لاس فيجاس - هل أنت من محبي الخصوصية على الإنترنت؟ هل تحجب ملفات تعريف الارتباط لتتبع المتصفح? هل تستخدم Duck Duck Go لإجراء عمليات بحث مجهولة على الويب؟

الائتمان: باثدوك / شاترستوك
(رصيد الصورة: Pathdoc / Shutterstock)

لا يهم. يمكن لمزود خدمة الإنترنت (ISP) أو ملحقات المستعرض لديك جمع وبيع محفوظات تصفح الويب الخاصة بك حتى إذا اتخذت الاحتياطات المذكورة أعلاه. وأي شخص يحصل على هذه البيانات ، سواء كانت البيانات مجهولة المصدر أم لا ، سيكون على الأرجح قادرًا على معرفة اسمك الحقيقي ومعرفة ما تفعله بالضبط عبر الإنترنت.

هذه هي النتائج التي توصل إليها الصحفي التلفزيوني الألماني Svea Eckert وعالم البيانات Andreas Dewes ، اللذان تحدثا في مؤتمر القراصنة DEF CON 25 هنا يوم الجمعة الماضي (28 يوليو).

نظرًا لتاريخ التصفح لمدة شهر من 3 ملايين مواطن ألماني يفترض أنهم محميين ، وفقًا للباحثين تم تحديد الأفراد من خلال ربط البيانات مجهولة المصدر بالمعلومات العامة المأخوذة من وسائل التواصل الاجتماعي التعيينات.

وجدوا سياسي ألماني يبحث عن مكمل عشبي لتحفيز شيخوخة الدماغ. محقق شرطة يخلط بين الأنشطة الشخصية والتجارية على كمبيوتر العمل ؛ والقاضي الذي زار العديد من المواقع الإباحية في نفس الوقت كان يتسوق لشراء عربة أطفال.

قال إيكيرت وديويز لـ DEF CON إن الطرق الوحيدة للحفاظ على خصوصية سجل تصفح الويب الخاص بك هي إما تشغيل تور بروتوكول إخفاء الهوية من خلال عقد خروج متعددة ، أو استخدام خدمة الشبكة الافتراضية الخاصة (VPN) يقوم بتدوير الخوادم الوكيلة.

إذا كان هذا يبدو غير مريح ، فهو كذلك. ولكن الآن بعد أن أصبح مجلس الشيوخ الأمريكي ألغى قواعد حماية الخصوصية لمزودي خدمة الإنترنت، سجل التصفح لكل أمريكي - واستنتاج الهوية - معروض للبيع لمن يدفع أعلى سعر.

أكثر: أفضل خدمات حماية الهوية

إيقاف المجموعة

يلتزم مزودو خدمات الإنترنت الألمان بقوانين الخصوصية الصارمة من جمع مثل هذه المعلومات الشخصية دون إذن. ولكن ماذا عن المستخدمين الأمريكيين ، الذين ليس لدى مزودي خدمة الإنترنت مثل هذه القيود؟ قال إيكرت وديويز إن أحد الحلول هو تشغيل Tor باستمرار ، وهو بروتوكول إخفاء هوية الويب المتاح مجانًا ولكن يصعب استخدامه أحيانًا.

هناك طريقة أخرى تتمثل في استخدام خدمة VPN - لكن Dewes حذر من إجراء بعض الأبحاث قبل الاشتراك بواحدة ، لأن بعض خدمات VPN تجمع أيضًا معلومات المستخدم وتبيعها.

في كلتا الحالتين ، لن يتمكن مزود خدمة الإنترنت من معرفة أين كنت متصلاً بالإنترنت. ولكن عليك التأكد من أن عناوين IP "للخروج" - عُقد الخروج في Tor ، أو الخوادم الوكيلة في VPN - سيتم تغييره بانتظام بحيث لا يرتبط عنوان IP للخروج بملف المستعمل.

الحصول على البيانات

قام Eckert و Dewes بأبحاثهما عن ميزة تسمى "عارية على شبكة الإنترنت" التي تم بثها على المجلة الإخبارية التلفزيونية الألمانية بانوراما في نوفمبر 2016. كانوا يعلمون أن مئات الشركات تشتري وتبيع بيانات تصفح الويب التي تجمعها مواقع الويب ومحركات البحث.

يمكن شراء كميات ضخمة من هذه البيانات علنًا طالما تم تجريد المعلومات التي تحدد هوية المستخدمين الفرديين ، مثل عنوان بروتوكول الإنترنت (IP) الخاص بجهاز كمبيوتر أو هاتف ذكي.

للحصول على هذه البيانات ، أنشأ إيكيرت وزملائه الصحفيون شركة تسويق عبر الإنترنت مزيفة ، كاملة مع موقع ويب رائع مليء بالكلمات الطنانة للشركات والموظفين الذين لديهم ملفات تعريف لينكد إن وهمية.

نظرًا لكونهم ممثلين للشركة ، فقد تواصلوا مع حوالي 150 من وسطاء البيانات عبر الإنترنت المهتمين بشراء بيانات التصفح. ومع ذلك ، قيل لهم عدة مرات أنه بسبب قوانين الخصوصية الألمانية الصارمة ، قد يكون من الصعب الحصول على هذه المعلومات.

وقال إيكرت "قالوا إن البيانات الأمريكية أو البريطانية لن تكون مشكلة لكن ألمانيا صعبة".

أخيرًا ، قالت إحدى الشركات إن لديها بيانات تصفح من سكان ألمان. عرضت على Eckert and Dewes عينة شهر واحد مجانًا ، لكنها لم تخبرهم من أين أتت. تتألف مجموعة البيانات من 3 مليارات زيارة إلى 9 ملايين موقع إلكتروني من قبل 3 ملايين ألماني.

سحق الأرقام

تم تحديد كل مستخدم برقم فقط ، بدون عنوان IP مطابق. لكن إيكرت وديويز أدركا أنه مع وجود الكثير من البيانات ، كان إخفاء الهوية مستحيلًا. استخدموا طريقة تم تطويرها في عام 2008 من قبل علماء البيانات في جامعة تكساس ، الذين قاموا بتحليل بيانات المستخدم المقدمة من قبل نيتفليكس للتعرف بشكل إيجابي على آلاف المستخدمين المفترضين مجهولي الهوية.

هذه التقنية بسيطة. كان سجل التصفح الكامل لكل مستخدم لمدة شهر في مجموعة البيانات المجهولة المصدر. أنشأ الباحثون مجموعة بيانات ثانية تقابل نفس الشهر عن طريق "كشط" البيانات المنشورة علنًا من Twitter و Facebook و YouTube و Google Maps وغيرها من الخدمات عبر الإنترنت.

في كل مرة يقوم فيها شخص ما بالارتباط بموقع ويب أو التعليق عليه أو التوصية به ، ينتقل إلى مجموعة البيانات الثانية. أخيرًا ، بحثت خوارزمية الكمبيوتر عن التطابقات بين مجموعتي البيانات.

إحصائيًا ، قد ينقر ملايين الأشخاص على موقع ويب واحد محدد في شهر معين. لكن عددًا أقل من الأشخاص سينقرون على موقعين من نفس المواقع في الشهر.

اجعل ذلك ثلاثة ، ثم أربعة ، ثم خمسة مواقع مطابقة ، وهكذا ، وستقل الأرقام إلى عدد أقل وأقل من الناس حتى يتبقى الشخص الوحيد. إذا جاءت هذه التطابقات من مصادر وسائل التواصل الاجتماعي ، كما حدث في هذه الحالة ، فحينئذٍ يكون للمستخدم المجهول اسم.

قال إيكيرت وديويز إنه كان من السهل جدًا أن يكون لديك برنامج كمبيوتر يفحص البيانات ويخرج بالعديد من المطابقات الدقيقة. في بعض الحالات ، استغرق الأمر مباراة واحدة فقط.

وجد Dewes أن مستخدم Twitter الذي قام بتسجيل الدخول فقط يمكنه الوصول إلى صفحة تحليلات الحساب الخاصة به ، والتي لها عنوان URL فريد. وينطبق الشيء نفسه على خدمة شبكات الأعمال الألمانية Xing ، التي تفرض استخدام الأسماء الحقيقية. لذلك إذا ظهر أي من عنوان URL في سجل مستخدم مجهول ، يمكن للباحثين أن يكونوا متأكدين تمامًا من أنه أو أنها مالك الحساب.

أكثر: كيف تكشف بيانات التسوق المجهولة عن هويتك

الكشف عن المستخدمين

باستخدام هذه الأساليب ، وجد الباحثون أن فاليري ويلمز ، عضو البرلمان الفيدرالي الألماني ، قد بحثت عن Tebonin ، وهو مكمل عشبي يهدف إلى زيادة تدفق الدم إلى أدمغة الشيخوخة.

"يمكنك أن ترى كل شيء - sh * t!" صاح ويلمز عندما عرضت إيكيرت للسياسة تاريخ تصفحها على الكاميرا. "هذا أمر سيء حقًا أن ترى شيئًا كهذا - خاصةً إذا كان مرتبطًا باسمي."

حاولت Wilms حماية خصوصيتها باستخدام محرك البحث Duck Duck Go ، والذي على عكس Google أو Bing لا يسجل بيانات بحث المستخدم. لكن سلسلة بحث Duck Duck Go لـ Tebonin كانت موجودة في بيانات المستخدم المجهولة المصدر.

حدد الباحثون محقق شرطة بحث عن سيارة مستعملة في نفس الوقت الذي كان يكتب فيه بريدًا إلكترونيًا لإرساله إلى مزود خدمة إنترنت أجنبي بخصوص الجريمة الإلكترونية تحقيق. لم يظهر البريد الإلكتروني نفسه في البيانات ، لكن المخبر استخدم Google Translate لترجمة مسودته من الألمانية إلى الإنجليزية.

اتضح أن Google Translate يضع النص الذي يتم ترجمته مباشرة في عنوان URL (جربه بنفسك). قام المخبر بنسخ ولصق مسودة البريد الإلكتروني بالكامل ، بما في ذلك اسمه وعنوان بريده الإلكتروني ورقم هاتفه ، في ترجمة Google.

الأسوأ من ذلك كله كان حالة القاضي الذي زار بعض المواقع الإباحية البذيئة.

"لديه أذواق محددة حقًا" ، علق إيكرت بجفاف عندما ظهر سجل تصفح القاضي على شاشات عرض DEF CON.

كما بحث الرجل نفسه عن عربات الأطفال وأماكن الإجازة التي يمكن للزوجين مع طفل صغير السفر إليها.

"إنه لا يفعل أي شيء إجرامي على الإطلاق. قال إيكرت "إنه مجرد رجل عادي". "لكنك ترى مدى حساسية هذا ، وكيف يمكن ابتزازه ، خاصة في منصبه".

من قام بجمع البيانات

قد تتخيل أن استخدام الوضع "الخاص" أو "التصفح المتخفي" في المتصفح ، أو أداة حظر التتبع ، قد يوقف مثل هذه المجموعة من سجل التصفح. لكن الوضع الخاص يمنع المتصفح نفسه من جمع المحفوظات ؛ لا يمنع ISP من جمعها.

وبالمثل ، فإن أداة حظر التتبع تمنع فقط مواقع الويب من التسجيل التي قمت بزيارتها ، ولا تمنع مزود خدمة الإنترنت من رؤية أنك قمت بزيارتها.

ومع ذلك ، كان Eckert و Dewes متأكدين تمامًا من أن البيانات التي اشتروها لم تأت في الأصل من مزودي خدمة الإنترنت الألمان.

في ألمانيا ، لا يمكن للشركات الخاصة جمع المعلومات الشخصية مثل الأسماء والعناوين وعناوين IP وعناوين البريد الإلكتروني دون موافقة صريحة من الأشخاص المعنيين. (القواعد التي قتلها مجلس الشيوخ الأمريكي في أبريل كانت ستجعل مزودي خدمة الإنترنت الأمريكيين يفعلون الشيء نفسه).

إذن من أين أتت مثل هذه المعلومات التفصيلية ، التي يبدو أنها تتهرب من أدوات التعقب ومحركات البحث المجهولة؟ بمساعدة باحث أمني ، وجد Eckert و Dewes أن امتداد متصفح يسمى Web of Trust كان يجمع البيانات ويبيعها.

ومن المفارقات أن Web of Trust تهدف إلى فحص مواقع الويب بحثًا عن "معلومات حول السمعة والسلامة" وحمايتها المستخدمون الذين لديهم "تصفح آمن أثناء التسوق والتصفح" ، وفقًا لصفحته في Chrome Web متجر. الأشخاص الذين حصلوا على تاريخ التصفح Eckert و Dewes قاموا بتثبيت امتداد Web of Trust للحماية من الشيء الذي كان يفعله الامتداد.

شبكة الثقة فعلت ذلك بشكل قانوني بالكامل. قالت سياسة الخصوصية المنشورة إنها قد تجمع عنوان IP الخاص بالمستخدم ونوع الجهاز ونظام التشغيل وسجل تصفح الويب ، وكلها ستكون مجهولة المصدر. لكن لا أحد يقرأ الخط الرفيع.

بعد بث بانوراما في نوفمبر ، تمت إزالة Web of Trust من Mozilla Firefox و Google Chrome و Opera. عادت الإضافات بعد بضعة أشهر بميزة جديدة - ميزة تتيح للمستخدمين إلغاء الاشتراك في جمع معلوماتهم الشخصية.

قال إيكرت: "من الصعب جدًا إخفاء هوية البيانات عالية الأبعاد المتعلقة بالمستخدم". "الزيادة في المعلومات العامة على كثير من الناس تجعل التعميم على الهوية أسهل."

  • أفضل خدمات وتطبيقات VPN
  • كيفية حماية هويتك وبياناتك الشخصية وممتلكاتك
  • لقد ولت خصوصيتك. أنت فقط لا تعرف ذلك بعد