Sledovanie návštevníkov webu sa stalo štandardom posledných rokov. Dnes sú na týchto analýzach postavené obchodné modely nejedného portálu prinášajúceho správy. Rovnako sa sledovanie štatistík stalo uchýlkou mnohých majiteľov webov, blogov, či dokonca konta na twitteri.
Dnes nájdete už len málo webov, ktoré by nepoužívalo niektorý zo systémov pre sledovanie vlastných návštevníkov. Systémy sa za tie roky stali tak sofistikovanými, že za pomoci mnohých metodík dokážu o užívateľovi podať až neuveriteľné presné informácie. Ak sa k tomu pridajú globalizované, takmer monštruózne systémy, akým je napríklad veľmi populárny Google Analytics, potom sa nemožno čudovať zvyšujúcej nervozity odborníkov po celom svete. Ich reakciami sú rôzne články a štúdie, ktoré by mali bežným užívateľom otvoriť oči.
Jedna takáto štúdia sa objavila začiatkom tohoto týždňa a zameriava sa na flashové cookies, o ktorých existencii nevie drvivá väčšina tých, ktorý tento softvér používajú (čo podľa štatistík predstavuje až 98% všetkých návštevníkov internetu). Ako sa zdá, štúdia dopadla na úrodnú pôdu a posledné dni odborná, ale i laická verejnosť živo diskutuje nielen o cookies, ktoré sú uchovávané mimo dosahu prehliadača a teda sú takmer na 100% zachovávané na všetkých počítačoch, ktoré majú nainštalované Flash, ale aj iných metódach, ktorými majitelia webov sledujú svojich návštevníkov.
Ale späť k samotným Flashovým cookies. Spoločnosť Adobe pred časom pridala cookies ako možnosť permanentne uchovať určité informácie na hard-disku návštevníka a to až do veľkosti 100Kb. Pre porovnanie, webové prehliadače umožňujú v cookies uchovať pre každú doménu len 4Kb dát a limitovaný je aj ich počet. Flash je v tomto omnoho benevolentnejší, no čo horšie, samotný prehliadač nemá priamy prístup k týmto záznamom a teda ich ani nemaže spolu s vlastnými cookies, ktoré si uchováva. Ak teda pravidelne tieto záznamy čistíte, budete zrejme prekvapení množstvom, ktoré sa nachádza vo vašom počítači.
Ak ste náhodou používateľmi populárneho rozšírenia No-Script vedzte, že ani to nezabraňuje uchovaniu Flashových cookies na vašom disku v prípade, že máte odblokovaný, resp. ste odblokovali prístup k flashu. Ten si bez vášho vedomia vytvorí akékoľvek záznamy, ktoré vám uchová do počítača a ktoré následne používa vždy, keď sa k danému webu prihlásite. Aby ste si však nemysleli, že flashové cookies sú využívané len na sledovanie užívateľov, mnoho webov do nich ukladá rôzne nastavenia, ako napríklad nastavenie hlasitosti pri videu (youtube, iné), nastavenie pri hrách (napr. dnes populárne flashové hry na Facebooku), atď. No i tieto weby často pridajú citlivé informácie o užívateľovi, ktoré sa snažia majitelia webov monitorovať a vyhodnocovať.
Flashové cookies používajú takmer všetky weby zaoberajúce sa predajom kontextovej reklamy, aplikácie zaoberajúce sa vyhodnocovaním správania webových návštevníkov, weby streamujúce video, ale aj iné, ako napríklad paypal.com, nike.com, blogger.com, gmail.com, či sme.sk. Nie všetky uchovávajú citlivé dáta o užívateľovi, no poniektorí to tak robia a len málokto si bude študovať, čo dané cookies obsahujú.
Ak vás zaujíma, čo si jednotlivé weby o vás uchovávajú, môžete si to sami prečítať a to napríklad cez .sol editor, alebo SoIVE. Poprípade pre operačný systém Windows môžete využiť mnou naprogramovaný jednoduchý programček, ktorý vám tieto cookies nájde a zobrazí, či uloží do súboru. Stiahnuť si ho môžete tu a upozorňujem, že sa jedná o konzolovú aplikáciu, teda ju musíte spúšťať cez konzolu (cmd). Po spustení sa vám zobrazí postup, ako program môžete použiť.
Ešte predtým však musíte tieto cookies lokalizovať na vašom disku. Samozrejme, lokácia je odlišná v jednotlivých OS. Podľa článku na wikipedii ich môžete hľadať tu:
- Windows XP and Vista
- Mac OS X
- Linux/Unix
For Web sites: %APPDATA%\Macromedia\Flash Player\#SharedObjects\<random code>\<domain>\<path>\<object name>.sol
For AIR Applications, %APPDATA%\<AIR Application Reverse Domain Name>\Local Store\#SharedObjects\<flash filename>.swf\<object name>.sol
For Web sites, ~/Library/Preferences/Macromedia/Flash Player/#SharedObjects/<random code>/<domain>/<path from webserver>/<object name>.sol
For AIR Applications, ~/Library/Preferences/<AIR Application Name>/Local Store/#SharedObjects/<flash filename>.swf/<object name>.sol
~/.macromedia/Flash_Player/#SharedObjects/<random id>/<domain>/<path>/<flash filename>.swf/<object name>.sol
Ak si aj vy neželáte, aby si jednotlivé weby ukladali cookies cez flash na váš disk, máte niekoľko možností. Najjednoduchšou je zmazať všetky aktuálne cookies priamo na disku a zakázať zapisovanie do tohoto priečinku. Ale pozor! Pripravíte sa aj o cookies, ktoré by ste eventuálne mohli chcieť, ako napríklad nastavenia flashových hier, alebo prehrávačov. Lepšiu možnosť majú používatelia prehliadača firefox. Tí si môžu nainštalovať rozšírenie BetterPrivacy, ktoré dokáže sledovať tieto cookies v určitom intervale, mazať ich, no zároveň ochrániť tie, ktoré zmazať nechcete. Využiť môžete aj bezplatný softvér CCleaner, ktorý medzi iným čistí aj ďalšie miesta a prehliadače. No a poslednou možnosťou pre všetkých je využiť flash manažéra priamo od spoločnosti Adobe, v ktorom je možné dané cookies zmazať. V ňom však obsah cookies neuvidíte, rovnako chýba prípadne filtrovanie.
Flash však nie je sám, kto umožňuje uchovávať dáta na vašom disku. Podobnú funkcionalitu má implementovaný aj SilverLight, ktorý tieto cookies nazýva Isolated Storage (ďalej už len IS). SilverLight samotné cookies prenecháva prehliadaču, ktorý ich však môže blokovať, či jednoducho mazať. Preto je SilverLight priniesol IS, ktorý umožňuje ukladať až 1MB informácií pre každú aplikáciu! Nepoznám presne celý bezpečnostný model IS, ale ak je limit 1MB pre aplikáciu a nie doménu, výsledkom môže byť relatívne ľahko zahltený disk návštevníka.
To, že flash a silverlight umožňujú uložiť dáta na váš disk bez vašeho vedomia má v skutočnosti ďaleko väčšie následky, ako by sa mohlo zdať. Oba totižto obchádzajú mód prehliadača, ktorý sa nazýva Private Browsing (teda volá sa tak pre firefox, pre iné prehliadače sa môže volať inak). Dôležitejšie je, že v tomto móde nie sú ukladané žiadne dáta o používateľovej aktivite, vrátane cookies. Výsledkom teda je, že v skutočnosti ak aj využívate tento mód, flash či silverlight aplikácie si môžu o vás vytvárať dodatočné informácie, ktoré si samozrejme vedia pri každej návšteve aj overiť.
Na to, či by mal flash a silverlight ukladať takéto dáta a kto by sa mal starať o ich likvidáciu, panujú rôzne dohady. Časť odborníkov tvrdí, že by sa mal o odstránenie postarať samotný prehliadač, ktorý by mal získať aj kontrolu nad týmito cookies a umožniť používateľovi zasahovať do nastavení, filtrácie ako aj samotných cookies. Ako to však v budúcnosti bude, na to si asi ešte všetci počkáme.
PS: Ak chcete vedieť, aká služba vás sleduje na akom webe a ste používateľom firefoxu, môžete k tomuto účelu využiť celkom pekné rozšírenie Ghostery.
Dik za pekny clanok.
Ja pouzivam v prehliadaci Safari plugin Safari Cookies – http://sweetpproductions.com/safaricookies/
, ktory po zavreti prehliadaca vymaze cookies prehliadaca aj flash cookies, daju sa tam nastavovat favorites cookies, ktore sa nevymazu po zatvoren prehliadaca.
Tiez mam nazor, ze vsetky doplnky prehliadacov, by o takuto sluzbu (ukladanie kolacikov) mali ziadat prehliadac a nie to realizovat sami. Otazka je, kto to tym doplnkom zabrani robit.
Naopak, pokial sa teda vizualne nic nedeje pri pokuse zapisat cookie, tak nechapem, preco v kontextovom menu prehravacov tychto objektov nie je priamo zabudovany manazment cookie. Napevno a bez sance programatorov to zmenit.
Schopnost plnit hardisk je dost neprijemna vec.
mno zaujímavé o tomto som ani nevedel
A já si zrovna nedávno říkal, jak je možné, že si ta hra zapamatovala poslední dosažený level a přitom v “klasických” cookies nic nebylo ;-)
Díky!
Mají flashové cookies (případně ty od Silverlightu) nějaký mechanismus, jak identifikovat skutečného uživatele? Normální cookies přece fungují tak, že sice mohou identifikovat uživatele, ale chybí vazba “pod tímhle ID se schovává Franta Novák z Prahy”. Takže u normálních cookie není důvod bát se o osobní data, protože aplikace se k nim nedostane.
Samozřejmě trochu problematické je, že javascriptem se dají zjistit upřesňující informace (operační systém, rozlišení,…) které by teoreticky v kombinaci s IP adresou mohly umožnit identifikovat konkrétní počítač. Pořád ale mám pocit, že je to spíš hypotetická možnost, protože případný útočník by musel mít k dispozici velkou spoustu dat o skutečných lidech.
Má Flash (příp. Silverlight) přístup k opravdu citlivým informacím, dejme tomu seznamu nainstalovaných programů, souborům na disku a podobně? Pokud ano, tak bych tady viděl tu pravou hrozbu.
BTW jestli se nemýlím, tak javovské applety uměly přistupovat k filesystému, pokud byly podepsané. Víte někdo víc?
#5 Lyco: nie nemylis sa, oni ta nevedia presne zaradit. ide o to, ze napriklad taky google sleduje kompletne celu tvoju aktivitu a to na zaklade cookies, ktore ta spajaju s nejakym kontom. ak vsak ty ako uzivatel zmazes cookies tak google zacina cely proces znovu. rovnako to funguje aj pri private browsing.
ak teda aj zmazes cookies cez browser ale flash si ich stale uchova, nech urobis cokolvek, tak vsetko je stale zaznamenavane a ty sa schovat uz nedokazes. ked si k tomu priratas ip tak v podstate ta dokazu potom v pripade potreby spojit aj s konkretnou osobou. dosledky su velmi neprijemne a prave nemoznost kontroly svojej anonymity je nielen sklucujuca ale aj zarazajuca.
na to aby si vedel o niekom az prilis vela nepotrebujes vediet, co ma nainstallovane. plus flash aj silverlight su dve samostatne aplikacie, ktore bezia na pocitaci. oni samotne maju pristup prakticky vsade, akurat ho nedavaju programatorom. ak sa vsak najde bezp. chyba, ktora to dokaze obist, tak mas pristup kam len chces. tieto chyby sa objavuju ako huby po dazdi uz niekolko rokov a cim dalej tym viac. je potrebne este dodat, ze flash je na 98% vsetkych uzivatelskych PC, co vo vysledku znamena, ze takto moze byt sledovana drviva vacsina ludi!
#6 oooo: ad nemožnost kontroly soukromí: myslím, že to může řešit třeba TOR nebo podobná anonymní síť. Ona i ta IP není zase až tak cenná, přece jen jsou NATky u poskytovatelů celkem rozšířené. Něco jiného by byla situace, kdy by ten flash posílal informaci o IP adresách přidělených ve vnitřní síti, ty se AFAIK nemění (právě proto, aby se dal dohledat konkrétní uživatel).
Bezečnostní chyba je jiná kapitola, tam je samozřejmě nebezpečí zcela reálné.
Tušíš, jak je to se sledováním “všech uživatelů”? Nemůžu se zbavit dojmu, že na to, aby se dala taková data smysluplně zneužít, by musela být hrozně podrobná, a navíc by dotyčný musel mít k dispozici ohromnou výpočetní kapacitu.
(Pod “smysluplně zneužít” teď nemám na mysli sbírání statistických dat o zájmech uživatele, spíš prozrazení telefonního čísla, bydliště a podobně).
Flash je pekný kus toho oného. Viem si predstaviť Čínskeho “disidenta” ako sa snaží anonymne dostať na čínsky web-mail zo zapnutým Tor-om a zapnutým flashom a na dvere mu o pár hodín zaklopú tajný.
#7 Lyco: takze od konca. plne s tebou suhlasim, ze neziskas nejake citlive data, ako cisla uctov, tel cisla a podobne. to by sme uz hovorili o malwari. problem je prave v tom, ze to maximalne co dokaze flash, je mozne vyuzit v pripade objavenia chyby. nebolo to raz, ked sa objavili informacie o tzv. DNS rebinding, ktory umoznil ziskat internu ip adresu masiny, ci dokonca oscanovat cely network. ano, dnes su tieto veci opatchovane, ale zajtra to uz pravda byt nemusi.
z metasploit decloacking:
co sa tyka spracovania tychto statistickych dat, dnes uz nie je taky velky problem ziskat pristup k velkym vypoctovym vykonom, napriklad EC2 od amazonu. za par supov mas vykonu dost.
samozrejme, aby si nechapal zle tento clanok, resp. to co sa snazim vyjadrit. flash nehra ulohu skodliveho softveru (aj ked o tom by sa dalo skutocne diskutovat), ale len nebezpecneho softveru, ktory obchadza proxy, obchadza private browsing, robi veci, ktore uzivatel nemoze jednoducho kontrolovat a v pripade ze sa objavi bezpecnostna zranitelnost (co je uz pravidlom), tak nasledky mozu byt katastrofalne. staci si len spomenut na par tyzdnov stary pripad pdf, ktore vdaka includovanemu flashu sirili malware. preto je otazka, ci by samotna technologia mala mat taketo moznosti a ako moc by ich mal prehliadac kontrolovat.
Zdravím, velmi dobrá téma
Použil som tvoju utilitku ale akosi mi dobre nefunguje.
Pri zápise do súboru nefunguje parameter -w. Neviem čím to, pretože
ak nezadám tento parameter vypíše normálne zoznam a kolko ich má vytlačiť. V mojom prípade jednu (video.google) používam CCleaner. Asi som slepý, ale fakt netuším prečo zápis nefunguje.
Už asi 10 krát som pozeral na tvoj example :-).
Vopred díky
Uuuf. Cookies pro Flash? Nikdy v zivote jsem neslysel ;) Pod Debianem k naleznuti obdobne ~/.macromedia/Flash_Player/#SharedObjects/. Prihazuju mazani do cronu. Jako vzdy neco zajimavyho. Diky & GL
#10 Samael: jasne, vidim ten problem. pre zapis nepouzivaj -w ale -f. som ten script napisal asi za 30 minut, takze som sa mu moc nevenoval. ospravedlnujem sa, prekompiloval som source, takze si to mozes stiahnut znovu a vsetko bude v poriadku.
Diky ,už je to v pohodke. Akú najlepšiu strátegiu by si zvolil na eleminovanie flashových cookies ? Ja osobne som to pri obyčajných cookies riešil jedným dávkovým programom. Vdaka tebe som ho včera obohatil aj o flashové cookies(funguje pri štarte aj pri vypnutí). V čom si svoju utilitku nakodil ? Nebolo by jednoduchšie jeden *.bat súbor , nemusel by si ho neustále zapínať cez promt. Ešte raz vdaka.
#13 Samael: start a koniec pocitaca je fajn, akurat u mna by to trvalo niekolko tyzdnov, kedze to restartujem len z casu na cas. preto pouzivam firefox plugin, ktory sa o to stara kazdych 10 min.
utilitka je nakodena v pythone. nic zlozite, mozno pustim aj zdrojak. som to nakodil na kolene, cize ziadna vyhra.
btw samozrejme, akykolvek ukon sa da casovat, napr cez cron aleboo na windowse cez planovac uloh. tam si viest nastavit co chcem a kedy sa to ma vykonat.
#8 Užívateľ: Ano celkom dobra myslienka v pripade toho disidenta. Snazim sa vsak krok po kroku analyzovat, ako by cely proces prebiehal:
1.CD by anonymizoval svoje pripojenie pomocou TORu
2.CD by pristupil k sluzbe mailu z anonymnej IP exit nody avsak flash by ulozil na jeho disk session ID
3. CD by dokoncil pracu v prostredi webmailu a deaktivoval by sluzbu TORu
a teraz prichadza ten sporny bod, kedy uzivatel by musel navstivit danu domenu mailu znovu aby sa odoslala cookie, aspon tak to funguje pri posielani standardnych cookie v hlavickach HTTP. Neviem, ci to ma Flash inak, lebo cookie je standardne viazana na domenove meno, takze napriklad keby k tomu mailu pristupil potom prostrednictvom IP adresy, standardna HTTP-based cookie by sa neodoslala.
Inak myslim si, ze cinsky disident po tom, ako na zaklade navstev stranok duchovneho hnutia Fa-lun-kung zatkli a odviedli na nezname miesto jeho rodinu, je obozretnejsi a pri navsteve webu pouziva anonymizacne live distribucie ako napriklad http://anonymityanywhere.com/incognito/
Jedna otázka – nikdy jsem neslyšel o elementu random, zřejmě ani neexistuje a další zajímavé následuje hned za tím. Co pak znamená html kód
For Web sites: %APPDATA%\Macromedia\Flash Player\#SharedObjects\\\
\.sol ?
Je to jen zvědavost :)
#16 stej: mas pravdu, dakujem ti. v tomto pripade to malo byt pouzite ako napoveda, nie ako html kod. ale WP ani po sanitizacii znakov nejak nemienil zobrazit spravnu verziu a hodil ju do historie. vobec som si to nevsimol. uz je to opravene
btw, ty sa musis hodne nudit ak si pozeras zdrojak webu :)
#17 oooo: diky. Našel jsem to tak, že mi FlashBlock tvrdil, že je tam ve stránce o pár řádků níž flash – ono to vypadalo dost nepravděpodobně, tak jsem se tam podíval :) (už se to po fixnutí nedá zreprodukovat)
Jinak mrknout do kódu je někdy docela zajímavá práce :)
Mě spíš než ta vlastnost (ukládat identitu a nastavení do souboru) znepokojují chyby v samotném flashi a dokonce jsem za to, aby se vytvořil nový standard a místo Flashe od Adobe, kterej to prostě pojal moc laxně, se vytvořilo něco jiného. Docela by mě zajímalo srovnání s technologií od Microsoftu a jak je na tom flash v souvislosti s normami, například ISO.
flashblock+noscript+CookieSafe+objection by mali pomôcť.
Zaujímavé je, že veľa ľuďom, ktorých poznám, to vôbec nevadí, rovnako ako im nevadia kamery v každej riti…