярных вариантов.
Как уже было упомянуто выше, весьма мощный и удобный инструмент представляют собой кнопки социальных сетей. Дополнительное преимущество соцсетей в деле слежки состоит в том, что, они помимо всего прочего знают вас по имени и обладают довольно большим объемом дополнительной информации: они знают, что вам нравится в целом, а с помощью кнопок получают данные о том, что вам интересно в данный момент.
Существуют и более экзотические варианты, но эксплуатируются они реже. Например, в плагине Adobe Flash есть система хранения информации на стороне пользователя в виде так называемых локальных объектов, которые можно отслеживать. Компьютер можно идентифицировать даже по содержимому кэша браузера. В общем, различных способов масса.
Что мы теряем из-за слежки?
Мы мало знаем о том, какие данные и в каком объеме собирают компании: сами они об этом никогда не расскажут, а пользовательские соглашения пишутся максимально расплывчато. Остается только догадываться.
При этом следует иметь в виду, что слежка в Сети — вещь не настолько безобидная, как может показаться. Даже если вам по большому счету нечего скрывать от корпораций, на повестке дня всегда будет оставаться очень интересный вопрос: в чьи руки может попасть информация, которую собирают, пусть из сравнительно благих побуждений, интернет-компании?
Нельзя сказать, что эта информация хранится абсолютно надежно, — новости об утечках многих тысяч и миллионов учетных записей того или иного сервиса появляются настолько регулярно, что уже совершенно не воспринимаются как сенсация. Поэтому стоит по возможности ограничивать корпорации в их неуемном желании знать про вас все.
Методы защиты
Единственный действительно эффективный метод — выключить компьютер и спрятать его в сейф, не забыв отправить туда же смартфон, планшет и даже телевизор, если он у вас из особо умных. Прочие способы не дают стопроцентной гарантии, но мы попробуем рассказать о достаточно надежных и простых в реализации вариантах.
Для начала стоит поменять некоторые настройки браузера. Можно включить запрет отслеживания рекламными сетями — тогда браузер будет сообщать интернет-ресурсам о вашем нежелании делиться информацией, передавая им специальный заголовок «Не отслеживать» (Do Not Track).
Этот метод рассчитан на честность следящего, и его эффективность крайне невысока — многие сайты игнорируют DNT. Кроме того, стоит запретить автоматическую установку дополнений, включить блокирование подозрительных сайтов и всплывающих окон, а также обязательную проверку сертификатов SSL.
Еще один важный параметр — блокирование cookies, полученных от сторонних ресурсов (third party cookies), то есть не от просматриваемого вами сайта, а от рекламной сети, разместившей на нем баннер, например. Правда, следует иметь в виду, что с помощью некоторых ухищрений та же рекламная сеть может передать first party cookie, которые никогда не запрещают (в противном случае придется на каждом шагу проходить аутентификацию).
Come to the dark side, we have cookies! © NSA. Оказывается, АНБ использовало куки для отслеживания юзеров: http://t.co/RAoqeCcR4K
В современных браузерах есть функция приватного просмотра в отдельном окне — при закрытии такого окна вся информация о сеансе работы удаляется, что также затрудняет слежку. В этом режиме можно без потери удобства работать со всеми сайтами, на которых не требуется аутентификация.
Неплохой результат дает активация плагинов (Adobe Flash и так далее) только по запросу. Также не вредно будет периодически чистить кэш браузера — при нынешних скоростях в нем в любом случае не так много смысла.
Сказ о том, как наш коллега чистил систему от тонны рекламного мусора и не сошел с ума: http://t.co/9KnOHw64zd pic.twitter.com/Sp40WWN7G8
И конечно же, в обязательном порядке следует отказаться от разнообразных панелей, помощников поиска и прочих надстроек, которые сайты предлагают установить в браузер, — фактически это легальные шпионские программы, которые пользователь скачивает добровольно.
Следи за руками: как понять, когда сайты снимают ваши отпечатки браузера
Исследователи сделали расширение, позволяющее понять, какую информацию сайты собирают для составления отпечатков браузера.
Человека можно с очень высокой точностью идентифицировать по отпечатку пальца — и по отпечатку браузера. И если первой технологией пользуются, например, криминалисты и производители смартфонов, то второй — всевозможные интернет-сервисы. Причем иногда это делается в ваших интересах, а иногда — скорее против.
Юлиан Фиткау (Julian Fietkau) и команда сотрудников Университета бундесвера в Мюнхене разработали плагин для браузера, который позволяет отслеживать, какие сайты собирают ваши отпечатки браузера и как они это делают. Также Юлиан и ко проанализировали 10 тысяч популярных сайтов на предмет того, какую именно информацию они собирают, — и рассказали обо всем этом в своем докладе на Remote Chaos Communication Congress (RC3).
Что такое отпечаток браузера
Отпечатком браузера (browser fingerprint, иногда на русском тоже говорят слово «фингерпринт») обычно называют совокупность данных, которые сайт может получить о вашем компьютере и браузере, запросив эту информацию при загрузке веб-страницы. В отпечаток входят десятки разных параметров — от языка, который вы используете, и временной зоны, в которой находитесь, до списка расширений и версии вашего браузера. Сюда же может входить информация об операционной системе, об объеме оперативной памяти, разрешении экрана устройства, параметрах шрифтов и многом другом.
Различные сайты собирают разное количество этой информации. На ее основе они потом генерируют ваш уникальный идентификатор, по которому будут определять, что это именно вы. При этом отпечаток браузера — это не куки (cookies), хотя их и можно использовать похожим образом. Но если на использование cookies вы должны дать согласие (наверняка вы уже замучились закрывать различные всплывающие уведомления «Наш сайт использует cookies»), то на снятие вашего отпечатка браузера никакого согласия формально вроде как не требуется.
Более того, от снятия отпечатка браузера не спасает и режим «Инкогнито», поскольку почти все параметры браузера и устройства остаются прежними и по ним можно идентифицировать, что вы — это вы.
Как используют отпечатки браузера (и почему это не всегда хорошо)
Отпечатки браузера чаще всего используют в одной из двух целей. Цель первая — убедиться в том, что пользователь тот, за кого себя выдает, не заставляя его совершать дополнительных действий. Это, например, используют банки в своих онлайн-сервисах: если по отпечатку браузера они понимают, что это именно вы совершили транзакцию, то они не будут присылать вам код 3DSecure на телефон, чтобы лишний раз вас не дергать. А если в личный кабинет зашел кто-то с непривычным отпечатком браузера, то банк может прислать вам уведомление. В этом случае отпечатки браузера служат вашему удобству, с одной стороны, и безопасности — с другой, так что их использование вполне оправданно.
Цель вторая — показывать вам таргетированную рекламу. Некий высокопосещаемый сайт может снять ваш отпечаток и передать его рекламной сети. Предположим, на этом сайте вы прочитали гид по выбору утюга. И когда вы зайдете на другой сайт, где размещается эта же рекламная сеть, она поймет, что это вы, и покажет вам рекламу утюгов. По сути, это слежка, причем без спроса, — и можно понять, почему такой вариант использования отпечатков браузера может вам не нравиться.
При этом на самом деле ваши отпечатки собирают и анализируют множество сайтов, в которые встроены компоненты различных рекламных сетей и аналитических сервисов.
Как понять, что сайт снимает ваш отпечаток браузера?
Чтобы получить информацию для составления отпечатка браузера, сайт должен отправить несколько запросов, на которые браузер даст ответы, и совокупность таких ответов в результате и превратится в отпечаток вашего браузера. Эти запросы браузер получает в виде встроенного в веб-страницы кода, написанного на языке JavaScript.
Фиткау и его коллеги проанализировали наиболее популярные библиотеки такого JavaScript-кода, составив в результате список из 115 различных приемов, которые чаще всего используются для работы с отпечатками браузеров. Затем они сделали расширение для браузера под названием FPMON, которое анализирует веб-страницы на предмет использования этих приемов и сообщает пользователю, какие именно данные пытается собрать тот или иной сайт для составления отпечатка браузера.
Если у пользователя установлен FPMON, то при загрузке сайта он увидит уведомление, что этот сайт запросил у браузера такую-то и такую-то информацию. Причем Фиткау и ко разделили типы собираемой информации на две категории: деликатная (sensitive) и агрессивная (aggressive).
К первой категории относится та информация, которую сайт вполне может хотеть знать по легитимным причинам: например, информация о языке браузера нужна, чтобы отобразить сайт на подходящем вам языке, а сведения о временной зоне — чтобы показать вам правильное время. Тем не менее это все еще информация, которая может что-то о вас сказать.
К агрессивной относится информация, которая сайту совершенно ни к чему, она не может быть использована ни для чего, кроме как для составления отпечатка браузера, — например, такая как объем памяти или список плагинов, установленных в браузере.
Насколько агрессивно сайты собирают отпечатки браузеров?
FPMON позволяет обнаруживать запросы на 40 типов различной информации. При этом почти все сайты запрашивают хотя бы какую-то информацию о браузере или устройстве. Вопрос в том, начиная с какого количества стоит считать, что сайт действительно пытается составить отпечаток. То есть если сайт собирает меньше типов информации, чем это количество, то можно особо не беспокоиться, а если больше, это уже значит, что, скорее всего, за вами пытаются следить.
Для оценки этого исследователи воспользовались уже существующими сайтами вроде сделанного EFF проекта Panopticlick (он же Cover Your Tracks), созданного для демонстрации того, как работает снятие отпечатков браузера. Panopticlick требует для своей работы 23 различных параметра и с вероятностью более 90% позволяет с их помощью однозначно идентифицировать пользователя. Фиткау и команда решили принять за некую отметку, что 23 параметра — это как раз то значение, начиная с которого можно считать, что сайт следит за пользователем.
Исследователи прошлись по 10 тысячам самых популярных сайтов (по данным рейтинга Alexa) и посмотрели, как много информации собирает каждый из них. Оказалось, что большая часть сайтов (почти 57%) запрашивает от 7 до 15 параметров, а медианное значение по всей выборке — 11 параметров. Примерно 5% сайтов вообще не собирают ни одного параметра, при этом максимальное количество собираемых параметров — 38 из 40, но из всех 10 тысяч изученных сайтов такое количество собирают только три.
Сайты из этой подборки используют более сотни разных скриптов для сбора этих данных. При этом скриптов, которые собирают много информации из категории «агрессивная», очень мало, зато используются они на очень посещаемых сайтах.
Как защититься от снятия отпечатков
Для того чтобы скрипты на сайте не смогли собрать отпечаток вашего браузера, можно использовать два подхода: либо блокировать их при запуске, либо отдавать им неполную или неправильную информацию. Различные программы для обеспечения приватности используют либо один, либо другой метод. Так, браузер Safari с недавних пор отдает только основную обезличенную информацию, защищая пользователей от слежки при помощи фингерпринтинга.
А, например, Privacy Badger, плагин для защиты приватности, разработанный EFF, пытается блокировать скрипты, хотя и не все. Некоторые данные, которые могут быть использованы при составлении отпечатка и которые запрашивают те или иные скрипты, могут быть нужны для корректного отображения страницы или работы каких-то ее функций. Такие скрипты Privacy Badger не трогает.
Этот же подход мы используем и в нашем расширении для браузера Kaspersky Protection, не позволяя собирать слишком много информации о пользователе и тем самым снимать его отпечаток. Kaspersky Protection входит в состав наших основных защитных решений, нужно просто не забыть его включить.