Blacklight - Inspektur Privasi Situs Web

Blacklight adalah inspektur privasi situs web real-time.



Alat ini meniru cara mengamati pengguna yang menjelajah web. Pengguna memasukkan URL yang diinginkan ke Blacklight, inspektur menavigasi ke situs web, memindai jenis pelanggaran privasi yang diketahui, dan segera mengembalikan analisis privasi dari situs yang disurvei.



Cara kerja Blacklight adalah mengunjungi setiap situs web dengan browser tanpa kepala (browser tanpa antarmuka grafis) yang menjalankan perangkat lunak khusus yang dibuat oleh The Markup. Perangkat lunak memantau skrip mana di situs yang berpotensi dapat mengamati pengguna dengan menjalankan tujuh tes, masing-masing memeriksa metode observasi yang diketahui berbeda.



Blacklight memantau jenis pengawasan berikut:

• Cookie pihak ketiga
• Pelacak iklan
• Keylogger
• Rekaman sesi
• Sidik jari di atas Kanvas
• Pelacakan Facebook
• "Audiens Pemasaran Ulang" Google Analytics

Detail lebih lanjut tentang mereka dan batasannya dijelaskan di bawah ini.



Blacklight dibangun di atas lingkungan Javascript NodeJS, pustaka Puppeteer Node , yang memberikan kontrol tingkat tinggi atas browser Chromium (Chrome sumber terbuka). Saat pengguna memasukkan URL ke Blacklight, alat tersebut meluncurkan browser tanpa kepala dengan profil baru dan mengunjungi halaman beranda situs, serta halaman yang dipilih secara acak lebih dalam di situs yang sama.

Siapa yang memata-matai Anda saat Anda bekerja, belajar, atau menjelajahi Internet?

Saat browser mengunjungi situs web, browser menjalankan perangkat lunak khusus di latar belakang yang memantau skrip dan permintaan jaringan untuk memahami kapan dan bagaimana data pengguna dikumpulkan. Untuk memantau skrip, Blacklight mengubah berbagai properti API Jendela browser yang dapat digunakan untuk sidik jari. Ini memungkinkan Blacklight untuk melacak skrip mana yang membuat panggilan ke fungsi tertentu menggunakan paket Stacktrace-js . Permintaan jaringan dikumpulkan menggunakan alat pemantauan yang terdapat dalam Puppeteer API .



Blacklight menggunakan data skrip dan permintaan jaringan untuk menjalankan tujuh tes yang tercantum di atas. Setelah itu, menutup browser dan menghasilkan laporan untuk pengguna.



Ini mencatat daftar semua URL yang diminta situs web yang dicari. Selain itu, ini membuat daftar semua domain dan subdomain yang diminta. Alat yang tersedia untuk umum tidak menyimpan daftar ini kecuali pengguna memilih untuk membagikan hasil dengan kami menggunakan opsi yang sesuai.



Kami mendefinisikan nama domain menggunakan metode Sufiks Publik + 1 . Yang kami maksud dengan konsep domain sendiri (domain pihak pertama) adalah domain apa pun yang sesuai dengan situs web yang dikunjungi, termasuk subdomain. Yang kami maksud dengan pihak ketiga adalah domain apa pun yang tidak sesuai dengan situs web yang Anda kunjungi. Alat tersebut membandingkan daftar domain pihak ketiga dari permintaan situs web ke kumpulan data Radar PelacakSitus DuckDuckGo.



Penggabungan data ini memungkinkan Blacklight untuk menambahkan informasi berikut tentang domain pihak ketiga yang ditemukan di situs yang sedang diselidiki:

1. Nama pemilik domain.
2. Kategori yang ditetapkan oleh DuckDuckGo ke setiap domain yang menjelaskan tujuan dan maksudnya yang dapat diamati.

Informasi tambahan tentang domain pihak ketiga ini disediakan untuk pengguna sebagai konteks untuk hasil tes Blacklight. Antara lain, informasi ini digunakan untuk menghitung jumlah pelacak terkait iklan yang ada di situs web.



Blacklight menjalankan pengujian berdasarkan URL root halaman yang dimasukkan ke antarmuka alat. Misalnya, jika pengguna memasukkan example.com/sports , Blacklight mulai menjelajahi example.com , menghapus jalur / sports . Jika pengguna memasuki sports.example.com , Blacklight memulai penjelajahannya di sports.example.com .



Hasil pemeriksaan Blacklight untuk setiap domain yang diminta disimpan dalam cache selama 24 jam; laporan cache tersebut dikembalikan sebagai tanggapan atas permintaan berikutnya dari pengguna situs web yang sama yang dibuat dalam waktu 24 jam tersebut. Ini untuk mencegah penggunaan jahat alat dengan mencoba membebani situs web dengan ribuan kunjungan otomatis.



Blacklight juga memberi tahu pengguna jika skor mereka lebih tinggi, lebih rendah, atau kira-kira sama dengan 100.000 situs web teratas di Daftar Tranco . Lebih lanjut tentang ini di bawah.



Basis kode Blacklight adalah open source dan tersedia di Github ; itu juga dapat diunduh sebagai modul NPM .



Analisis kami terbatas. Blacklight meniru pengguna yang mengunjungi situs web, tetapi perilaku otomatisnya berbeda dari manusia, dan perilaku ini dapat memicu berbagai jenis pengawasan. Misalnya, permintaan otomatis dapat memicu lebih banyak pemeriksaan penipuan tetapi lebih sedikit iklan.



Mengingat sifat dinamis dari teknologi web, ada juga kemungkinan bahwa beberapa pengujian ini akan menjadi usang seiring waktu. Selain itu, mungkin ada penggunaan teknologi baru yang dapat diterima yang dianggap Blacklight sebagai pelanggaran.



Karena alasan ini, hasil Blacklight tidak dapat dianggap sebagai keputusan akhir tentang potensi pelanggaran privasi situs web. Sebaliknya, mereka harus dianggap sebagai studi otomatis awal yang membutuhkan studi tambahan untuk keputusan akhir.

Pekerjaan sebelumnya

Blacklight dibangun di atas berbagai alat kontrol privasi yang ditulis dalam dekade terakhir.



Ini menjalankan fasilitas Javascript, yang memungkinkannya untuk melacak panggilan API Javascript browser. Aspek pekerjaan ini didasarkan pada OpenWPM , alat pengukuran privasi web sumber terbuka yang dibuat oleh Steven Englehard, Gunes Akar, Dillon Reisman, dan Arvind Narayanan dari Universitas Princeton. Alat ini saat ini didukung oleh Mozilla.



OpenWPM digunakan oleh Proyek Transparansi dan Akuntabilitas Web Princeton , yang memantau situs web dan layanan untuk mempelajari cara perusahaan mengumpulkan dan menggunakan data serta menyesatkan pengguna.



Melalui berbagai studi yang dilakukan antara 2015 dan 2019, para peneliti Princeton telah mengidentifikasi berbagai teknologi pelanggaran privasi. Ini termasuk sidik jari browser dan sinkronisasi cookie , serta skrip pembuatan ulang sesi yang mengumpulkan kata sandi dan data sensitif pengguna . Salah satu contoh penting adalah kebocoran data resep dan kesehatan dari walgreens.com.



Lima dari tujuh tes yang dilakukan Blacklight didasarkan pada teknik yang dijelaskan dalam studi Princeton yang disebutkan di atas. Ini adalah sidik jari kanvas, keylogging, perekaman sesi, dan cookie domain pihak ketiga.



OpenWPM berisi kode dan teknik dari alat penelitian privasi lainnya, termasuk FourthParty , Privacy Badger, dan FP Detective :

• FourthParty adalah platform open source untuk mengukur konten web dinamis, diluncurkan pada Agustus 2011 dan dipertahankan hingga 2014. Ini telah digunakan dalam berbagai penelitian, termasuk studi yang menjelaskan cara situs web seperti Home Depot membocorkan nama pengguna mereka ke pihak ketiga. Blacklight menggunakan metodologi FourthParty untuk memantau transmisi informasi pengguna melalui jaringan ke pihak ketiga.
• Privacy Badger — , Electronic Frontier Foundation 2014 . .
• FP Detective . 2013 .

Pengembang analisis data Blacklight sebagian terinspirasi oleh Website Evidence Collector , yang dikembangkan oleh Electronic Data Protection Supervisor (EDPS) Uni Eropa. Website Evidence Collector adalah paket NodeJS yang menggunakan perpustakaan Puppeteer untuk mempelajari bagaimana situs web mengumpulkan data pribadi pengguna. Beberapa kategori data yang dikumpulkan dipilih oleh EDPS.



Proyek lain yang mempengaruhi pengembangan Blacklight termasuk Sensus Privasi Web UC Berkeley pada tahun 2012 dan seri "What They Know" dari Wall Street Journal.

Bagaimana kami menganalisis setiap jenis pelacakan

Cookie pihak ketiga

Cookie domain pihak ketiga adalah bagian kecil dari data yang disimpan oleh perusahaan pelacakan di browser web pengguna saat mereka mengunjungi situs web. Ini adalah potongan teks, biasanya berupa angka atau rangkaian karakter unik, yang mengidentifikasi pengunjung saat mengunjungi situs web lain yang berisi kode pelacakan milik perusahaan yang sama. Cookie domain pihak ketiga digunakan oleh ratusan perusahaan untuk mengumpulkan profil pengguna dan menampilkan iklan yang disesuaikan berdasarkan perilaku mereka.



Browser populer - Edge, Brave, Firefox, dan Safari - memblokir cookie pelacakan domain pihak ketiga secara default , dan pengembang Chrome telah mengumumkan bahwa mereka akan menolaknya .



Apa yang Blacklight sedang uji



Blacklight memantau permintaan jaringan untuk header "Set-Cookie" dan memantau semua cookie pengaturan domain menggunakan properti javascript document.cookie . Blacklight mengidentifikasi cookie domain pihak ketiga sebagai cookie yang domainnya tidak cocok dengan situs web yang Anda kunjungi. Kami mencari DuckDuckGo Tracker Radar untuk domain pihak ketiga ini untuk melihat siapa yang memilikinya, seberapa sering digunakan, dan jenis layanan yang mereka sediakan.

Keylogging

Keylogging adalah proses pelacakan oleh pihak ketiga teks yang dimasukkan pengguna di halaman web sebelum mengklik tombol kirim. Teknik ini digunakan untuk berbagai tujuan, termasuk mengidentifikasi pengguna anonim , mencocokkannya dengan alamat pos dan nama asli.



Ada juga alasan lain untuk membuat keylogging, seperti menyediakan fitur pelengkapan otomatis. Blacklight tidak memiliki cara untuk mengenali maksud situs web target menggunakan teknik ini.



Apa yang Blacklight sedang uji



Untuk menguji apakah situs tersebut melakukan keylogging, Blacklight memasukkan teks yang telah ditentukan sebelumnya (lihat Lampiran) ke dalam semua bidang masukan, tetapi tidak pernah mengklik tombol kirim. Ini memonitor permintaan jaringan untuk memeriksa apakah data yang dimasukkan sedang diteruskan ke server manapun.

Rekaman sesi

Perekaman sesi adalah teknologi yang memungkinkan pihak ketiga untuk melacak dan merekam semua perilaku pengguna di halaman web, termasuk gerakan mouse, klik, pengguliran halaman, dan semua input formulir bahkan tanpa menekan tombol kirim.



Dalam studi tahun 2017Para peneliti di Universitas Princeton telah menemukan bahwa perekam sesi mengumpulkan informasi penting seperti kata sandi dan nomor kartu kredit. Saat peneliti menghubungi perusahaan terkait, kebanyakan dari mereka merespon dengan cepat dan menghilangkan penyebab pembobolan data. Namun, penelitian tersebut menekankan bahwa ini bukan hanya bug, melainkan praktik tidak aman yang, menurut para peneliti, harus dihentikan sepenuhnya. Sebagian besar perusahaan yang menyediakan laporan fitur perekaman sesi bahwa mereka menggunakan data untuk memberi pelanggan mereka (situs web yang memasang teknologi) informasi yang berguna tentang cara meningkatkan kegunaan situs web. Satu perusahaan, Inspectlet, menggambarkan layanannya sebagai pelacakan "perilaku pengguna individu di situs seolah-olah kami berada di belakang mereka".(Inspectlet tidak menanggapi email yang meminta komentar.)





Tangkapan layar dari Inspectlet, penyedia layanan perekaman sesi terkenal.



Apa Tes Blacklight Yang dimaksud



dengan perekaman sesi, yang kami maksud adalah memuat jenis skrip khusus oleh perusahaan yang dikenal menyediakan layanan perekaman sesi.



Blacklight memonitor permintaan jaringan untuk substring URL tertentu, yang menurut daftar yang dikumpulkan oleh para peneliti di Universitas Princeton pada tahun 2017, hanya ditemui saat sesi perekaman.



Terkadang keylogging dilakukan sebagai bagian dari sesi perekaman. Dalam kasus seperti itu, Blacklight dengan benar melaporkan perekaman sesi baik sebagai keylogging maupun perekaman sesi, karena kedua perilaku tersebut diamati, meskipun kedua pengujian tersebut mengenali skrip yang sama.



Blacklight secara akurat mengenali situasi di mana situs web memuat skrip ini, namun, perusahaan biasanya hanya mencatat sampel kunjungan situs, jadi tidak setiap pengguna masuk dan tidak setiap kunjungan.

Sidik jari di atas Kanvas

Sidik jari mengacu pada sekumpulan teknik yang mencoba mengidentifikasi browser tanpa membuat cookie. Mereka dapat mengidentifikasi pengguna meskipun dia telah memblokir semua cookie.



Sidik jari kanvas adalah jenis sidik jari yang mengidentifikasi pengguna dengan menggambar bentuk dan teks pada halaman web pengguna, memperhatikan sedikit perbedaan dalam cara perenderannya.





Empat contoh sidik jari kanvas ditemukan oleh Blacklight.



Perbedaan dalam perenderan font, anti-aliasing, anti-aliasing, dan aspek lainnya ini digunakan oleh pemasar dan profesional lainnya untuk mengidentifikasi perangkat individu. Semua browser Internet utama, kecuali Chrome, mencoba mencegah sidik jari kanvas, baik dengan tidak menjalankan kueri data untuk skrip yang terlihat dalam praktik semacam itu, atau dengan berusaha untuk menstandarkan sidik jari pengguna.



Gambar di atas menunjukkan contoh jenis kanvas yang digunakan oleh skrip sidik jari. Kanvas semacam itu biasanya tidak terlihat oleh pengguna.



Apa Tes Blacklight



Kami mengikuti metodologi yang dijelaskan dalam artikel inipeneliti di Universitas Princeton untuk mengetahui kapan elemen kanvas HTML digunakan untuk pelacakan. Kami menggunakan parameter berikut untuk mengidentifikasi kanvas yang akan dirender dengan sidik jari:

• Properti tinggi dan lebar elemen kanvas minimal harus 16 piksel.
• Tes harus ditulis di kanvas dengan setidaknya sepuluh karakter.
• Skrip tidak boleh memanggil metode save , restore, atau addEventListener dari konteks rendering.
• Skrip mengambil gambar menggunakan toDataURL atau satu panggilan ke getImageData yang menentukan luas setidaknya 16px × 16px.

Kami belum melihat ini dalam praktiknya, tetapi mungkin Blacklight keliru memberi label penggunaan kanvas yang bijaksana untuk mencocokkan heuristik ini. Untuk mengakomodasi ini, alat tersebut menangkap gambar yang dirender oleh skrip dan membuatnya. Pengguna dapat menentukan bagaimana kanvas digunakan hanya dengan melihat gambarnya. Hasil dari skrip sidik jari biasa ditunjukkan di atas.

Pelacak iklan

Pelacak iklan (Pelacak iklan) adalah teknologi yang mengidentifikasi dan mengumpulkan informasi tentang pengguna. Teknologi semacam itu biasanya (tetapi tidak selalu) digunakan sampai batas tertentu dengan persetujuan pemilik situs web. Mereka digunakan untuk mengumpulkan analitik tentang pengguna situs web, untuk menargetkan iklan, dan broker data dan pengumpul data lainnya untuk membuat profil pengguna mereka. Biasanya berupa skrip Javascript dan web beacon.



Suar web adalah gambar kecil 1px x 1px yang diposting di situs web oleh pihak ketiga untuk tujuan pelacakan. Dengan teknik ini, pihak ketiga dapat menentukan perilaku pengguna: ketika pengguna tertentu memasuki situs, jenis browser mereka dan alamat IP yang digunakan.



Apa yang Blacklight sedang uji



Blacklight memeriksa semua permintaan jaringan berdasarkan daftar EasyPrivacy dari URL dan substring URL yang diketahui dilacak. Blacklight memantau aktivitas jaringan untuk permintaan yang dibuat ke URL dan substring ini.



Permintaan catatan Blacklight dibuat hanya untuk domain pihak ketiga. Ini mengabaikan pola URL apa pun dalam daftar EasyPrivacy yang cocok dengan domain URL-nya sendiri. Misalnya, EFF menyimpan analitiknya sendiri, itulah sebabnya EFF membuat permintaan ke subdomain analitiknya https://anon-stats.eff.org . Jika pengguna memasuki eff.org , maka Blacklight tidak menganggap panggilan ke anon-stats.eff.org sebagai permintaan ke domain pihak ketiga.



Kami menemukan domain pihak ketiga ini dalam dataset DuckDuckGo Tracker Radar untuk melihat siapa yang memilikinya, seberapa umum domain tersebut, dan jenis layanan yang mereka sediakan. Kami hanya mencantumkan domain pihak ketiga yang ada dalam kategori Pelacakan Bermotivasi Iklan dari set data Radar Pelacak .

Pixel Facebook

Facebook Pixel adalah kode yang dibuat oleh Facebook yang memungkinkan situs web lain menargetkan pengunjung mereka menggunakan iklan Facebook. Beberapa tindakan paling umum yang dilacak oleh piksel adalah menjelajahi halaman atau konten tertentu, menambahkan informasi penagihan, atau melakukan pembelian.



What Blacklight Tests



Blacklight mencari permintaan jaringan dari situs yang mengarah ke Facebook dan memeriksa parameter permintaan data URL yang cocok dengan pola yang dijelaskan dalam dokumentasi piksel Facebook. Kami mencari tiga jenis data yang berbeda: " peristiwa standar ", "peristiwa khusus" dan " pencocokan lanjutan ".

"Audiens Pemasaran Ulang" Google Analytics

Google Analytics adalah platform analisis situs web paling populer saat ini. Menurut whotracks.me , 41,7% lalu lintas web dianalisis oleh Google Analytics. Meskipun sebagian besar fungsi layanan ini adalah memberikan informasi kepada pengembang situs web dan pemilik situs web tentang bagaimana audiens situs berinteraksi dengannya, alat ini juga memungkinkan situs web membuat daftar audiens kustom berdasarkan perilaku pengguna dan kemudian menargetkan iklan kepada pengunjung tersebut di Web yang menggunakan Google Ads dan Display & Video 360. Blacklight memeriksa situs yang ditelitinya untuk alat ini, tetapi tidak cara penggunaannya.



Apa yang Blacklight sedang uji



Blacklight mencari permintaan jaringan dari situs yang sedang diselidiki yang mengarah ke URL yang diawali dengan "stats.g.doubleclick", yang juga mengawali ID Akun Google dengan "UA-". Ini dijelaskan lebih detail dalam dokumentasi pengembang Google Analytics .

Survei

Untuk menentukan prevalensi teknologi pelacakan di Internet, kami menguji 100.000 situs web paling populer menurut Daftar Tranco menggunakan Blacklight . Data dan kode analisis dapat ditemukan di Github . Blacklight telah berhasil memasukkan data untuk 81.593 URL ini. Selebihnya, penyelesaian gagal, atau batas waktu terjadi setelah beberapa upaya, atau halaman web tidak dapat dimuat. Persentase yang ditunjukkan di bawah ini didasarkan pada 81.617 hasil yang sukses.



Penemuan utama yang dibuat dalam ulasan kami:

• 6% situs web menggunakan sidik jari kanvas.
• 15% situs web mengunduh skrip dari layanan perekaman sesi yang dikenal.
• 4% situs web melakukan pencatatan penekanan tombol.
• 13% situs tidak memuat cookie domain pihak ketiga atau melacak permintaan jaringan.
• Jumlah median cookie domain pihak ketiga adalah tiga.
• Jumlah median pelacak iklan yang diunduh adalah tujuh.
• 74% situs dimuat dengan teknologi pelacakan Google.
• 33% situs web dimuat dengan teknologi pelacakan Facebook.
• 50% situs menggunakan fitur pemasaran ulang Google Analytics.
• 30% situs menggunakan piksel Facebook.

Kami telah mengklasifikasikan sebagai teknologi pelacakan Google setiap permintaan jaringan yang dibuat ke salah satu domain berikut:

• google-analytics.com
• Doubleclick.net
• Googletagmanager.com
• Layanan Googletag
• Googlesyndication.com
• Googleadservices
• 2mdn.net

Kami telah mengklasifikasikan sebagai teknologi pelacakan Facebook setiap permintaan jaringan yang dibuat ke salah satu domain Facebook berikut:

• facebook.com
• Facebook.net
• atdmt.com

Batasan

Analisis Blacklight dibatasi oleh empat faktor utama:

1. Ini adalah simulasi perilaku pengguna, bukan perilaku sebenarnya, yang dapat memicu respons sistem pelacakan lain.
2. Situs web yang dipantau dapat melacak tindakan pengguna untuk tujuan yang baik.
3. Positif palsu (mungkin dengan sidik jari kanvas): Sangat jarang, penggunaan yang wajar dari elemen kanvas HTML cocok dengan heuristik yang digunakan Blacklight untuk mengidentifikasi sidik jari kanvas.
4. : Javascript- Blacklight window API . , jQuery, jQuery , Blacklight , . , ; , 100 000 .

Untuk positif palsu, saat Blacklight mengunjungi situs, situs tersebut dapat melihat bahwa permintaan berasal dari komputer yang dihosting di infrastruktur cloud Amazon AWS. Karena botnet sering digunakan di infrastruktur cloud, alat kami dapat memicu perangkat lunak pengenalan bot di situs web, termasuk sidik jari kanvas. Hal ini dapat menyebabkan kesalahan positif untuk pengujian sidik jari kanvas, meskipun pengujian tersebut tidak digunakan untuk melacak pengguna, tetapi untuk mengenali botnet.



Untuk mengujinya, kami mengambil sampel acak dari 1.000 situs dari atas Daftar Tranco yang sudah kami jalankan melalui Blacklight di AWS. Kami menjalankan sampel ini melalui perangkat lunak Blacklight di komputer lokal kami dengan alamat IP di New York dan menemukan bahwa hasil dari pemindaian Blacklight di lokasi sangat mirip, tetapi tidak persis sama dengan hasil dari pengoperasian di infrastruktur awan.

Hasil Sampel: Mesin Lokal dan AWS

Tidak semua aktivitas pelacakan yang tidak terlihat oleh pengguna selalu berbahaya. Misalnya, sidik jari kanvas digunakan untuk pencegahan penipuan karena memungkinkan identifikasi perangkat. Dan keylogging dapat digunakan untuk mengimplementasikan fungsionalitas pelengkapan otomatis.



Blacklight tidak mencoba menyimpulkan alasan penggunaan teknologi pelacakan khusus yang dideteksinya.



Blacklight juga tidak dapat secara akurat menentukan bagaimana situs web menggunakan data pengguna yang dikumpulkannya dengan memuat skrip untuk merekam sesi dan memantau perilaku pengguna, seperti gerakan mouse dan penekanan tombol.



Blacklight tidak akan meninjau persyaratan layanan dan kebijakan privasi situs web untuk pengungkapan aktivitas pelacakan pengguna mereka.

aplikasi

Nilai Kolom Masukan



Tabel di bawah ini mencantumkan nilai yang telah kita tulis di Blacklight untuk memasukkan kolom masukan di situs web. Kami menggunakan artikel Mozilla pada atribut pelengkapan otomatis untuk referensi. Blacklight juga memeriksa versi base64, md5, sha256, dan sha512 dari nilai-nilai ini.

Ucapan Terima Kasih

Kami berterima kasih kepada Gunes Akar (Universitas Leuven), Stephen Englehard (Mozilla), Arvind Narayanan, dan Jonathan Mayer (Princeton Princeton, CITP) atas komentar dan saran atas draf artikel.

---

Periklanan

Server untuk hosting situs yang epik dari Vdsina.

Kami menggunakan drive NVMe yang sangat cepat dari Intel dan tidak menghemat perangkat keras - hanya peralatan bermerek dan solusi paling modern di pasaran!