澳大利亞技術專家Nik Cubrilovic運行一系列測試,分析瀏覽器向Facebook發出請求的HTTP頭文件,他發現Facebook在用戶登出後仍然繼續跟踪用戶。用家登出facebook後,facebook的「間諜程式」(cookies,又稱「小甜餅 」)會繼續如影隨形地潛伏在瀏覽器內,繼續記錄用家在其他網站點讚、分享的行為舉動。
換言之,即使你並未登入,臉書依然可以透過cookie,知道使用者在網絡上做了些甚麼事,「Cookie」是一種儲存在用戶端,用來辨識使用者身份資料、 便利快取內容的數據,它可以隨時隨地記錄使用者在網絡上的所有活動資料。Nik Cubrilovic強調,唯一能夠防止臉書知道你是誰的方式,就是刪除所有臉書cookies。Facebook另一項名為Ticker的功能,讓使用者可以發現好友正在做的事情,也引起隱私權問題。
Facebook否 認了cookie跟踪的指控。
Facebook工程師Arturo Bejar解釋說,這是一種安全保護機制。這種安全保護機制識別Spammer和釣魚者,檢測是否有人未經授權訪問帳號,如果帳號被黑可以幫助用戶取回帳號,阻止未成年用戶用不同出生日期重新註冊;支持帳號安全功能。他說,Facebook的cookies並不用於展示針對性廣告或是將用戶信息出售給第三方。
但註銷的Facebook只授權您的瀏覽器從 Web應用程序,餅乾(包括您的帳戶號碼)的數量仍然一起發送到所有facebook.com請求。即使你是註銷,臉譜仍然知道,可以跟踪您所訪問的每一頁。唯一的解決辦法是刪除的Facebook的Cookie,在瀏覽器中的每一個或一個單獨的瀏覽器使用Facebook的交互。
這裡發生了什麼,facebook.com的請求的HTTP頭看。首先,一個正常的要求作為登錄用戶的Web界面發送以下Cookie:
注:我有兩個捏造每個 cookie的值,並增加了可讀性換行
Cookie:
datr=tdnZTOt21HOTpRkRzS-6tjKP;
lu=ggIZeheqTLbjoZ5Wgg;
openid_p=101045999;
c_user=500011111;
sct=1316000000;
xs=2%3A99105e8977f92ec58696cf73dd4a32f7;
act=1311234574586%2F0
登出功能的要求會看到這種反應,從服務器,這是試圖取消設置以下Cookie:
Set-Cookie:
_e_fUJO_0=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; path=/; domain=.facebook.com; httponly
c_user=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; path=/; domain=.facebook.com; httponly
fl=1; path=/; domain=.facebook.com; httponly
L=2; path=/; domain=.facebook.com; httponly
locale=en_US; expires=Sun, 02-Oct-2011 07:52:33 GMT; path=/; domain=.facebook.com
lu=ggIZeheqTLbjoZ5Wgg; expires=Tue, 24-Sep-2013 07:52:33 GMT; path=/; domain=.facebook.com; httponly
s=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; path=/; domain=.facebook.com; httponly
sct=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; path=/; domain=.facebook.com; httponly
W=1316000000; path=/; domain=.facebook.com
xs=deleted; expires=Thu, 01-Jan-1970 00:00:01 GMT; path=/; domain=.facebook.com; httponly
為了使更容易看到的cookie被取消設置,名稱為斜體。如果你比較已記錄的要求,並比較它們正在註銷請求取消設置的Cookie,你很快就會看到,有一些不被刪除的Cookie,並有設置的Cookie兩個 cookie只被賦予了新的到期日期,和三個新的cookies(W,FL,L),被設置(locale和LU)。
現在我一個 facebook.com作為“登錄”用戶的後續請求:
Cookie:
datr=tdnZTOt21HOTpRkRzS-6tjKP;
openid_p=101045999;
act=1311234574586%2F0;
L=2;
locale=en_US;
lu=ggIZeheqTLbjoZ5Wgg;
lsd=IkRq1;
reg_fb_gate=http%3A%2F%2Fwww.facebook.com%2Findex.php%3Flh%3Dbf0ed2e54fbcad0baaaaa32f88152%26eu%3DJhvyCGewZ3n_VN7xw1BvUw;
reg_fb_ref=http%3A%2F%2Fwww.facebook.com%2Findex.php%3Flh%3Dbf0ed2e54fbcad0b1aaaaa152%26eu%3DJhvyCGewZ3n_VN7xw1BvUw
主要的餅乾,確定我作為一個用戶仍然存在(ACT是我的賬戶號碼),即使我在尋找退出的頁面。註銷的請求仍然發送了九種不同的cookie,包括最重要的Cookie識別用戶
這不是“登出”應有的意思 – Facebook上只有改變狀態,而不是當用戶註銷時,刪除所有的Cookie。
我的瀏覽器登錄 Facebook的,臉譜,像按鈕或“共享”按鈕,或任何其他部件,信息,包括我的帳戶 ID,每當我訪問任何網頁時,仍然是被發送到Facebook。到Facebook,不知道你是誰,唯一的解決辦法是刪除所有Facebook的Cookie。
一個實驗
一年前,我用多個 Facebook帳戶夾開發工作。註銷我的瀏覽器後,我創建了一些假冒Facebook賬戶。在使用一段時間的假帳戶後,我發現,他們是我,作為朋友,我的真實帳戶。不知怎的,FACEBOOK知道,我們都從同一個瀏覽器,即使我已經註銷。
如果您使用的是從一個公共終端 FACEBOOK有嚴重的影響。如果公共終端上登錄,然後點擊“註銷”,背後的指紋登錄。至於我可以告訴你仍然離開,這些指紋留(在cookie的形式),直到有人明確地刪除所有的Facebook針對該瀏覽器的餅乾。一個真正的名字相關聯的帳戶 ID是很容易 – 相同的ID是用來識別您的個人資料。
Facebook知道每一個帳戶,從每一個瀏覽器訪問 Facebook和使用該信息,建議給你的朋友。 “同一台機器”價值工程建議的朋友,在算法的強度可能較低,但它仍然發生。這也很容易進行測試和驗證。
我報告這個問題到Facebook,一個詳細的電子郵件,並得到反彈,。我通過電子郵件有人我知道在該公司,並轉發請求給他們。我從來沒有得到響應。整個過程是片狀和令人沮喪的,我沒有打擾發送他們兩個,我還發現在過去的一年的XSS漏洞。他們確實需要對隱私問題的報告,得到他們的狗屁在一起,我相信他們更嚴重的安全問題很多。
隱私意識的崛起
10-15年前,當我第一次加入保安行業得到了用戶之間的安全問題的認識,開發人員和系統管理員低。微軟 Windows和IIS安全漏洞的瑞士奶酪。您可以手動發送畸形的有效載荷到IIS 4.0,並有崩潰棧或堆溢出,這通常會導致一個遠程漏洞。
2001年,整個軟件行業對管理和開發的安全性原則的認識經歷了一個改革。Microsoft重新培訓緩衝區溢出,字符串格式化錯誤,關閉接一個的錯誤等所有他們的開發和審核其整個代碼庫。高調安全事故的數量提高了認識,和今天的供應商有適當的安全程序,從報告的新bug的修補程序和安全編程原則(這不只是微軟的問題 – 但我不得不與他們最有經驗)。
隱私權今天感覺像什麼樣的安全10-15年前 – 有一個穩步的建設和博客突出的技術人員的職位是幫助 steamroll公眾意識的問題的認識。周圍的隱私的風險是一樣嚴重的安全漏洞,然後 – 除了有一個數量級以上的用戶在網上訂購了很多更多的私人數據在網絡上共享。
Facebook上新的隱私辯論前端和中心就像微軟的安全問題在十年前。問題是如何將 Facebook的解決隱私問題,並給他們的用戶來管理自己的隱私和實施明確的政策工具 – 網頁和網頁混亂的法律文件,“登出”沒有真正的意義“登出” 。
與 Facebook聯繫
為了澄清,我首先通過電子郵件發送這個問題在2010年11月14日到Facebook。我也複製他們按地址的電子郵件,就可以得到一個官方的回應。我從來沒有得到任何回應。我發出另一封電子郵件,按到Facebook,並將其複製到別人,我知道在Facebook 2011年1月12日。同樣,我沒有得到回應。我的所有電子郵件的副本,主題行是很清楚這個問題的重要性。
跟帖
這個故事的反應,已經達到驚人的。我寫的一個後續,將分析我所收集的數據以及從 Facebook(在下面的評論,你可以讀)的反應。如果你想查看原始日誌,我有救了他們這裡。具體來說 datr和LU餅乾保留後註銷,並在後續的請求,並 a_user的Cookie,其中包含您的用戶名,只清理一次會議是重新啟動。最重要的是,連接狀態保留通過這些 HTTP連接。從未有一個乾淨的突破之間一個在會議記錄和一個登錄會話 – 但我將在後續的職位。
勘誤:我是指在上面後,錯誤的cookie名稱。我也說“所有網站”可跟踪,當我的意思是說“整合Facebook的所有站點。
分類: News | 張貼留言 »