211service.com
Wired.com en Huffington plaatsen in lijst met privacyschendende websites
NAAR nieuw papier (pdf) van onderzoekers van de Universiteit van Californië, San Diego, onthult dat een aanzienlijk deel van de 50.000 meest bezochte sites op internet zich bezighoudt met een bepaald niveau van gedragsvolging. Bovendien, en nog verontrustender, onderzoeken enkelen de geschiedenis van uw browser om te bepalen welke andere sites u bezoekt, gebruikmakend van een beveiligingslek dat al tien jaar bekend is.
Hoe het web eruitziet vanuit het perspectief van een javascript-gedragsonderzoekende browser die speciaal voor dit experiment is gebouwd.
Niet alle overtredingen die door hoofdauteur Dongseok Jan zijn ontdekt, zijn even ingrijpend. Minder aanstootgevend zijn sites zoals Wired, Technorati, Answerbag en Perez Hilton, die de analyseservice Tynt.com gebruiken om bijvoorbeeld bij te houden welke inhoud gebruikers kopiëren en plakken van hun websites, een proces dat gedragssnuiven wordt genoemd. Zorgwekkender is gedrag dat bekend staat als geschiedenissnuiven, waarbij een site javascript gebruikt om een browser te vragen welke sites zijn gebruikers eerder hebben bezocht. De lijst van Jan bevat 46 websites die zich met dit gedrag bezighouden.
Youporn.com, dat bepaalt of een gebruiker de websites van zijn concurrenten heeft bezocht, ging zelfs zo ver om een primitieve vorm van cryptografie te gebruiken om de URL's van de sites waar het naar vraagt te verbergen.
Geschiedenis snuiven werkt omdat browsers de kleur veranderen van links die een gebruiker al heeft bezocht: het javascript dat op deze sites wordt gebruikt, zoekt eenvoudig naar die specifieke links om te zien of hun kleur is gewijzigd. De exploit werkt niet in Google's Chrome of Apple's Safari-browsers, en een oplossing voor Firefox is beschikbaar in de nieuwste versie . Internet Explorer blijft echter kwetsbaar voor deze exploit.
De onderzoekers kozen de Huffington Post uit voor speciale schande:
Verdachte website Bij het onderzoeken van verschillende sites die gebeurtenishandlers hebben geïnstalleerd, hebben we ook vastgesteld dat de site huffingtonpost.com verdacht gedrag vertoont. In het bijzonder heeft elk artikel op de voorpagina van de site een on-mouse-over event handler. Deze handlers verzamelen in een globale datastructuur informatie over welke artikelen de muis passeert. Ondanks dat de informatie nooit over het netwerk wordt verzonden, beschouwen we deze zaak toch als verdacht omdat niet alleen de infrastructuur aanwezig is, maar de informatie in feite lokaal wordt verzameld.
Morningstar.com heeft gemeld dat het geen idee had dat het deze informatie verzamelde, die lijkt te zijn verzameld door een advertentienetwerk, Interclick genaamd, met banners op zijn site. Interclick beweert dat de geschiedenis waarin het betrokken was, gewoon een poging was om kwaliteitscontrolegegevens te verzamelen om de geanonimiseerde gegevens te verifiëren die het uit andere bronnen haalt. Met deze gegevens kan het gebruikers segmenteren op type, bijvoorbeeld autoliefhebber, technologiekoper, juggalo, enz.
Voor meer informatie over deze ontdekking, inclusief de aangepaste webbrowser die de onderzoekers hebben gebouwd om het javascript van duizenden websites te onderzoeken, bekijk de UCSD persbericht en de origineel papier (pdf).
Dit bericht is schatplichtig aan de buitengewoon goede (en grondige) technologierapportage van De Kasjmir-heuvel van Forbes.com .