محققان دانشگاه پرینستون اخیرا هشدار دادند که شرکتهای ردیابی وب میتوانند از مکانیزمهای رمز عبور برای سرقت آدرسهای کاربری و آدرسهای ایمیل سوء استفاده کرده و باعث خطرات نقض امنیت سایبری شوند.
مرورگرهای رایج مانند Chrome، Safari و Firefox شامل یک سیستم مدیریت ورود برای ذخیره و بارگزاری نام کاربری و رمز عبور هنگام بازدید از یک سایت میباشند. محققان کشف کردند که ردیابهای وب میتوانند از این تکنیک ، یعنی ورود اتوماتیک نام کاربری و پسورد، استفاده کنند و اطلاعات حساس را به صورت مخفی جمع آوری میکنند.
در حالیکه سوء استفاده از این نقص تاکنون بسیار محدود بوده است، مدیران و کاربران فناوری اطلاعات باید نسبت به اینگونه خطرات آگاه باشند و از تکنیکهایی استفاده کنند که خطرات بالقوه نقض امنیت سایبری را تا حد امکان کاهش دهد.
درک خطر سایبری
محققان مرکز سیاستهای فناوری اطلاعات پرینستون شواهدی دریافتند که شرکتهای ردیابی وب به طور مخفیانه فرمهای ورود را به صورت مخفی در سایتها وارد میکنند. سیستمهای مدیریت نام کاربری و پسورد که توسط مرورگرها استفاده میشود این فرمهای مخفی را با اطلاعات ورودی، مانند نام کاربری و رمز عبور، بدون اطلاع کاربر تکمیل میکنند.
کارشناسان مدتهاست که در مورد خطر امنیتی بالقوه درباره عملکرد سیستم تکمیل خودکار اطلاعات در مرورگرها هشدار داده اند. با این حال، محققان پرینستون اولین کارشناسانی هستند که شواهدی از این آسیب پذیری را که برای پیگیری افراد در وب استفاده میشود را ارائه میدهند.
آنها همچنین نسخه ای نمایشی از این فرمهای مخفی ایجاد کرده اند که به کاربران اجازه میدهد تا این نقص را در عمل را ببینند.
Brave تنها مرورگر بزرگی است که به تهدید نام کاربری و رمز عبور حساس نیست. در حالی که مرورگرهای مبتنی بر کروم عدم ذخیره نام کاربری و پسورد را تا تایید کاربر با کلیک کردن به تاخیر میاندازند، و این روشی قوی برای حفاظت نیست.
جزئیات شواهد تهدید ردیابی از طریق وب ترَکینگ
محققان پرینستون در یک پست وبلاگ گزارش دادند که آنها دو سرویس ردیابی وب، Adthink و OnAudience را پیدا کردند که از فرمهای ورود به سیستم برای جمع آوری اطلاعات حساس استفاده میکنند. این سرویسها از طریق اسکریپتهای ردیابی جاسازی شده در 1110 وب سایت جمع آوری شده است.
مجله PC اشاره میکند: خبر خوب این است که هیچ یک از این شرکتها اطلاعات رمز عبور را جمع آوری نکرده اند. در عوض آنها بر ایجاد هشهای آدرس ایمیلها تمرکز کرده اند. Gunes Acar ، پژوهشگر پرینستون، به این نشریه گفت که آدرسهای ایمیل هش شده این شرکتها را قادر میسازد تا ردیابی کاربران خود را بهبود ببخشند، حتی اگر این افراد کوکیها یا دستگاههای خود را دستکاری و تغییر دهند.
Acar گفت که مشخص نیست که دادهها چگونه میتوانند مورد استفاده قرار گیرند. همکارش Arvind Narayanan نیز میگوید که ناشران معمولا از درج اسکریپتهای شخص ثالث که میتوانند برای جمع آوری دادهها استفاده کنند، بی اطلاع هستند. هر گونه خطر بالقوه نقض حریم خصوصی معمولا منجر به حذف اسکریپتهای متخلف میشود.
جلوگیری از نقض امنیت سایبری
با این وجود، تهدیدهای ورود به حریم خصوصی باعث ایجاد نگرانی برای کاربران و مدیران فناوری اطلاعات میشود که از اطلاعات حساس محافظت میکنند. Bleeping Computer به نقل قولی از Lukasz Olejnik، محقق مستقل، اشاره کرد که: صاحبان سایت ممکن است از ردیابی وب و نقض احتمالی مقررات حفاظت کلی اطلاعات (GDPR) مطلع نباشند.
مدیران فناوری اطلاعات باید از این قوانین جدید و خطر نقض امنیت سایبری آگاه شوند. ناشران، کاربران و شرکتهای ارائه کننده مرورگر باید برای جلوگیری از فرایند لو رفتن اطلاعات از طریق تکمیل خودکار اطلاعات در صفحات وب بیشتر کار کنند. ناشران میتوانند این کار را از طریق تکمیل فرمهای ورود در یک زیر دامنه جداگانه انجام دهند. همچنین کاربران باید برای جلوگیری از ردیابی توسط شخص ثالث، ابزارهای بلاک کننده تبلیغات یا برنامههای حفاظتی را روی مرورگر خود نصب کنند.
سرانجام، محققان پیشنهاد کردند که شرکتهای ارائه کننده مرورگر مجددا باید دسترسی به اطلاعات محرمانه را در فرمهای اتوماتیک بررسی کنند.
این کار میتواند با دادن گزینه ای به کاربران برای از کار انداختن این شیوه، و یا درخواست یک واکنش از کاربر قبل از تکمیل خودکار فرم انجام شود. حداقل، توسعه دهندگان مرورگر باید در مورد چگونگی سوء استفاده اسکریپتهای شخص ثالث از فن آوری هایشان جدی تر فکر کنند.
