Upozornenie Rozšírenia prehliadača vás špehujú

Internet v piatok explodoval s informáciou, že rozšírenia Google Chrome sa predávajú a podliehajú adwaru. Ale málo známa a oveľa dôležitejšia skutočnosť je, že vaše rozšírenia vás špehujú a predávajú vašu históriu prehliadania do tieňových korporácií. HTG vyšetruje.

TL, DR verzia:

• Doplnky prehliadača pre prehliadače Chrome, Firefox a pravdepodobne iné prehliadače sledujú každú stránku, ktorú navštívite, a odosielajú tieto údaje späť spoločnosti tretej strany, ktorá ich platí za informácie.
• Niektoré z týchto doplnkov tiež vkladajú reklamy na stránky, ktoré navštívite, a spoločnosť Google to výslovne povoľuje z nejakého dôvodu, ak je to "jasne zverejnené".
• milióny ľudí je sledované týmto spôsobom a nemajú potuchy.

Oficiálne ju nazývame spyware? No ... to nie je tak jednoduché. Wikipedia definuje spyware ako "Softvér, ktorý pomáha zhromažďovať informácie o osobe alebo organizácii bez ich vedomia a ktorý môže odoslať takéto informácie inému subjektu bez súhlasu spotrebiteľa". To neznamená, že všetok softvér, ktorý zhromažďuje údaje, je nevyhnutne spyware a neznamená to, že všetok softvér, ktorý odosiela dáta späť na ich servery, je nevyhnutne spyware.

Keď však vývojár rozšírenia stratí svoju skrytosť, skrýva skutočnosť, že každá stránka, ktorú navštívite, sa ukladá a posiela spoločnosti, ktorá jej zaplatí za tieto údaje a zároveň ju pochová v nastaveniach ako "anonymné štatistiky používania", tam je problém, aspoň. Každý rozumný používateľ by predpokladal, že ak chce vývojár sledovať štatistiky používania, budú len sledovať používanie samotného rozšírenia - ale opak je pravdou. Väčšina týchto rozšírení sleduje všetko, čo robíte okrem pomocou rozšírenia. Sú to len sledovanie vy.

To je ešte problematické, pretože to nazývajú "anonymný štatistiky používania "; slovo "anonymné" znamená, že by bolo nemožné zistiť, kto patrí daným údajom, ako keby čisté údaje boli čisté zo všetkých vašich informácií. Ale nie sú. Áno, určite používajú anonymný token, ktorý vás reprezentuje skôr ako vaše celé meno alebo e-mail, ale každá navštívená stránka je viazaná na token. Pokiaľ máte toto rozšírenie nainštalované.

Sledujte históriu prehliadania niekoho dosť dlho a môžete zistiť presne, kto sú.

Koľkokrát ste otvorili svoju vlastnú stránku profilu na Facebooku alebo vašu stránku Pinterest, Google+ alebo inú stránku? Všimli ste si niekedy, ako URL obsahuje vaše meno alebo niečo, čo vás identifikuje? Aj keď ste nikdy navštívili niektoré z týchto lokalít, zistiť, kto ste, je možné.

Neviem o vás, ale moja história prehliadania je baňa, a nikto by nemal mať prístup k tomu, ale voči mne. Existuje dôvod, prečo počítače majú heslá a každý, kto je starší ako 5, vie o tom, ako vymazať históriu prehliadača. Čo navštevujete na internete je veľmi osobné a nikto by nemal mať zoznam stránok, ktoré navštevujem, ale ja, aj keď moje meno nie je výslovne spojené so zoznamom.

Nie som právnik, ale Pravidlá programu pre vývojárov Google pre rozšírenia prehliadača Chrome výslovne hovoria, že vývojár rozšírenia by nemal mať povolené zverejňovať niektoré z mojich osobných informácií:

Nepovoľujeme neoprávnené uverejňovanie osobných a dôverných informácií ľudí, ako sú čísla kreditných kariet, identifikačné čísla štátu, čísla vodičských a iných licencií alebo akékoľvek iné informácie, ktoré nie sú verejne prístupné.

Presne ako moja história prehliadania nie je osobnými informáciami? Určite nie je verejne prístupný!

Áno, mnohé z týchto rozšírení tiež obsahujú reklamy

Problém je sprevádzaný veľkým počtom rozšírení, ktoré vkladajú reklamy do mnohých navštívených stránok. Tieto rozšírenia iba umiestňujú svoje reklamy všade, kde sa náhodou rozhodnú umiestniť ich na stránku, a od nich sa požaduje, aby obsahovali len malý text, ktorý identifikoval, odkiaľ pochádza reklama, čo väčšina ľudí ignoruje, pretože väčšina ľudí ani Pozrite sa na reklamy.

Kedykoľvek budete mať čo do činenia s reklamami, budú tu aj cookies. (Stojí za zmienku, že táto stránka je podporovaná reklamami a inzerenti umiestňujú súbory cookie na pevný disk, rovnako ako každá internetová stránka.) Nemyslím si, že cookies sú obrovské riešenie, ale ak to urobíte, sú pekné ľahko sa vyrovnať.

Adware rozšírenia sú v skutočnosti menej problémom, ak tomu môžete veriť, pretože to, čo robia, je pre používateľov rozšírenia veľmi zrejmé, kto potom môže začať rozruch a pokúsi sa zastaviť vývojára. Určite si želáme, aby spoločnosť Google a Mozilla zmenili svoje smiešne pravidlá, aby zakázali toto správanie, ale nemôžeme im pomôcť získať zdravý rozum.

Sledovanie sa na druhej strane vykonáva tajne alebo je v podstate tajné, pretože sa pokúšajú skryť to, čo robia v legalese v popise rozšírenia, a nikto sa nepohne na spodok čítačky, aby zistilo, či je toto rozšírenie bude sledovať ľudí.

Táto kontrola je skrytá za zmluvnými podmienkami EULA a politikami ochrany osobných údajov

Tieto rozšírenia sú "povolené", aby sa zapojili do tohto správania sledovania, pretože ho "zverejnia" na svojej stránke s popisom alebo na nejakom mieste v paneli možností. Napríklad rozšírenie HoverZoom, ktoré má milión užívateľov, hovorí na svojej stránke opisu na konci:

Hover Zoom používa anonymné štatistiky používania. Toto je možné deaktivovať na stránke možností bez toho, aby ste stratili všetky funkcie. Ak túto funkciu ponecháte povolené, používateľ povolí zhromažďovanie, prenos a používanie anonymných údajov o používaní vrátane, ale nie výlučne, prenosu na tretie strany. 

Kde presne v tomto opise vysvetľuje, že budú sledovať každú stránku, ktorú navštívite, a zašlite túto adresu späť tretej strane, ktorá ju zaplatí tvoj Dáta? V skutočnosti tvrdia všade, že sú sponzorované prostredníctvom partnerských odkazov, pričom úplne ignorujú skutočnosť, že vás špehujú. Áno, to je pravda, sú tiež injekčné reklamy na celom mieste. Ale o ktoré sa zaujímate viac, reklama sa zobrazuje na stránke, alebo ich celá história prehliadania a odoslanie späť k niekomu inému?

Hover Zoom's Excuse Panel

Sú schopní sa dostať ďalej, pretože majú malý malý zaškrtávací box umiestnený na paneli s možnosťami, ktorý hovorí "Povoliť anonymné štatistiky používania", a túto funkciu môžete deaktivovať - ​​aj keď stojí za zmienku, že je predvolené, aby sa skontrolovalo.

Toto konkrétne rozšírenie malo dlhú históriu zlého správania, ktoré sa vrátilo dosť dlho. Vývojár nedávno získal zhromažďovanie údajov prehliadania počítajúc do toho formulovať údaje ... ale bol minulý rok aj chytený predaj dát o tom, čo ste napísali do inej spoločnosti. Pridali sa pravidlá ochrany osobných údajov, ktoré v ďalšej hĺbke vysvetľujú, čo sa deje, ale ak budete musieť prečítať politiku ochrany osobných údajov, aby ste zistili, že ste sa špehovali, máte ďalší problém.

Na zhrnutie, milión ľudí je špehované iba týmto rozšírením. A to je jednoducho jeden z týchto rozšírení - oveľa viac robí to isté.

Rozšírenia môžu zmeniť ruky alebo aktualizovať bez vašich vedomostí

Toto rozšírenie požaduje príliš veľa povolení. poprieť!

Neexistuje žiadny spôsob, ako zistiť, kedy bola rozšírená aktualizovaná tak, aby zahŕňala spyware, a keďže mnohé typy rozšírení potrebujú tonu oprávnení na to, aby dokonca fungovali správne na prvom mieste predtým, než sa stanú spy-inzertnými kusmi, takže ste vyhrali nebudete vyzvaní, keď vyjde nová verzia.

Aby ste to ešte zhoršili, mnohé z týchto rozšírení sa zmenili za posledný rok - a ktokoľvek, kto kedy napísal rozšírenie, je zaplavený žiadosťou o predaj rozšírenia o tieňované osoby, ktoré vás potom nakazia reklamami alebo vás špionážne. Vzhľadom na to, že rozšírenia nevyžadujú žiadne nové povolenia, nikdy nemáte príležitosť zistiť, ktoré z nich pridali tajné sledovanie bez vášho vedomia.

V budúcnosti by ste sa samozrejme mali buď vyhnúť inštalácii rozšírení alebo doplnkov úplne, alebo byť veľmi Dajte pozor na to, ktoré z nich inštalujete. Ak žiadajú o povolenie všetko na vašom počítači, mali by ste kliknúť na tlačidlo Zrušiť a spustiť.

Skrytý kód sledovania s prepínačom vzdialeného povolenia

Existujú ďalšie rozšírenia, v skutočnosti tona z nich, ktoré majú kompletný kód sledovania postavený priamo v - ale tento kód je momentálne zakázaný. Tieto rozšírenia ping späť na server každých 7 dní aktualizovať ich konfiguráciu. Tieto sú nakonfigurované tak, aby odosielali ešte viac dát späť - vypočítavajú presne, ako dlho máte otvorenú každú kartu a ako dlho strávite na každej stránke.

Testovali sme jedno z týchto rozšírení, nazývané Autocopy Original, tým, že sme ho napadli, keď sme si mysleli, že sledovanie správania malo byť povolené a mohli sme okamžite vidieť tónu dát odoslaných späť na ich servery. V obchode Chrome bolo k dispozícii 73 rozšírení a niektoré v obchode s doplnkami pre Firefox. Sú ľahko identifikovateľné, pretože sú všetci z "wips.com" alebo "partnerov wips.com".

Zaujíma vás, prečo sa obávame o kód sledovania, ktorý ešte nie je povolený? Pretože ich stránka s popisom nehovorí o sledovacom kóde slovo - je pochované ako začiarkavacie políčko na každej z ich rozšírení. Takže ľudia inštalujú rozšírenia za predpokladu, že sú z kvalitnej spoločnosti.

A je len otázkou času, kedy je tento sledovací kód povolený.

Vyšetrovanie tejto špionážnej rozšírenie

Priemerný človek nikdy nebude vedieť, že toto špehovanie sa deje - nevidia žiadnu žiadosť na server, ale ani nebudú mať možnosť povedať, že sa to deje. Prevažná väčšina týchto miliónov používateľov nebude nijakým spôsobom ovplyvnená ... okrem toho, že ich osobné údaje boli odcudzené. Takže, ako si to príde na seba? Nazýva sa to Fiddler.

Fiddler je nástroj na ladenie webu, ktorý funguje ako proxy a ukladá všetky požiadavky, takže môžete vidieť, čo sa deje. Toto je nástroj, ktorý sme použili - ak chcete duplikovať doma, jednoducho nainštalujte jednu z týchto rozšírení na vyhľadávanie, ako je Hover Zoom, a začnete zobrazovať dve žiadosti na stránky podobné t.searchelper.com a api28.webovernet.com pre každú jednotlivú zobrazenú stránku. Ak skontrolujete značku Inspectors, uvidíte banda textu kódovaného base64 ... v skutočnosti je z nejakého dôvodu dvakrát kódovaný base64. (Ak chcete celý dekódovací text predtým skopírovať, uložili sme ho do textového súboru).

Budú sledovať všetky stránky, ktoré navštívite, dokonca aj HTTPS

Po úspešnom dekódovaní tohto textu uvidíte presne to, čo sa deje. Posielajú späť aktuálnu stránku, ktorú navštívite spolu s predchádzajúcou stranou a jedinečný identifikátor, ktorý vás identifikuje, a niektoré ďalšie informácie. Veľmi hrozná vec v tomto príklade spočíva v tom, že som bol v tom čase na mojom bankovom serveri, ktorý je zašifrovaný protokolom SSL pomocou protokolu HTTPS. Správne, tieto rozšírenia vás stále sledujú na stránkach, ktoré by mali byť šifrované.

s = 1809 & md = 21pid = mi8PjvHcZYtjxAJ& Sessa = 23112540366128090 & sub = chróm
A q =https% 3A // secure.bankofamerica.com / login/sign-in/signOnScreen.go%3Fmsg%3DInvalidOnlineIdException%26request_locale%3Den-us%26lpOlbResetErrorCounter%3D0&hreferer=https%3A//secure.bankofamerica.com/login/sign-in/entry/signOn.go&prev=https%3A/ /secure.bankofamerica.com/login/sign-in/entry/signOn.go&tmv=4001.1&tmf=1&sr=https%3A//secure.bankofamerica.com/login/sign-in/signOn.go

Môžete prepadnúť api28.webovernet.com a ostatné stránky do vášho prehliadača, aby ste zistili, kde vedú, ale my vám ušetríme napätie: v skutočnosti sú presmerované na rozhranie API pre spoločnosť s názvom Similar Web, ktorá je jednou z mnohých spoločností robiť tento druh sledovania a predávať údaje, aby iné spoločnosti mohli skontrolovať, čo robia ich konkurenti.

Ak ste dobrodružný typ, ľahko nájdete ten istý kód sledovania tak, že otvoríte svoju stránku chrome: // extensions a kliknete na režim Developer a potom na "Inspect views: html / background.html" alebo podobný text, ktorý vám umožní prezrieť rozšírenie. To vám umožní zistiť, čo toto rozšírenie beží po celú dobu v pozadí.

Ich ikona koša je váš priateľ

Akonáhle kliknete na kontrolu, okamžite uvidíte zoznam zdrojových súborov a najrôznejšie veci, ktoré pravdepodobne budú pre vás pravé. Dôležité veci v tomto prípade sú dva súbory s názvom tr_advanced.js a tr_simple.js. Tieto obsahujú kód sledovania a je bezpečné povedať, že ak sa tieto súbory nachádzajú v rámci ľubovoľného rozšírenia, ste v určitom čase špehovaní alebo sa na nich spyje. Niektoré rozšírenia obsahujú iný kód sledovania, samozrejme, takže len preto, že vaše rozšírenie ich nemá, neznamená nič. Podvodníci majú tendenciu byť zložité.

(Všimnite si, že sme zabalili zdrojový kód tak, aby sa zmestil do okna)

Pravdepodobne si všimnete, že adresa URL na pravej strane nie je úplne rovnaká ako predtým. Skutočný zdrojový kód sledovania je dosť komplikovaný a zdá sa, že každé rozšírenie má inú sledovaciu webovú adresu.

Zabránenie automatickému aktualizovaniu rozšírenia (rozšírené)

Ak máte rozšírenie, o ktorom viete, že máte dôveru a ste už overili, že neobsahuje nič zlé, môžete sa uistiť, že rozšírenie sa nikdy tajne neaktualizuje so spywarom - ale je to naozaj manuálne a pravdepodobne nie to, čo budete chcieť urobiť.

Ak to chcete ešte urobiť, otvorte panel Rozšírenia, vyhľadajte ID rozšírenia a potom prejdite na% localappdata% \ google \ chrome \ User Data \ default \ Extensions a vyhľadajte priečinok, ktorý obsahuje vaše rozšírenie. Zmeňte riadok update_url v manifest.json, aby ste nahradili clients2.google.com s localhost. Poznámka: nedokázali sme to otestovať ešte so skutočným rozšírením, ale malo by to fungovať.

Pre Firefox je proces oveľa jednoduchší. Prejdite na obrazovku doplnkov, kliknite na ikonu ponuky a zrušte začiarknutie možnosti "Aktualizovať doplnky automaticky".

Takže kde nás to necháva?

Už sme zistili, že množstvo rozšírení sa aktualizuje tak, aby zahŕňalo kód sledovania / špehovania, injekčné reklamy a kto vie čo ďalej. Predávajú sa nedôveryhodným spoločnostiam alebo sa kúpia s dôveryhodnými peniazmi.

Akonáhle máte nainštalovaný doplnok, nie je žiadny spôsob, ako vedieť, že nebudú obsahovať spyware po ceste. Všetko, čo vieme, je, že existuje veľa doplnkov a rozšírení, ktoré robia tieto veci.

Ľudia nás žiadali o zoznam a ako sme skúmali, našli sme toľko rozšírení, ktoré robia tieto veci, nie sme si istí, že môžeme urobiť kompletný zoznam všetkých z nich. Zoznam ich pridáme do témy fóra súvisiacej s týmto článkom, takže komunitu môžeme pomôcť vytvoriť väčší zoznam.

Pozrite si úplný zoznam alebo nám dajte spätnú väzbu