Sleutel wegneemetes
- Navorsers het duisende van die topwebwerwe gevind wat vormdata vaslê en deel selfs voordat gebruikers die Submit-knoppie gedruk het.
- Die versameling is nie altyd vir advertensiedoeleindes nie, stel privaatheidskenners voor.
- Baie webwerwe het die foute besit en reggestel, maar verskeie oortree steeds die reëls.
Webwerwe word al hoe slenter om jou inligting in te samel en te deel.
'n Uitgebreide studie na die top 100 000 webwerwe het aan die lig gebring dat baie inligting wat mense in die werfvorms ingevoer het, aan derdeparty-spoorsnyers uitgelek het voordat mense selfs die indien-knoppie gedruk het. Dit het duisende sulke webwerwe gevind wat alles van e-posadresse tot wagwoorde uitgelek het, maar gelukkig het baie die probleme opgelos sodra die navorsers hulle gekontak het.
"Dit is kommerwekkend om te sien hoe webwerwe wagwoorde uitlek," het Rick McElroy, hoof kuberveiligheidstrateeg by VMware, per e-pos aan Lifewire gesê in reaksie op die navorsing. "Ek is bly om te sien dat die organisasies, sodra dit in kennis gestel is, veranderinge aan hul kode gemaak het om daardie praktyk te stop."
Enter to Leak
Die studie is gedoen om te bepaal of aanlyn-spoorsnyers toegang tot webvorms misbruik. Die navorsers wys na 'n opname waar 81% van die respondente erken het dat hulle op 'n stadium aanlynvorms laat vaar het.
"Ons glo dit is sterk teen gebruikers se verwagtinge om persoonlike data van webvorms in te samel vir opsporingsdoeleindes voordat 'n vorm ingedien word," het die navorsers opgemerk. "Ons wou hierdie gedrag meet om die voorkoms daarvan te bepaal."
In totaal het hulle 2,8 miljoen bladsye op die wêreld se hoogste posisies getoets. Hiervan het 1 844 webwerwe spoorsnyers toegelaat om e-posadresse te eksfiltreer voor indiening, wanneer dit vanuit Europa besoek is. Wanneer dit vanaf die VSA besoek is, het die aantal werwe wat inligting versamel voor indiening tot 2 950 toegeneem.
Die navorsers merk op dat die datalekkasies blykbaar in sommige gevalle onbedoeld was, met toevallige wagwoordversameling op 52 webwerwe wat opgelos is danksy die studie se bevindinge.
"Sommige webwerwe het vir ons gesê dat hulle nie bewus was van hierdie data-insameling nie en het die probleem reggestel met ons openbaarmakings," het die navorsers geskryf, wat hul bevindinge by die komende USENIX Sekuriteitsimposium, in Boston, Massachusetts, sal aanbied.
Bly veilig
Chris Hauk, kampioen vir verbruikersprivaatheid by Pixel Privacy, het gesê dat terwyl die datalekkasies van die webwerwe af kom, daar 'n paar dinge is wat mense aan hul kant kan doen om ten minste die datalekkasies te vertraag.
"Gebruikers kan Electronic Frontier Foundation se Cover Your Tracks-webwerf besoek om te bepaal hoe webwerf-spoorsnyers jou blaaier sien, wat onthul hoe werwe jou kan opspoor terwyl jy aanlyn is, en wat jy kan doen om dit ten minste gedeeltelik te voorkom," het Hauk voorgestel aan Lifewire oor e-pos.
Persoonlike data en die waarde daarvan vorm die sakemodel vir baie moderne digitale ondernemings vir die afgelope 20+ jaar…
Die gewone raad om 'n VPN te gebruik om jou aanlyn snitte te bedek, sal nie baie nuttig wees om hierdie soort lekkasie te voorkom nie. Hauk stel voor om 'n weggooibare e-posadres, apart van jou gewone persoonlike e-posrekening, te gebruik vir gebruik op webwerwe wat vir sulke inligting vra.
McElroy het mense gevra om óf 'n webblaaier te gebruik wat vir privaatheid gebou is soos Brave, óf om privaatheidbyvoegings, soos Privacy Badger, op hul gewone blaaier te installeer. Hy het ook gepleit vir multifaktor-verifikasie om die skade van wagwoordlekkasies te verminder.
Boonop het die navorsers 'n bewys-van-konsep-blaaierbyvoeging genaamd Leak Inspector ontwikkel wat waarsku en beskerm teen data-eksfiltrasie.
Data-ekonomie
McElroy het sy verbasing oor die omvang van die versameling uitgespreek en gesê mense moet verstaan dat mensgegenereerde data 'n kommoditeit is wat ingesamel, gedeel, ontleed en vir veelvuldige doeleindes gebruik sal word.
"Meeste van die tyd is hierdie doeleindes nie noodwendig kwaadwillig nie (soos om data met 'n derdeparty-adverteerder te deel), maar die vloei tussen en tussen stelsels met verskillende vlakke van sekuriteit maak alle verbruikers kwesbaar en skep 'n ryp landskap vir aanvallers om voordeel uit te trek," het McElroy verduidelik.
David Rickard, CTO North America by Cipher, 'n Prosegur-maatskappy, dink dat mense moet aanvaar dat elke vorm wat hulle op die internet invul, data stoor terwyl data-invoer aan die gang is, en elke vorm wat hulle invul die eiendom word van die webwerf en herverkoop aan derde partye.
"Persoonlike data en die waarde daarvan vorm die sakemodel vir baie moderne digitale ondernemings vir die afgelope 20+ jaar, selfs al stel hul privaatheidsbeleide uitdruklik dat hulle nie PII [Persoonlik Identifiseerbare Inligting] insamel en dit verkoop nie, "het Rickard per e-pos aan Lifewire gesê.
Hy het gesê dat dataversamelaars werk rondom privaatheidsregulasies deur verskeie verskillende datastelle in te samel wat dalk nie naam, adres, ens. insluit nie, wat nie PII as sodanig is nie, maar wanneer dit ooreenstem met honderde bykomende datapunte van ander datastelle, kan individue identifiseer met 'n sukseskoers van meer as 90%.
"Dit gee aanleiding tot dienste wat iets soos aktuariële tabelle is (of geglo word om eintlik aktuariële tabelle te wees) wat kredietwaardigheid, versekerbaarheid, indiensneembaarheid, waarskynlikheid van verskillende verslawings, waarskynlike politieke en godsdienstige affiliasies aandui, noem maar op, " sê Rickard.
