Peringatan Ekstensi Peramban Anda Memata-matai Anda
Internet meledak pada hari Jumat dengan berita bahwa ekstensi Google Chrome sedang dijual dan disuntikkan dengan adware. Tetapi fakta yang kurang diketahui dan jauh lebih penting adalah bahwa ekstensi Anda memata-matai Anda dan menjual riwayat penjelajahan Anda ke perusahaan yang teduh. HTG menyelidiki.
TL; versi DR:
- Pengaya peramban untuk Chrome, Firefox, dan mungkin peramban lain melacak setiap halaman yang Anda kunjungi dan mengirimkan data itu kembali ke perusahaan pihak ketiga yang membayar mereka untuk informasi Anda.
- Beberapa dari add-on ini juga menyuntikkan iklan ke halaman yang Anda kunjungi, dan Google secara khusus mengizinkan ini untuk beberapa alasan selama itu "diungkapkan dengan jelas".
- Jutaan orang dilacak dengan cara ini dan mereka tidak memiliki petunjuk.
Apakah kita secara resmi menyebutnya spyware? Yah ... itu tidak sesederhana itu. Wikipedia mendefinisikan spyware sebagai “Perangkat lunak yang membantu mengumpulkan informasi tentang seseorang atau organisasi tanpa sepengetahuan mereka dan yang dapat mengirimkan informasi tersebut ke entitas lain tanpa persetujuan konsumen”. Itu tidak berarti bahwa semua perangkat lunak yang mengumpulkan data adalah spyware, dan itu tidak berarti bahwa semua perangkat lunak yang mengirim data kembali ke server mereka adalah spyware.
Tetapi ketika pengembang ekstensi keluar dari jalan mereka untuk menyembunyikan fakta bahwa setiap halaman yang Anda kunjungi disimpan dan dikirim ke perusahaan yang membayar mereka untuk data tersebut sambil menguburnya di pengaturan sebagai "statistik penggunaan anonim", ada setidaknya masalah. Setiap pengguna yang masuk akal akan menganggap bahwa jika pengembang ingin melacak statistik penggunaan, mereka hanya akan melacak penggunaan ekstensi itu sendiri - tetapi yang terjadi adalah sebaliknya. Sebagian besar ekstensi ini melacak semua yang Anda lakukan kecuali menggunakan ekstensi. Mereka hanya melacak kamu.
Ini menjadi lebih bermasalah karena mereka menyebutnya “anonim statistik penggunaan ”; kata "anonim" menyiratkan bahwa tidak mungkin untuk mengetahui siapa data itu berasal, seolah-olah mereka sedang menggosok data bersih dari semua informasi Anda. Tapi ternyata tidak. Ya, tentu saja, mereka menggunakan token anonim untuk mewakili Anda daripada nama lengkap atau email Anda, tetapi setiap halaman yang Anda kunjungi terkait dengan token itu. Selama Anda menginstal ekstensi itu.
Lacak riwayat penelusuran siapa saja yang cukup lama, dan Anda dapat mengetahui dengan tepat siapa mereka.
Berapa kali Anda membuka halaman profil Facebook Anda sendiri, atau Pinterest Anda, Google+, atau halaman lain? Pernahkah Anda memperhatikan bagaimana URL berisi nama Anda atau sesuatu yang mengidentifikasi Anda? Bahkan jika Anda tidak pernah mengunjungi salah satu situs tersebut, mencari tahu siapa Anda sebenarnya mungkin.
Saya tidak tahu tentang Anda, tetapi riwayat penelusuran saya adalah tambang, dan tak seorang pun seharusnya memiliki akses ke sana kecuali aku. Ada alasan mengapa komputer memiliki kata sandi dan semua orang yang lebih tua dari 5 tahu tentang menghapus riwayat browser mereka. Apa yang Anda kunjungi di internet sangat pribadi, dan tidak ada yang harus memiliki daftar halaman yang saya kunjungi selain saya, bahkan jika nama saya tidak secara khusus dikaitkan dengan daftar.
Saya bukan pengacara, tetapi Kebijakan Program Pengembang Google untuk ekstensi Chrome secara khusus mengatakan bahwa pengembang ekstensi tidak boleh memublikasikan informasi pribadi saya:
Kami tidak mengizinkan penerbitan tanpa izin informasi pribadi dan rahasia orang, seperti nomor kartu kredit, nomor identifikasi pemerintah, nomor SIM dan lainnya, atau informasi lain apa pun yang tidak dapat diakses publik..
Bagaimana sebenarnya riwayat penelusuran saya bukan informasi pribadi? Jelas tidak dapat diakses secara publik!
Yap, Banyak dari Ekstensi Ini Juga Menyisipkan Iklan
Masalahnya diperparah oleh sejumlah besar ekstensi yang menyuntikkan iklan ke banyak halaman yang Anda kunjungi. Ekstensi ini hanya menempatkan iklan di mana pun mereka secara acak memilih untuk memasukkannya ke dalam halaman, dan mereka hanya diharuskan untuk menyertakan sepotong kecil teks yang mengidentifikasi dari mana iklan itu berasal, yang akan diabaikan oleh kebanyakan orang, karena kebanyakan orang bahkan tidak lihat iklan.
Setiap kali Anda berurusan dengan iklan, ada juga cookie yang terlibat. (Perlu dicatat bahwa situs ini didukung iklan, dan pengiklan menaruh cookie di hard drive Anda, seperti setiap situs di internet.) Kami tidak berpikir cookie adalah masalah besar, tetapi jika Anda melakukannya, mereka cukup mudah ditangani.
Ekstensi adware sebenarnya tidak terlalu menjadi masalah, jika Anda dapat mempercayainya, karena apa yang mereka lakukan sangat jelas bagi pengguna ekstensi, yang kemudian dapat memulai keributan tentang hal itu dan mencoba dan membuat pengembang berhenti. Kami benar-benar berharap bahwa Google dan Mozilla akan mengubah kebijakan konyol mereka untuk melarang perilaku itu, tetapi kami tidak dapat membantu mereka mendapatkan akal sehat.
Pelacakan, di sisi lain, dilakukan secara rahasia, atau pada dasarnya rahasia karena mereka mencoba menyembunyikan apa yang mereka lakukan dalam legalese dalam deskripsi ekstensi, dan tidak ada yang menggulir ke bagian bawah readme untuk mencari tahu apakah ekstensi itu adalah akan melacak orang.
Mata-mata ini Tersembunyi Di Balik EULA dan Kebijakan Privasi
Ekstensi ini “diizinkan” untuk terlibat dalam perilaku pelacakan ini karena mereka “mengungkapkannya” di halaman uraian mereka, atau pada titik tertentu di panel opsi mereka. Misalnya, ekstensi HoverZoom, yang memiliki sejuta pengguna, mengatakan yang berikut di halaman uraian mereka, di bagian paling bawah:
Arahkan Zoom menggunakan statistik penggunaan anonim. Ini dapat dinonaktifkan di halaman opsi tanpa kehilangan fitur apa pun juga. Dengan membiarkan fitur ini diaktifkan, pengguna mengotorisasi pengumpulan, transfer, dan penggunaan data penggunaan anonim, termasuk tetapi tidak terbatas pada transfer ke pihak ketiga.
Di mana tepatnya dalam uraian ini dijelaskan bahwa mereka akan melacak setiap halaman yang Anda kunjungi dan mengirim URL kembali ke pihak ketiga, yang membayar mereka untuk anda data? Bahkan, mereka mengklaim di mana-mana bahwa mereka disponsori melalui tautan afiliasi, sepenuhnya mengabaikan fakta bahwa mereka memata-matai Anda. Ya, itu benar, mereka juga menyuntikkan iklan di semua tempat. Tetapi yang lebih Anda pedulikan, iklan yang muncul di halaman, atau mereka yang mengambil seluruh riwayat penjelajahan Anda dan mengirimkannya kembali ke orang lain?
Arahkan Panel Alasan Zoom Mereka dapat lolos dengan ini karena mereka memiliki kotak centang kecil yang terkubur di panel pilihan mereka yang mengatakan "Aktifkan statistik penggunaan anonim", dan Anda dapat menonaktifkan "fitur" itu - meskipun perlu dicatat bahwa secara default harus diperiksa.
Perpanjangan khusus ini telah memiliki sejarah panjang perilaku buruk, kembali beberapa waktu yang lalu. Pengembang baru-baru ini ketahuan mengumpulkan data penelusuran termasuk formulir data ... tetapi dia juga tertangkap tahun lalu menjual data tentang apa yang Anda ketikkan ke perusahaan lain. Mereka telah menambahkan kebijakan privasi sekarang yang menjelaskan secara lebih mendalam apa yang sedang terjadi, tetapi jika Anda harus membaca kebijakan privasi untuk mengetahui bahwa Anda sedang dimata-matai, Anda punya masalah lain.
Singkatnya, satu juta orang dimata-matai oleh ekstensi yang satu ini saja. Dan itu baru saja satu ekstensi ini - ada lebih banyak melakukan hal yang sama.
Ekstensi Dapat Berubah Tangan atau Memperbarui Tanpa sepengetahuan Anda
Ekstensi ini meminta terlalu banyak izin. Menyangkal! Sama sekali tidak ada cara untuk mengetahui kapan ekstensi telah diperbarui untuk menyertakan spyware, dan karena banyak jenis ekstensi memerlukan banyak izin untuk bahkan beroperasi dengan benar di tempat pertama sebelum mereka berubah menjadi potongan-potongan spycraft ad-injecting, sehingga Anda menang akan diminta ketika versi baru keluar.
Lebih buruk lagi, banyak dari ekstensi ini telah berpindah tangan tahun lalu - dan siapa pun yang pernah menulis ekstensi dibanjiri permintaan untuk menjual ekstensi mereka kepada individu yang teduh, yang kemudian akan menginfeksi Anda dengan iklan atau memata-matai Anda. Karena ekstensi tidak memerlukan izin baru, Anda tidak akan pernah memiliki kesempatan untuk mencari tahu mana yang ditambahkan pelacakan rahasia tanpa sepengetahuan Anda.
Di masa depan, tentu saja, Anda harus menghindari memasang ekstensi atau addon sepenuhnya, atau menjadi sangat hati-hati tentang yang Anda instal. Jika mereka meminta izin untuk semua yang ada di komputer Anda, Anda harus mengklik tombol Batal dan menjalankannya.
Kode Pelacakan Tersembunyi dengan Sakelar Aktif Jarak Jauh
Ada ekstensi lain, pada kenyataannya, satu dari mereka, yang memiliki kode pelacakan lengkap built in - tetapi kode itu saat ini dinonaktifkan. Ekstensi-ekstensi itu ping kembali ke server setiap 7 hari untuk memperbarui konfigurasi mereka. Yang ini dikonfigurasikan untuk mengirim lebih banyak data kembali - mereka menghitung dengan tepat berapa lama Anda membuka setiap tab, dan berapa lama Anda habiskan di setiap situs.
Kami menguji salah satu ekstensi ini, yang disebut Autocopy Original, dengan mengelabunya dengan berpikir bahwa perilaku pelacakan seharusnya diaktifkan, dan kami dapat segera melihat satu ton data dikirim kembali ke server mereka. Ada 73 ekstensi ini di Toko Chrome, dan beberapa di toko add-on Firefox. Mereka mudah diidentifikasi karena mereka semua dari "wips.com" atau "mitra wips.com".
Ingin tahu mengapa kita khawatir tentang kode pelacakan yang bahkan belum diaktifkan? Karena halaman deskripsi mereka tidak mengatakan sepatah kata pun tentang kode pelacakan - itu dikubur sebagai kotak centang pada setiap ekstensi mereka. Jadi orang memasang ekstensi dengan asumsi mereka berasal dari perusahaan yang berkualitas.
Dan hanya masalah waktu sebelum kode pelacakan diaktifkan.
Investigasi Awfulness Ekstensi Mata-mata ini
Rata-rata orang tidak akan pernah tahu bahwa mata-mata ini sedang terjadi - mereka tidak akan melihat permintaan ke server, mereka bahkan tidak akan memiliki cara untuk mengatakan bahwa itu sedang terjadi. Sebagian besar dari jutaan pengguna itu tidak akan terpengaruh dengan cara apa pun ... kecuali bahwa data pribadi mereka dicuri dari mereka. Jadi bagaimana Anda mencari tahu sendiri? Itu disebut Fiddler.
Fiddler adalah alat debugging web yang bertindak sebagai proxy dan menyimpan semua permintaan sehingga Anda dapat melihat apa yang sedang terjadi. Ini adalah alat yang kami gunakan - jika Anda ingin menggandakan di rumah, cukup instal salah satu ekstensi mata-mata ini seperti Hover Zoom, dan Anda akan mulai melihat dua permintaan ke situs yang mirip dengan t.searchelper.com dan api28.webovernet.com untuk setiap halaman yang Anda lihat. Jika Anda memeriksa tag Inspektur Anda akan melihat banyak teks yang disandikan base64 ... sebenarnya, sudah disandikan base64 dua kali karena beberapa alasan. (Jika Anda ingin contoh teks lengkap sebelum decoding, kami menyimpannya dalam file teks di sini).
Mereka akan melacak situs yang Anda kunjungi, bahkan yang HTTPS Setelah Anda berhasil mendekodekan teks itu, Anda akan melihat apa yang sedang terjadi. Mereka mengirim kembali halaman saat ini yang Anda kunjungi, bersama dengan halaman sebelumnya, dan ID unik untuk mengidentifikasi Anda, dan beberapa informasi lainnya. Hal yang sangat menakutkan tentang contoh ini adalah bahwa saya berada di situs perbankan saya pada saat itu, yang dienkripsi SSL menggunakan HTTPS. Itu benar, ekstensi ini masih melacak Anda di situs yang harus dienkripsi.
s = 1809 & md = 21 &pid = mi8PjvHcZYtjxAJ& sess = 23112540366128090 & sub = chrome
& q =https% 3A // secure.bankofamerica.com / login/sign-in/signOnScreen.go%3Fmsg%3DInvalidOnlineIdException%26request_locale%3Den-us%26lpOlbResetErrorCounter%3D0&hreferer=https%3A//secure.bankofamerica.com/ dengan https://www.sign.in/ /secure.bankofamerica.com/login/sign-in/entry/signOn.go&tmv=4001.1&tmf=1&sr=https%3A//secure.bankofamerica.com/login/sign-in/signOn.go
Anda dapat memasukkan api28.webovernet.com dan situs lainnya ke browser Anda untuk melihat di mana mereka memimpin, tetapi kami akan menyelamatkan Anda dari ketegangan: mereka sebenarnya arahan ulang untuk API untuk perusahaan bernama Web Sejenis, yang merupakan salah satu dari banyak perusahaan melakukan pelacakan semacam ini, dan menjual data sehingga perusahaan lain dapat memata-matai apa yang dilakukan pesaing mereka.
Jika Anda adalah tipe petualang, Anda dapat dengan mudah menemukan kode pelacakan yang sama ini dengan membuka chrome: // ekstensi halaman dan mengklik mode Pengembang, dan kemudian "Periksa tampilan: html / background.html" atau teks serupa yang memberitahu Anda untuk memeriksa ekstensi. Ini akan membuat Anda melihat ekstensi apa yang berjalan sepanjang waktu di latar belakang.
Ikon tong sampah itu adalah temanmu Setelah Anda mengklik untuk memeriksa, Anda akan segera melihat daftar file sumber dan segala macam hal lain yang mungkin akan menjadi bahasa Yunani untuk Anda. Hal penting dalam hal ini adalah dua file bernama tr_advanced.js dan tr_simple.js. Ini berisi kode pelacakan, dan aman untuk mengatakan bahwa jika Anda melihat file-file itu di dalam ekstensi apa pun, Anda sedang dimata-matai, atau akan dimata-matai pada suatu saat. Beberapa ekstensi mengandung kode pelacakan yang berbeda, tentu saja, jadi hanya karena ekstensi Anda tidak memilikinya, tidak berarti apa-apa. Scammers cenderung rumit.
(Perhatikan bahwa kami membungkus kode sumber agar sesuai dengan jendela) Anda mungkin akan melihat bahwa URL di sebelah kanan tidak sama dengan yang sebelumnya. Kode sumber pelacakan aktual sangat rumit, dan tampaknya setiap ekstensi memiliki URL pelacakan yang berbeda.
Mencegah Ekstensi Tidak Memperbarui Secara Otomatis (Lanjutan)
Jika Anda memiliki ekstensi yang Anda tahu dan percayai, dan Anda telah memverifikasi bahwa itu tidak mengandung hal buruk, Anda dapat memastikan bahwa ekstensi tidak pernah diam-diam memperbarui Anda dengan spyware - tetapi itu benar-benar manual dan mungkin bukan apa Anda pasti ingin melakukannya.
Jika Anda masih ingin melakukannya, buka panel Ekstensi, cari ID ekstensi, lalu buka% localappdata% \ google \ chrome \ Data Pengguna \ default \ Ekstensi dan temukan folder yang berisi ekstensi Anda. Ubah baris update_url di manifes.json untuk mengganti clients2.google.com dengan localhost. catatan: kami belum dapat menguji ini dengan ekstensi yang sebenarnya, tetapi itu harus bekerja.
Untuk Firefox, prosesnya jauh lebih mudah. Buka layar Pengaya, klik ikon menu, dan hapus centang “Perbarui Pengaya secara otomatis”.
Jadi Di Mana Ini Meninggalkan Kami?
Kami telah menetapkan bahwa banyak ekstensi sedang diperbarui untuk menyertakan kode pelacakan / mata-mata, menyuntikkan iklan, dan siapa yang tahu apa lagi. Mereka dijual ke perusahaan yang tidak bisa dipercaya, atau pengembang dibeli dengan janji uang mudah.
Setelah Anda memasang add-on, tidak ada cara untuk mengetahui bahwa mereka tidak akan menyertakan spyware di masa mendatang. Yang kami tahu adalah bahwa ada banyak add-on dan ekstensi yang melakukan hal-hal ini.
Orang-orang telah meminta kami untuk daftar, dan ketika kami sedang menyelidiki, kami telah menemukan begitu banyak ekstensi melakukan hal-hal ini, kami tidak yakin bahwa kami dapat membuat daftar lengkap dari mereka semua. Kami akan menambahkan daftar mereka ke topik forum yang terkait dengan artikel ini, sehingga kami dapat meminta komunitas membantu kami membuat daftar yang lebih besar.
Lihat Daftar Lengkap atau Beri Kami Tanggapan Anda
