Ropogós

Nincsenek friss tartalmak.

» A teljes listához

Új hozzászólások

» 2017.02.16. 15:38:22, Noel @ Nem minden privacy tipp "tuti"

» 2016.11.13. 13:14:07, Illés bence jános @ Hogyan válasszunk erős jelszót?

» 2016.09.24. 07:22:07, Bola Online @ Alkalmazott kriptográfia – TrueCrypt

» 2015.12.25. 21:18:36, MobilKém @ Lehallgatható kikapcsolt állapotban a mobiltelefon?

» 2015.11.26. 21:38:36, [anonymous] @ Titokban összesúg a tévé és az okostelefon

History Stealing: közösségi platformokra továbbfejlesztve

| | 2010.03.16. 11:07:23  Gulyás Gábor  

Vissza

Egy ideje követem Arvind Narayanan-nak a 33 Bits of Entropy nevű blogján megjelenő post sorozatát a History Stealing témaköréből, és ennek is köszönhetőek a kapcsolódó bejegyzések zöme (de azért nem mind). A History Stealing módszer ámbár már régen ismert, egy újszerű támadási módszer újra fény vetett rá. Ennek lényege, hogy ha ismerünk elegendő mennyiségű publikus profilt a csoport-tagságokkal együtt egy tetszőleges közösségi oldalról, akkor elég ellenőriznünk a weboldalt meglátogató felhasználónál néhány csoportok weboldalának az URL-jét, hogy a felhasználó profilját egyedileg be tudjuk azonosítani. Arvind azonban továbbfejlesztette az ötletet általánosságban a közösségi médiákra.

Bejegyzésében három olyan típusát említi a közösségi médiáknak, amelyeken a támadás kivitelezhető. A cél mindegyik esetében ugyanaz: a látogatót összekapcsolni egy a weben publikált identitással, regisztrációval. A platformok tehát:

  1. Csatlakozás közösségekhez. A lényeg, hogy legyenek az adott rendszerben olyan gyűjtőhelyek (ún. hub-ok), amelyekhez felhasználók tömegei csatlakoznak. A Facebook-nál bemutatott támadásnál épp ilyenek voltak a csoportok, de bármilyen hasonló funkciójú gyűjtőhely is megfelel, a lényeg, hogy egyedi URL-je legyen, amit később vissza lehet ellenőrizni. Ilyenek például a Youtube csatornák is, vagy a Twitteren lévő híresebb bloggerek, stb.
  2. Megosztás közösségi oldalakon. Ha a felhasználó megoszt egy oldalt, akkor az a böngészési előzményekben is megtalálható lesz – ezeket kell visszaellenőrizni, majd pedig megnézni, hogy kik osztották meg ezeket az URL-eket. Ilyen oldal példálul a Delicious. Ezeknek előnye, hogy a felhasználók megosztásai általában folyam formájában is lekérhetőek, így a szükséges adatbázis könnyen elkészíthető a kiszolgáló publikus adatainak begyűjtésével.
  3. Központosított azonosítást használó oldalak. Ennél a támadásnál előfeltétel, hogy a felhasználó egy egységes beléptető rendszert használ (pl. Google, Facebook), és a meglátogatott oldalakon valamilyen nyomot hagy maga után, például megjegyzést fűz a tartalomhoz. Az ilyen nyomok esetén pedig lehet ellenőrizni, hogy a nyomhagyás közben meglátogatott egyedi URL-ek szerepelnek-e a böngésző előzményei között.

Szerencsére a támadások ellen – egy elég minimális szintű kényelmet feladva – könnyen védekezhetünk, ha bekapcsoljuk, hogy böngészőnk minden kilépés előtt törölje a böngészési előzményeket. Ha valamilyen okból mégis használtuk ezt a funkciót és ragaszkodunk hozzá, akkor biztosan megtaláljuk a nekünk megfelelő böngésző kiegészítést ennek pótlására. Ha például tárolni szeretnénk azokat az oldalakat, amelyeket még el szeretnénk a későbbiekben olvasni, arra tudjuk ajánlani a Read it later nevű kiegészítést. Más igényekre is biztosan megtalálható a személyre szabott megoldás, csak keresnünk kell.

(Egy másik bejegyzésben pedig Narayanan azt írja, hogy a History Stealing sokkal veszélyesebb eszköz a szolgáltatók kezében, mint ha mondjuk a kormány használná – ami abból a szempontból mindenképp aggályos, hogy a pénzügyeiket féltő szolgáltatók még érdekeltek is lehetnek ilyen módszerek használatában, és könnyen elképzelhető emiatt, hogy találkozunk majd a jelenséggel.)

Címkék: webes megfigyelés, web 2.0, history stealing

Permalink: https://pet-portal.eu/blog/read/276/2010-03-16-History-Stealing-kozossegi-platformokra-tovabbfejlesz...

Ajánló

Vissza


Hozzászólások

Összesen 0 hozzászólás látható.

Nincsenek hozzászólások.


Új hozzászólás beküldése

Bárki hozzászólhat, nem regisztrált beküldő esetén egyik adat megadása sem kötelező - a hozzászólás akár névtelen is lehet.

Név:
E-mail:
Blog:
Megerősítési kód (Új kép generálása a megerősítési kódról)

A BBCode egy egyszerű jelölő nyelv, amellyel a hozzászólásokat lehet formázni. Érvényes parancsok:

bold: [b]Maecenas at nisl.[/b]
italics: [i]Maecenas at nisl.[/i]
underline: [u]Maecenas at nisl.[/u]
url: [url]http://www.mysite.com[/url], [url=http://www.mysite.com]Maecenas at nisl.[/url]
image: [img]http://www.mysite.com/mypic.png[/img]
quote: [quote]Maecenas at nisl.[/quote]
code: [code]Maecenas at nisl.[/code]
size: [size=12]Maecenas at nisl.[/size]
color: [color=#FF0000]Maecenas at nisl.[/color]

Hozzászólok!





© International PET Portal, 2010 | Impresszum | Felhasználási feltételek | Adatvédelmi Nyilatkozat