Informatorzy: Facebook i Xing
Nikogo nie zaskakują już wiadomości, że portale społecznościowe zdradzają wiele informacji o swoich użytkownikach. Ślady pozostawiamy nie tylko na Facebooku, ale również w całej Sieci. Winny temu jest facebookowy przycisk “Lubię to”, na który coraz częściej można natknąć się poza portalem. Za jego pomocą użytkownik może podzielić się ze znajomymi ciekawymi materiałami. Kliknięcie “Lubię to” jest dobrowolne, ale istnieje haczyk – jeśli w jednej karcie przeglądarki otwieramy Facebooka, w drugiej dowolną witrynę z przyciskiem “Lubię to”, portal społecznościowy otrzymuje informację o odwiedzonej przez nas stronie, niezależnie od tego czy wciśniemy przycisk, czy nie. Łatwo można też śledzić aktywność użytkowników biznesowego portalu społecznościowego Xing. Administratorzy serwisów wykorzystują sztuczkę pozwalającą sprawdzić, jakie osoby zalogowane w sieci Xing odwiedziły ich stronę. Wprowadzając w kodzie strony fragment:
<img src=”http://www.xing.com/profile/Jan_Nowak”>
uzyskuje się taki efekt, jakby każda osoba otwierająca daną stronę jednocześnie odwiedzała wskazany profil w portalu Xing. Wówczas właściciel tego profilu może poznać listę osób oglądających go i odczytać z profilu każdej z nich imię, nazwisko, zawód oraz inne informacje.
Ochrona
Zawsze powinniśmy pamiętać o wylogowaniu się ze stron społecznościowych i kont pocztowych. Łatwiej to powiedzieć niż zrobić, bo wielu użytkowników w ogóle nie zwraca uwagi na to, by przy każdym opuszczaniu serwisu społecznościowego rozłączyć się z nim. Użytkownicy Firefoksa mogą sięgnąć po bezpłatne rozszerzenie Prism (https://addons.mozilla.org/pl/firefox/addon/6665) otwierające strony w oddzielnych procesach, takich jak osobne aplikacje działające równolegle do przeglądarki. To nie tylko wygodne, ale również bezpieczne dla naszej prywatności, gdyż każdemu procesowi jest przypisywany inny profil użytkownika przeglądarki. W podobną funkcję jest wyposażony nowy Internet Explorer 9. Instalacja dodatkowych wtyczek nie jest w tym przypadku konieczna, wystarczy przeciągnąć kartę strony na pasek zadań. Użytkownicy Opery 11 mogą skorzystać z prywatnego trybu przeglądania, wybierając polecenie »Menu | Karty i okna | Nowa karta prywatna«.
Lokalizatory: Nowe pliki cookie
Wystarczy przejrzeć ofertę dysków twardych w sklepie internetowym, by po chwili towar “gonił” nas po całej Sieci. Najbardziej irytuje, gdy produkt pojawi się w każdym oknie reklamowym na przeglądanych stronach. Umożliwiają to pliki cookie, które sklep zapisuje na komputerze klienta. Po usunięciu “ciasteczek” z przeglądarki reklamy w większości przypadków znikną. Haker Samy Kamkar udowodnił jednak, że takie założenie jest już nieaktualne.
Kamkar nie jest nowicjuszem, zwrócił na siebie uwagę już w 2005 roku, kiedy stworzył robaka działającego w sieci MySpace. Za jego pomocą przez 18 godzin udało mu się zgromadzić ponad milion znajomych. Tym razem poruszenie wywołała jego aplikacja w JavaScripcie o nazwie ever-cookie. Jej zadaniem jest tworzenie “wiecznych” plików cookie, których użytkownicy łatwo się nie pozbędą. Trik Kamkara polega na tym, by jednocześnie zapisywać w różnych miejscach komputera aż trzynaście osobnych plików, od typowych “ciasteczek” HTTP, przez Flash cookies, aż do elementów Storage języka HTML5. Wystarczy, że na dysku zachowa się jedna z tych informacji, by odbudować pozostałe. Nawet po usunięciu wszystkich 13 “ciasteczek” na dysku pozostaje dodatkowo plik PNG, który Kamkar może odczytać poprzez HTML5. Haker bezpłatnie udostępnia evercookie na swojej stronie www.samy.pl. Nie obawia się, że jego program wykorzystają firmy. Zapytany o to przez CHIP-a, odpowiada: “Nie obawiam się, że programiści wykorzystają ever-
cookie. Znacznie bardziej martwi mnie, że wiele firm już od dawna stosuje podobne rozwiązania. Chciałbym jedynie pokazać to,
o czym przedsiębiorstwa milczą”.
Śledzenie użytkownika przebiega niepostrzeżenie, bez instalacji i niezależnie od używanej przeglądarki, jeśli tylko na jego komputerze znajdują się ciasteczka Flash. Nowy standard HTML5, wykorzystywany już na niektórych stronach, niemal całkowicie uniemożliwia anonimowe surfowanie w Sieci. Więcej informacji o ochronie danych i HTML5 w ramce po lewej.
Ochrona
Chcąc być w Sieci naprawdę anonimowymi, korzystajmy z Bezpiecznej przeglądarki CHIP-a (dostępnej na płycie). Nasze testy pokazały, że udaremnia ona próby odtworzenia plików evercookie. Według Kamkara również Safari w trybie prywatnym dokładnie oczyszcza komputer, nie pozostawiając żadnych śladów.
Na podsłuchu: Tryb prywatny
Tryb prywatny, dostępny we wszystkich popularnych przeglądarkach internetowych, wcale nie chroni nas przed węszącymi szpiegami. Przeglądarka w trybie prywatnym wprawdzie pozostawia w Sieci znacznie mniej śladów, jednak wtyczka Flash czy blokujące reklamy rozszerzenie Adblock Plus zdradzają o nas więcej, niż moglibyśmy przypuszczać. O ile “ciasteczka” HTTP, historia i wyszukiwane wyrażenia nie są wówczas zapisywane, na dysku pozostają “ciasteczka” Flash. Problem w tym, że przeglądarka nie może nimi zarządzać – dostęp do nich ma jedynie wtyczka Flash. Kiedy w trybie prywatnym wejdziemy na stronę zawierającą elementy Flash, informację o tym można odczytać poprzez “Panel Ustawienia przechowywania witryn internetowych firmy Adobe”. Narzędzie to można znaleźć na stronie www.macromedia.com/support/documentation/pl/flashplayer/help/settings_manager07.htm, umożliwia ono usunięcie plików cookie odtwarzacza Flash kilkoma kliknięciami myszy.
Tymczasem firma Adobe ulepszyła swoją wtyczkę Flash – jej wersja 10.1 w końcu obsługuje przeglądanie w trybie prywatnym. W poprzednich wersjach istnieje jednak ryzyko, że nasze działania w Sieci mogą zostać odtworzone.
Poprawek wymaga również blokujące reklamy rozszerzenie AdBlock Plus do przeglądarki Firefox (https://addons.
mozilla.org/pl/firefox/addon/1865/). Jeśli
w trybie prywatnym pozwolimy jakiejś stronie na wyświetlanie reklam, można to odtworzyć w trybie normalnym – listy filtrów zawierające wprowadzane wyjątki są dostępne w obu trybach.
Ochrona
Zaktualizujmy odtwarzacz Flash, by zamknąć lukę. Jeśli korzystamy z AdBlock Plus, nie zezwalajmy żadnej stronie na wyświetlanie reklam w trybie prywatnym. Możemy też wybrać z menu »Narzędzia« opcję »AdBlock Plus – ustawienia«
i ręcznie usunąć adresy stron.
Christian Funk, analityk wirusów, firma KasperskyHTML5 i JavaScript: Koniec prywatności
Programiści pracują nad standardem HTML5, który wzbogaci Sieć o wiele nowych możliwości, pozwoli odtwarzać filmy bez dodatkowych wtyczek. Krytycy obawiają się jednak, że rozpowszechnienie się HTML5 i popularność elementów JavaScript ostatecznie pogrzebią prywatność w Internecie.
Niebezpieczne zapisywanie plików HTML5
Standard HTML5 umożliwia zapisywanie danych stron WWW w pamięci komputera czy telefonu. To wygodne, ale też niebezpieczne – dane mogą być zdalnie odczytywane, zmieniane i usuwane. Eksperci niechętnie odnoszą się również do nowych możliwości, jakie HTML5 i JavaScript dają reklamodawcom. Możliwe jest np. zbieranie informacji o aktywności użytkowników w Sieci, sprawdzanie, jakie miejsca odwiedzają właściciele smartfonów. Odświeżony standard HTML ułatwia korzystanie z Internetu za pomocą urządzeń mobilnych, ale pozwala na namierzanie ich pozycji dzięki geolokacji. HTML5 i JavaScript stanowią zagrożenie dla prywatności. Obawia się o to Christian Funk, analityk wirusów z firmy Kaspersky: “JavaScript umożliwia stworzenie czegoś w rodzaju cyfrowego odcisku palca przeglądarki internetowej, wykorzystującego takie parametry jak zainstalowane w niej wtyczki czy czcionki. Taki odcisk palca pozwala na zapisywanie i analizowanie zachowania internauty przez wiele różnych stron”.
“JavaScript umożliwia śledzenie aktywności użytkownika na różnych stronach”
