- Регистрация
- 1 Июнь 2014
- Сообщения
- 284
- Реакции
- 262
- Баллы
- 63
Как сайты воруют у вас личные данные.
В этой статье я хочу поговорить о том, что большинство сайтов собирают всю информацию о вас во время пребывания на страницах.
Каждое нажатие клавиатуры, введенные данные и т.д., все это записывается и может быть воспроизведено.
Примерно 500 сайтов из топа Alexa используют так называемые скрипты (session replay scripts). Полный список можно увидеть по этой ссылке. Разрабатывались такие инструменты для лучшего понимания поведения пользователей на страницах сайта. Но их функционал вполне позволяет воспроизвести сессию на сайте и проанализировать каждый клик, переходы и т.д.
Такие методы применяются абсолютно скрытно и вы можете даже не заметить, как все ваши данные попадут в нужные руки. Такие данные могут быть проданы или использованы для целевой атаки. Например, такие скрипты могут легко вытащить номер банковской карты, месяц и год окончания действия карты, а также другую информацию, которая использовалась на странице. Особенно это интересно на сайтах с регистрационных формах и т.д.
Пример работы replay-скрипта
Среди самых навязчивых и антипользовательских replay-скриптов выделяют решения от компаний FullStory, Hotjar, "Яндекс" и Smartlook. Эти компании "мотают на ус" всю информацию, включая ФИО, почту, телефонный номер, номер социального страхования, а также пароли. Также ведется запись последних 4-х цифр банковских карт. Дополнительно можно увидеть на видео, как работает приложения от FullStory. Можно следить за пользователями даже в режиме реального времени.
Работа FullStory
Помимо этого с помощью таких решений владельцы могут их настроить более детально, таким образом можно добавить дополнительные фильтры для получения информации. Следует отметить, что компании "Яндекс", Hotjar и Smartlook используют незащищенный HTTP для передачи данных.
Такую слежку можно заметить на сайтах, microsoft.com, adobe.com или godaddy.com, но и на сайтах, от которых ожидать подобного не приходится. К примеру, walgreens.com уличили в сборе медицинской информации посетителей и даже «записи» данных о рецептах (и последующей передаче этих данных FullStory). Еще один пример, сайт компании Bonobos, которая «сливала» полные номера банковских карт посетителей, тоже в пользу FullStory.
Как можно защититься от отслеживания?
Для этого воспользуемся утилитой Ghostery. Она устанавливается в качестве утилиты в браузер Chrome или FireFox.
Ghostery
Ghostery отслеживает «невидимую» сторону интернета, где работают шпионы, сетевые жучки, пиксели и маяки, размещенные на сайтах рекламными сетями, поставщиками поведенческой информации, владельцами сайтов и различными компаниями, которые следят за вашей активностью в интернете. Ghostery распознает веб-жучки более чем 500 подобных компаний, в числе которых Facebook и Google.
Программа обладает очень гибкими настройками и можно открыть панель и посмотреть какие трекеры можно отдельно заблокировать.
В Ghostery выделены основные направления:
Реклама. Аналитика сайта. Взаимодействие с клиентами. Социальные сети. Важное. Аудио/видео проигрыватель. Реклама для взрослых. Комментарии.
Для начала я рекомендую заблокировать все пункты, а дальше адаптироваться и вносить некоторые сайты в белые списки или отключать отдельные группы трекеров, которые необходимы для работы на некоторых сайтах.
Перейдем после настройки на сайт adobe.com. И можно сразу увидеть, как программа заблокировала доступ к некоторым трекерам. Это можно увидеть на скриншоте.
Ghostery
Следует отметить, что можно выбрать режим доверия и тогда программа не будет блокировать и ограничивать доступ. Также можно остановить работу программу. Помимо этого все абсолютно точно отображается и показывается с какой категории было заблокирован конкретный "жучек".
Заключение
С помощью данного софта можно пробежаться по любым вашим сайтам и узнаете, сколько всего о вас собирают. Поэтому данный софт является довольно простым и хорошим решением, которое может обезопасить от отслеживания и получения данных через разные платформы и javascript backdors.
Источник @Kevin Mitnick
В этой статье я хочу поговорить о том, что большинство сайтов собирают всю информацию о вас во время пребывания на страницах.
Каждое нажатие клавиатуры, введенные данные и т.д., все это записывается и может быть воспроизведено.
Примерно 500 сайтов из топа Alexa используют так называемые скрипты (session replay scripts). Полный список можно увидеть по этой ссылке. Разрабатывались такие инструменты для лучшего понимания поведения пользователей на страницах сайта. Но их функционал вполне позволяет воспроизвести сессию на сайте и проанализировать каждый клик, переходы и т.д.
Такие методы применяются абсолютно скрытно и вы можете даже не заметить, как все ваши данные попадут в нужные руки. Такие данные могут быть проданы или использованы для целевой атаки. Например, такие скрипты могут легко вытащить номер банковской карты, месяц и год окончания действия карты, а также другую информацию, которая использовалась на странице. Особенно это интересно на сайтах с регистрационных формах и т.д.
Пример работы replay-скрипта
Среди самых навязчивых и антипользовательских replay-скриптов выделяют решения от компаний FullStory, Hotjar, "Яндекс" и Smartlook. Эти компании "мотают на ус" всю информацию, включая ФИО, почту, телефонный номер, номер социального страхования, а также пароли. Также ведется запись последних 4-х цифр банковских карт. Дополнительно можно увидеть на видео, как работает приложения от FullStory. Можно следить за пользователями даже в режиме реального времени.
Работа FullStory
Помимо этого с помощью таких решений владельцы могут их настроить более детально, таким образом можно добавить дополнительные фильтры для получения информации. Следует отметить, что компании "Яндекс", Hotjar и Smartlook используют незащищенный HTTP для передачи данных.
Такую слежку можно заметить на сайтах, microsoft.com, adobe.com или godaddy.com, но и на сайтах, от которых ожидать подобного не приходится. К примеру, walgreens.com уличили в сборе медицинской информации посетителей и даже «записи» данных о рецептах (и последующей передаче этих данных FullStory). Еще один пример, сайт компании Bonobos, которая «сливала» полные номера банковских карт посетителей, тоже в пользу FullStory.
Как можно защититься от отслеживания?
Для этого воспользуемся утилитой Ghostery. Она устанавливается в качестве утилиты в браузер Chrome или FireFox.
Ghostery
Ghostery отслеживает «невидимую» сторону интернета, где работают шпионы, сетевые жучки, пиксели и маяки, размещенные на сайтах рекламными сетями, поставщиками поведенческой информации, владельцами сайтов и различными компаниями, которые следят за вашей активностью в интернете. Ghostery распознает веб-жучки более чем 500 подобных компаний, в числе которых Facebook и Google.
Программа обладает очень гибкими настройками и можно открыть панель и посмотреть какие трекеры можно отдельно заблокировать.
В Ghostery выделены основные направления:
Реклама. Аналитика сайта. Взаимодействие с клиентами. Социальные сети. Важное. Аудио/видео проигрыватель. Реклама для взрослых. Комментарии.
Для начала я рекомендую заблокировать все пункты, а дальше адаптироваться и вносить некоторые сайты в белые списки или отключать отдельные группы трекеров, которые необходимы для работы на некоторых сайтах.
Перейдем после настройки на сайт adobe.com. И можно сразу увидеть, как программа заблокировала доступ к некоторым трекерам. Это можно увидеть на скриншоте.
Ghostery
Следует отметить, что можно выбрать режим доверия и тогда программа не будет блокировать и ограничивать доступ. Также можно остановить работу программу. Помимо этого все абсолютно точно отображается и показывается с какой категории было заблокирован конкретный "жучек".
Заключение
С помощью данного софта можно пробежаться по любым вашим сайтам и узнаете, сколько всего о вас собирают. Поэтому данный софт является довольно простым и хорошим решением, которое может обезопасить от отслеживания и получения данных через разные платформы и javascript backdors.
Источник @Kevin Mitnick
