웹 추적기가 암호 관리자를 악용하는 방법
- 범주: 인터넷
대부분의 웹 브라우저에는 데이터베이스에 로그인 데이터를 저장하고 양식을 작성하거나 데이터베이스에있는 정보를 사용하여 사이트에 자동으로 로그인하는 기본 도구 인 기본 제공 암호 관리자가 함께 제공됩니다.
더 많은 기능을 원하는 사용자는 LastPass, KeePass 또는 Dashlane과 같은 타사 암호 관리자를 사용합니다. 이러한 암호 관리자는 기능을 추가하고 브라우저 확장 또는 데스크톱 프로그램으로 설치할 수 있습니다.
연구 Princeton의 정보 기술 정책 센터 (Center for Information Technology Policy)는 새로 발견 된 웹 추적기가 암호 관리자를 이용하여 사용자를 추적한다고 제안했습니다.
추적 스크립트는 암호 관리자의 약점을 악용합니다. 연구원에 따르면 다음과 같은 일이 발생합니다.
- 사용자가 웹 사이트를 방문하여 계정을 등록하고 암호 관리자에 데이터를 저장합니다.
- 추적 스크립트는 타사 사이트에서 실행됩니다. 사용자가 사이트를 방문하면 로그인 양식이 사이트에 보이지 않게 삽입됩니다.
- 브라우저의 비밀번호 관리자는 비밀번호 관리자에서 일치하는 사이트가 발견되면 데이터를 채 웁니다.
- 스크립트는 사용자 이름을 감지하고 해시 한 다음 타사 서버로 전송하여 사용자를 추적합니다.
다음 그래픽 표현은 워크 플로우를 시각화합니다.
연구원들은 사용자에 대한 식별 가능한 정보를 얻기 위해 암호 관리자를 악용하도록 설계된 두 가지 다른 스크립트를 분석했습니다. AdThink와 OnAudience라는 두 스크립트는 웹 페이지에 보이지 않는 로그인 양식을 삽입하여 브라우저의 암호 관리자가 반환하는 사용자 이름 데이터를 검색합니다.
스크립트는 해시를 계산하고 이러한 해시를 타사 서버로 보냅니다. 해시는 쿠키 또는 다른 형태의 사용자 추적을 사용하지 않고 사이트에서 사용자를 추적하는 데 사용됩니다.
사용자 추적은 온라인 광고의 성배 중 하나입니다. 회사는이 데이터를 사용하여 방문한 사이트 (스포츠, 엔터테인먼트, 정치, 과학) 또는 사용자가 인터넷에 연결하는 위치와 같은 여러 요인을 기반으로 사용자 관심사를 기록하는 사용자 프로필을 만듭니다.
연구원이 분석 한 스크립트는 사용자 이름에 중점을 둡니다. 다른 스크립트가 암호 데이터를 가져 오지 못하도록하는 것은 없지만 과거에 악성 스크립트가 이미 시도한 것입니다.
연구원들은 50,000 개의 웹 사이트를 분석 한 결과 이들 중 어느 곳에서도 비밀번호 덤프 흔적이 발견되지 않았습니다. 하지만 상위 100 만 개의 Alexa 웹 사이트 중 1,100 개에서 추적 스크립트를 찾았습니다.
다음 스크립트가 사용됩니다.
- AdThink : https://static.audienceinsights.net/t.js
- OnAudience : http://api.behavioralengine.com/scripts/be-init.js
AdThink
Adthink 스크립트에는 의도, 관심사 및 인구 통계뿐만 아니라 개인, 재정, 신체적 특성에 대한 매우 상세한 범주가 포함되어 있습니다.
연구자들은 스크립트의 기능을 다음과 같이 설명합니다.
- 스크립트는 이메일 주소를 읽고 MD5, SHA1 및 SHA256 해시를 secure.audiencesights.net으로 보냅니다.
- 또 다른 요청은 이메일 주소의 MD5 해시를 데이터 브로커 Acxiom (p-eu.acxiom-online.com)으로 보냅니다.
인터넷 사용자는 추적 상태를 확인하고 데이터 수집을 거부 할 수 있습니다. 이 페이지 .
OnAudience
OnAudience 스크립트는 '폴란드어 웹 사이트에 가장 일반적으로 존재합니다'.
- 이 스크립트는 이메일 주소의 MD5 해시와 핑거 프린팅에 일반적으로 사용되는 기타 브라우저 데이터 (MIME 유형, 플러그인, 화면 크기, 언어, 시간대 정보, 사용자 에이전트 문자열, OS 및 CPU 정보)를 계산합니다.
- 데이터를 기반으로 다른 해시가 생성됩니다.
로그인 양식 웹 추적으로부터 보호
사용자는 위에서 언급 한 도메인에 대한 요청을 차단하기 위해 콘텐츠 차단기를 설치할 수 있습니다. 그만큼 EasyPrivacy list는 이미 수행하지만 URL을 수동으로 블랙리스트에 추가하는 것은 쉽습니다.
또 다른 방어는 로그인 데이터 자동 채우기를 비활성화하는 것입니다. Firefox 사용자는 about : config? filter = signon.autofillForms 환경 설정을 false로 설정하여 자동 채우기를 비활성화 할 수 있습니다.
마무리 단어
광고 출판 업계는 그 자체의 무덤을 삽질하고 있는가? 침입 추적 스크립트는 사용자가 웹 브라우저에 광고 및 콘텐츠 차단기를 설치하는 또 다른 이유입니다.
예,이 사이트에도 광고가 있습니다. 독립 사이트를 운영 할 수있는 또 다른 옵션이 있었으면합니다. 또는 사이트가 실행되는 서버에서만 실행되고 타사 연결이나 추적을 사용하지 않는 네이티브 광고 솔루션을 제공하는 회사가 있었으면합니다.
당신은 통해 우리를 지원할 수 있습니다 Patreon , PayPal , 또는 댓글을 남기거나 인터넷에 단어를 퍼뜨립니다.