Куда делось право на тайну частной жизни?

Когда мы, допустим на Facebook, выкладываем о себе что-либо компрометирующее нас, то винить в этом можем только себя. Однако есть и другие, более хитрые способы получить информацию о нас. Так вот, несколько слов об отслеживании действий пользователей.

Каждый раз, когда вы посещаете веб-страницу, вы запрашиваете HTML-код, который будет выполнен в вашем локальном браузере. Этот код может содержать внешние ссылки, которые вы также запрашиваете. Пока ничего страшного.

Но что будет, если эти внешние запросы станут использоваться, чтобы отслеживать ваши действия? Возможно ли это? Предположим, вы зашли в вашу любимую социальную сеть — пусть это будет всё тот же Facebook. Даже после того как вы выходите из соцсети, ваш браузер хранит некоторые cookie-файлы, с помощью которых Facebook «узнаёт» вас. Затем вы идете на какой-либо случайный сайт (www.randomwebsite.com), на котором есть кнопки «Мне нравится», которые на самом деле являются внешними ссылками на Facebook. Поскольку у Facebook есть доступ к своим собственным cookie-файлам, он получает запрос с указанием в поле Referer www.randomwebsite.com, и опознает вас по cookie-файлам. Результат такой: Facebook знает обо всех страницах, которые вы посещаете и которые ссылаются на Facebook.

Можно подумать, что эта проблема решается простым уничтожением всех cookie-файлов. К сожалению, это не так: есть много других технологий, с помощью которых можно идентифицировать пользователей по «отпечаткам пальцев» их браузеров. Есть весьма интересное исследование, указывающее на то, что 83% пользователей можно надежно идентифицировать, исходя из уникальной комбинации данных о веб-браузере, установленных плагинах и основной информации о компьютере пользователя. И это без особых усилий! Можете себе представить, как часто внешние ссылки включают в себя Javascript-код, который собирает большое количество информации, по которой вас можно идентифицировать.

Ладно, перейдем к практике. Чтобы оценить масштабы данной проблемы, я проделал несколько небольших экспериментов. Я планирую написать более объемную статью, в которой будет представлено больше данных, а сейчас позвольте представить некоторые цифры.

Эксперимент 1. Посещение веб-страницы очень популярной испанской газеты.

Результат анализа трафика: запрошено 30 различных доменов, 15 из них используются для отслеживания посещаемых вами сайтов или рекламы, в браузере создано 10 cookie-файлов.

Неплохо для одного запроса!

Эксперимент 2. Посещение 250 самых популярных испанских сайтов (согласно Alexa.com)

20% трафика идет на отслеживающие и рекламные сайты, по 11,2 отслеживающих запросов на сайт, 93% сайтов имеют внешние ссылки на отслеживающие сайты.Google и Facebook — в лидерах среди компаний, отслеживающих пользователей, практически с одинаковым количеством запросов.

Наконец, несколько слов о настройках, выставляемых по умолчанию. Во время конференции Kaspersky Threatpost Security Analyst Summit я попал на замечательную лекцию Кристофера Согояна, в которой он показал, что настройки по умолчанию не вполне безобидны. В данном случае, Google Chrome и Safari имеют различные настройки по умолчанию, касающиеся сохранения cookie-файлов и отправки запросов на сторонние ресурсы при посещении веб-страницы. Предоставлю читателю самому домыслить, какой из этих двух браузеров более заинтересован в отслеживании действий пользователей, но сам я хотел выяснить это в конечном эксперименте.

Эксперимент 3. Посещение 100 самых популярных испанских сайтов при помощи Chrome и Safari с настройками по умолчанию

По сути, это посещение тех же сайтов с помощью других браузеров с отслеживанием трафика. К моему удивлению, не было большой разницы ни в количестве запросов, ни в количестве запрошенных каждым браузером доменов, используемых для отслеживания действий пользователя. Однако что касается cookie-файлов, то тут разница была огромная:

Chrome: 1029 cookie-файлов, Safari: 269 cookie-файлов.

Если сузить выборку до 100 доменов, наиболее часто запрашиваемых обоими браузерами (что составляет 75% всех запросов), и сравнить оба списка запрашиваемых доменов, то оказывается, что всего пять доменов в списке Chrome не попали в список Safari. Таким образом получается, что Chrome чуть более агрессивно отслеживает действия пользователя, чем Safari. Это не означает, что Safari лучше.

Заключение

Эта тема весьма интересна, особенно если начать выяснять, кто стоит за отслеживающими и рекламными компаниями. В этом случае становится понятно, кто получает все эти данные, что уже несколько настораживает, когда вы проверяете политики конфиденциальности. Однако я воздержусь от конкретных выводов до того, как закончу дополнительные эксперименты.

Вопрос вот в чем: к чему столько слежки? А ответ такой: всё упирается в деньги. Нет, речь не о рекламе, а о создании досье пользователей. Допустим, вы просите кредит в банке. На решение банка повлияет не то, как вы ответите на вопросы, — кредит будет выдан только в том случае, если компьютер решит, что ваше досье удовлетворяет требованиям банка. В ближайшем будущем у всех компаний будет доступ к супердосье, в которых есть все наши личные данные, и тогда уже решать будет компьютер …