URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 113154
[ Назад ]

Исходное сообщение
"Утечка идентификаторов пользователя через встроенный в брауз..."

Отправлено opennews , 28-Дек-17 14:50 
Исследователи из Принстонского университета обратили внимание (https://freedom-to-tinker.com/2017/12/27/no-boundaries-for-u.../) на применение некоторыми системами аналитики и показа рекламы особенности автозаполнения полей браузером для скрытого определения логина пользователя на текущем сайте. В частности, на 1110 из миллиона крупнейших сайтов по рейтингу Alexa загружался скрипт, который извлекал данные о email пользователя для использования в качестве идентификатора.


Скрипт пользуется недоработкой во встроенных в браузеры менеджерах паролей, которые автоматически заполняют формы для входа. На страницах, на которых нет штатных форм входа, формируются подставные невидимые формы ввода логина и пароля, после чего проверяется какие данные в них подставил менеджер паролей. Если в качестве логина указан email, но на его основе формируется хэш и отправляется на внешний сервер. Метод позволяет определить и пароль, но выявленные  скрипты ограничиваются передачей хэша от email. Так как email уникален и обычно не меняется, хэш от него является отличным идентификатором конкретного пользователя, позволяющего сохранить привязку к профилю активности пользователя независимо от чистки cookie, выбора иного браузера и смены устройства.


Проблеме подвержены менеджеры паролей всех популярных браузеров, но
если Firefox, Internet Explorer, Edge и Safari заполняют форму входа сразу после загрузки страницы, то Chrome лишь после клика пользователя в любой части страницы. Примечательно, что способ определения информации через автозаполнения форм известен (https://web.archive.org/web/20120605184841/http://ha.ckers.o.../) уже (https://senglehardt.com/demo/no_boundaries/loginmanager/) более 10 лет, но раньше использовался только для перехвата данных в рамках XSS-атак, а теперь стал применяться и для отслеживания пользователей легитимными сервисами. На проанализированных сайтах выявлено как минимум два сервиса для отслеживания перемещений (Adthink - audienceinsights.net и OnAudience - behavioralengine.com, применяющих рассмотренный способ. Оценить работу метода можно на специально подготовленной демонстрационной странице (https://senglehardt.com/demo/no_boundaries/loginmanager/).

Дополнительно можно упомянуть публикацию (https://www.blackhat.com/docs/eu-17/materials/eu-17-Shuster-...) компанией Akamai исследования  возможности косвенной идентификации пользователя в сети на основании анализа параметров и полей в заголовках протокола HTTP/2, которые отличаются для разных браузеров и  операционных систем. Имеющихся различий недостаточно для явной идентификации, но она вполне может использоваться в качестве дополнительного источника информации для классификации пользователей, для определения входа через VPN и прокси, для получения деталей о типе и версии браузера и определения ОС, при указании фиктивных значений User Agent.

URL: https://freedom-to-tinker.com/2017/12/27/no-boundaries-for-u.../
Новость: http://www.opennet.dev/opennews/art.shtml?num=47821


Содержание

Сообщения в этом обсуждении
"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 14:51 
Вот и какой я теперь анонимус?

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено EHLO , 28-Дек-17 16:01 
и какая это новость?

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено rshadow , 28-Дек-17 16:12 
тор браузер говорили они...

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Michael Shigorin , 28-Дек-17 18:26 
> тор браузер говорили они...

Через тор и другие полезные для корреляции косвенные штуки утекают, как у нас тут вчера упоминали опытные люди.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено ryoken , 29-Дек-17 07:06 
> Вот и какой я теперь анонимус?

Никакой.

Вот потому никогда в браузерах пароли не сохраняю.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено koblin , 29-Дек-17 14:20 
не переживайте, все равно вас идентифицируют

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 04:40 
> не переживайте, все равно вас идентифицируют

Вопрос в том кто, когда, как и с какой достоверностью.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Crazy Alex , 28-Дек-17 14:55 
Ну, чисто теоретически чинится просто - надо заполнять поля только когда в них пользователь ставит курсор. ВпрочемЮ для распространённых случаев uBlock/uMatrix тоже помогут

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 15:13 
> Ну, чисто теоретически чинится просто - надо заполнять поля только когда в них пользователь ставит курсор.

Opera Magic Wand, вставляет пароль при нажатии на кнопку. Всё уже было в Opera.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Crazy Alex , 28-Дек-17 15:50 
А ведь точно, я и забыл уже

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 18:17 
Точно, "было". Хороший был браузер. С 5 по 12 версий.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 12:23 
С рекламой - в 7-ой точно

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 13:08 
Расширение для ФФ с таким же поведением
https://firefox.add0n.com/secure-login.html

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 14:57 
Не зря я не пользовался встроенными запоминалками паролей.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 19:33 
Не зря я юзаю хромиум

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 19:56 
Который делает то же самое, только после клика по странице?

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 15:15 
Палю тему - запоминайте пароль с парой недостающих или лишних символов и тогда никакие автозаполнители будут не страшны :)
И юзайте разные профили браузеров для разных задач. +приватный режим.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 15:28 
Какая разница? "Вы"-то для таргетинга один и тот же. Что с буквами, что с недостающими.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено pavlinux , 28-Дек-17 15:40 
Цель атаки - запомненный хэш пароля из "Менеджера",таргетинг это маленькая неприятность.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Анм , 28-Дек-17 17:13 
Заполненный весь пароль, а не хеш.
Но подставляется только на этом сайте где был заполнен, что как бы делает бессмысленным что-то воровать. Разве что, если ты не логинишься в своем контакте и думаешь, что анонимен (наивный)

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено iZEN , 28-Дек-17 20:42 
Знаю ещё один способ обмануть таргетинг (я сам был в ахуе, когда узнал): пароль на всех сайтах один и тот же. А запоминаешь только уникальный логин, он секретный. Хотя с идентификацией по полю e-mail, где оно требуется, фокус не так прост - нужно создавать много виртуалов с уникальными почтовыми ящиками, что не всегда удобно.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Гентушник , 29-Дек-17 15:37 
Логин обычно не является чем-то секретным, так что в зависимости от сайта сторонний человек может увидеть логин (в профиле, в поиске, при восстановлении пароля и т.д.). Ну например как на этом сайте.

Плюс логины обычно хранятся в БД не зашифрованными, так что в случае если сопрут базу, то его подбирать даже не нужно будет.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено iZEN , 28-Дек-17 20:51 
> Цель атаки - запомненный хэш пароля из "Менеджера",таргетинг это маленькая неприятность.

В менеджере паролей запоминаются логин и пароль, привязанные к сайту, на котором регистрируешься. Эта "парочка" уникально идентифицирует пользователя. Логин из неё может быть использован на других сайтах и иногда быть e-mail'ом. Тогда независимые друг от друга сайты могут обмениваться с рекламодателем списком зарегистрированных пользователей, в котором будут только логины без паролей (что естественно). По этому списку рекламодатель таргетирует показ рекламы пользователю с конкретным логином, посетившего сайт, с которым у рекламодателя договор о списке зарегистрированных пользователей.

Таким образом, логин, лучше - представляющий e-mail зарегистрированного пользователя - ключевое поле для таргетинга рекламной информации. Он практически не меняется от сайта к сайту.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 09-Янв-18 10:43 
Последнее время наблюдаю "таргетирование" по IP, ох как мне любят показывать детские мультики :)

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено pavlinux , 28-Дек-17 15:33 
> Палю тему - запоминайте пароль с парой недостающих

Шо, вместо *****, запоминать ******** ?

> И юзайте разные профили браузеров для разных задач. +приватный режим.

Один сайт - одна виртуалка, а лучше комп!


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено whiteout , 29-Дек-17 11:18 
> Один сайт - одна виртуалка, а лучше комп!

Может Qubes наконец взлетит...


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 09-Янв-18 10:44 
>> И юзайте разные профили браузеров для разных задач. +приватный режим.
> Один сайт - одна виртуалка, а лучше комп!

с отдельным IP из отдельного датацентра в отдельном города выделенной страны на отдельной планете


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено ryoken , 29-Дек-17 07:07 
> Палю тему - запоминайте пароль с парой недостающих или лишних символов и
> тогда никакие автозаполнители будут не страшны :)
> И юзайте разные профили браузеров для разных задач. +приватный режим.

Так там ПОКА ЕЩЁ не в пароле дело, а в утащенном адресе мыла.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено DmA , 29-Дек-17 08:45 
> Палю тему - запоминайте пароль с парой недостающих или лишних символов и
> тогда никакие автозаполнители будут не страшны :)
> И юзайте разные профили браузеров для разных задач. +приватный режим.

есть ещё и более-менее постоянный ip адрес. Для идентификации пользователя достаточно email адреса


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 15:32 
Минутку, но ведь пользователь зарегистрирован на этом сайте и скорее всего лишь не успел залогиниться снова. К чему такие сложности?

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Crazy Alex , 28-Дек-17 15:52 
Или не хочет логиниться

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено pavlinux , 28-Дек-17 15:56 
> Или не хочет логиниться

Заставить


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Гентушник , 29-Дек-17 15:41 
Ну раз логин и пароль скрипт может получить, то можно сразу и залогинить пользователя автоматом :)

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 04:59 
> Ну раз логин и пароль скрипт может получить, то можно сразу и
> залогинить пользователя автоматом :)

И спам от его имени автоматом отправить. Ты только что почти изобрел спамеров.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 09-Янв-18 10:46 
> Минутку, но ведь пользователь зарегистрирован на этом сайте и скорее всего лишь
> не успел залогиниться снова. К чему такие сложности?

Огромная часть сайтов продаёт место, а за содержимым не следит.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 15:32 
В FF по клику выпадает список. Автоматом не заполняет.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Crazy Alex , 28-Дек-17 15:52 
Это если у тебя несколько вариантов запомнено. Если один - подставляет сразу

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 17:57 
Не совсем. По клику выпадает form history https://support.mozilla.org/ru/kb/upravlenie-avtomaticheskim...
Это вообще другое и оно зависит не от доменов, а от параметров полей ввода (<input name="email"...>). Самый распространённый email, и если ты вводил такое поле на 3 сайтах с 3 разными ящиками, на всех трёх тебе их выведет в выпадающем списке по клику. И когда на новый четвёртый сайт зайдёшь, увидишь те 3 мыла тоже. Например тут, при написании комментария, при клике в поле мыла я вижу определённое количество своих и чужих ящиков, хотя на опеннете никогда поле не заполнял ничем.
Но сайтам эта информация недоступна, пока ты не нажал на вариант для заполнения поля.
А менеджер паролей зависит от доменов и автозаполняет поля, поэтому сайтам виден ввод, как если бы юзер вручную написал.

Не использую менеджер паролей лисы (десктопный keepass без плагинов), но использую историю форм, т.к. удобно. И чаще пригождается для частых и повторяющихся поисковых запросов на сайтах, чем для вставки логина. Например при поиске чего-то на торрент-трекерах (id="title-search"): ввёл запрос на одном, не нашёл нужного, пошёл на другой трекер и там обычно запомненный запрос можно просто кликнуть.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 16:07 
Что там насчёт Pale Moon? https://github.com/MoonchildProductions/Pale-Moon/issues/1559

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Crazy Alex , 28-Дек-17 18:25 
Да что - подвержен, конечно.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 04:00 
Таки да... https://github.com/MoonchildProductions/Pale-Moon/issues/155...

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено ойой , 29-Дек-17 12:23 
Так там же и написано "решение" (предложенное выше - заполнять, когда кликнул на форму)
В о:настройках ставим в ложь signon.autofillForms

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 19:30 
В Pale Moon уже пофиксили - отключили автозаполнение по умолчанию. - https://github.com/MoonchildProductions/Pale-Moon/commit/ce1...

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Дуплик , 28-Дек-17 16:07 
>ещё существуют люди, сохраняющие пароли в браузерах

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Отражение луны , 28-Дек-17 16:37 
Ну если ты не хранишь пароли в браузере, ты либо хранишь пароли на листочке, либо у тебя на многих сервисах пароли совпадают, либо ты используешь какую-нибудь утилиту для хранения паролей и каждый раз копипастишь их. Либо все твои пароли попросту недостаточно устойчивы к подбору, что позволяет тебе их запоминать. В лучшем случае ты ресторишь пароль каждый раз когда тебе нужно залогиниться в сервис.
Каждый из этих способов имеет огромные недостатки и гораздо менее безопасен чем хранение паролей в браузере.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено XoRe , 28-Дек-17 16:56 
> Каждый из этих способов имеет огромные недостатки и гораздо менее безопасен чем
> хранение паролей в браузере.

А так хорошо начинали...
Пароли, сохраненные в браузере, не зашифрованы каким-то только вам известным мастер паролем.
В отличие от нормальных утилит для хранения паролей.
Поэтому хранить пароли прямо в браузере - это все равно что держать их в открытом виде в txt файле на рабочем столе.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Анм , 28-Дек-17 17:16 
>> Каждый из этих способов имеет огромные недостатки и гораздо менее безопасен чем
>> хранение паролей в браузере.
> А так хорошо начинали...
> Пароли, сохраненные в браузере, не зашифрованы каким-то только вам известным мастер паролем.
> В отличие от нормальных утилит для хранения паролей.
> Поэтому хранить пароли прямо в браузере - это все равно что держать
> их в открытом виде в txt файле на рабочем столе.

В фаерфоксе зашифрованы мастер паролем, в хроме и наверно клонах пароли в реесте и используют учетные данные юзера для доступа, в лине может и открытым текстом.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Вася , 29-Дек-17 12:52 
В хроме и хромоподобных пароли открытым текстом лежат в БД SQLite. Enjoy ё безопасность.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Crazy Alex , 28-Дек-17 18:23 
начинать тут надо с модели угроз. Если мы подразумеваем более-менее обновляющийся домашний линукс и отсутствие какой-то адово секретной информации (что вообще другой случай) безопаснее было бы даже держать их в этом самом текстовом файлике чем запоминать неизбежно менее сложные пароли или сложный - но один-два. Атак на линуксовые локалхосты, тем более успешных, на порядки меньше, чем чем взломов разнообразных сетевых сервисов или подборов пароля.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено XoRe , 29-Дек-17 01:06 
> начинать тут надо с модели угроз.

Стырили ноут/телефон.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Гентушник , 29-Дек-17 15:51 
> Стырили ноут/телефон.

В этом случае лучше полное шифрование на уровне ФС или блочного устройства, ибо кроме паролей там может быть ещё какая-нибудь конфиденциальная информация.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 18:56 
>Пароли, сохраненные в браузере, не зашифрованы каким-то только вам известным мастер паролем

В Сафари и ФФ зашиврованы.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено user , 28-Дек-17 22:19 
Для этого есть encfs.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено PnDx , 29-Дек-17 12:28 
Хинт: Firefox FIPS-140.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Гентушник , 29-Дек-17 15:49 
В FF есть мастер пароль.
Плюс можно синхронизировать пароли между девайсами на которых стоит FF (через штатную синхронизацю) и они будут зашифрованы как на стороне сервера, так и в браузере.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Отражение луны , 29-Дек-17 15:51 
Не совсем. Хром хранит пароли в гном кейринге. Ты можешь настроить его так, что он будет спрашивать у тебя мастер пароль при каждом запуске хрома, не разблокируя этот самый кейринг автоматом. По дефолту мастер паролем является пароль твоего юзера.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено ryoken , 29-Дек-17 07:11 
> пароли попросту недостаточно устойчивы к подбору, что позволяет тебе их запоминать.
> Каждый из этих способов имеет огромные недостатки и гораздо менее безопасен чем
> хранение паролей в браузере.

Как связана запоминаемость пароля и устойчивость к подбору? Например есть пароль из 20 символов, цифробуквы разный регистр, знаки препинания и спецсимволы. Вы таки считаете, что его нельзя втупую вызубрить?

А если (теоретически) пароль хранится в файле на шифрованном диске - это тоже недостаточно безопасно и браузерная паролехранилка будет лучше?


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Отражение луны , 29-Дек-17 15:48 
Один такой пароль - можно. Десятки - нет. Твой вариант - один пароль для множества сервисов.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Отражение луны , 29-Дек-17 15:55 
Основная проблема хранения паролей в файле - то, что они проходят через буфер обмена. Так что да, менее безопасно чем автозаполнение.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 05:04 
> Основная проблема хранения паролей в файле - то, что они проходят через
> буфер обмена. Так что да, менее безопасно чем автозаполнение.

Это спорно. В буфере обмена может быть что угодно а в менеджере паролей заведомо пароли. Красть пароли из менеджера паролей удобнее и результативнее. Трояны которые вынимают пароли из лиса вообще существуют более 10 лет. Половина бонусом ухватывает серийник винды и прочие ключи от стима и чего там еще у хомяков бывает. В общем уносят все что общеизвестное и ценное.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним84701 , 30-Дек-17 16:43 
> Это спорно. В буфере обмена может быть что угодно а в менеджере
> паролей заведомо пароли. Красть пароли из менеджера паролей удобнее и результативнее.
> Трояны которые вынимают пароли из лиса вообще существуют более 10 лет.

Однако, исправно обламываются о мастер-пароль. Чтобы стырить пароли, малвари нужно не только запуститься с правами пользователя на чтение файла, но и с возможностью чтения памяти (дебага, кордампа итд) уже открытого менеджера паролей.

Зато менеджер типа кипаса (старая ветка, а не версия на молодежном NET и с кучей непонятных плагинов), намного удобнее простого файлика. Там ведь те же файлики, только зашифрованые, плюс возможность раскидывать все по категориям/группам, добавить описание, осуществлять поиск по всему этому.
Опять же, встроенная автогенерация паролей неплохая вещь.  Есть куча мелочей (все таки 14 лет проекту – по граблям народ в свое время потоптался знатно) – автоблокировка открытого менеджера после определенного времени, удаление пароля через X секунд из буфера обмена, автотайп, позволяющий вообще обходиться без буфера обмена и не перехватываемый слишком уж внаглую (см. xspy).

В общем, если сравнивать хранилки паролей, то с более-менее полноценным менеджером, а не очередным велосипедом.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 16:13 
> но если Firefox

почему же тогда мой фурефокс не ведет себя столь постыдным образом, а вставляет данные лишь при явном клике в форму?


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено ойой , 29-Дек-17 12:25 
Возможно дело в настройках не по умолчанию?

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 16:37 
Тем веселее, кстати, смотрится недавняя новость о новом менеджере паролей в фаерфоксе. С уже встроенным сбором статистики.

https://www.ghacks.net/2017/12/23/firefox-lockbox-alpha-by-m.../

Не стоит, мол, дорогой наш пользователь, беспокоиться о своей приватности. Нет нужды беспокоиться о том, чего нет, бгг.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 17:16 
Господи да вот вам идея для авторизации на сатйах опишите ее кто-нибдуь в RFC, а то эти бараны никак не придумают уже.

Итак, у SSL есть отпечаток ( Fingerprint = FA:E0 .. DF )
У меня есть логин и пароль, а точнее ключ для доступа к сайту SITE_KEY ( binary ).
Заходя на сайт нажимая кнопку Войти срабатывает JavaScript запрашивающий этот самый SITE_KEY и сайту выдают мой SITE_KEY соответствующий SSL фингерпринту.

Почему это не сделать, а нужно городить всяике oAuth и прочую чепушню?

P.S. Каждый раз когда просят SITE_KEY выдавать окно с подтверждением.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 19:17 
Кажется, Вы описали клиентские сертификаты. Это уже есть в браузере и используется, например, WebMoney.

oAuth - это немного о другом, это не для того, чтобы авторизовать пользователя, а чтобы авторизоваться третьим сайтам от имени пользователя.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 01:16 
у меня была идея получше, но это как оказалось был велосипед

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Анонимный Алкоголик , 30-Дек-17 04:47 
JavaScript?
Было бы смешно... Если бы не навевало. Тоску. И грусть.
Вот между прочим можно просто не "выходить" после "входа" и сайт будет знать. Вас... Без всяких паролей... Как вам?

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 17:38 
безопасность уровня фаерфопс. В Chrome с этим все в порядке -- требуется явно кликнуть.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Crazy Alex , 28-Дек-17 18:27 
Разницы никакой

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 19:00 
> требуется явно кликнуть

Так это же всё меняет!


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 19:23 
Если я правильно понимаю, имелся в виду любой клик на странице, а не на форме ввода.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 19:58 
> Если я правильно понимаю, имелся в виду любой клик на странице, а
> не на форме ввода.

Да.



"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено rpm , 29-Дек-17 00:25 
> Если я правильно понимаю, имелся в виду любой клик на странице, а
> не на форме ввода.

А скриптовый клик прокатит?


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено КО , 29-Дек-17 10:17 
А что на 99.9% прозрачная форма поверх всего уже не катит в качестве ловушки для клика?

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 11:41 
А зачем? Юзер и так тыкнет в какое-то место, никаких прозрачных ловушек не надо.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 18:59 
Пользователь, зарегистрировавшийся на сайте с определенным идентификатором, видимо, доверяет этому сайту знать этот идентификатор. Соответственно, браузер правомерно автоматически подставляет его в формы на этом сайте. И если владельцы сайта допускают показ такой рекламы, вытягивающей доверенную пользователем информацию, значит владельцы сайта предали своих пользователей и вся вина лежит только на них.

Это не уязвимость, а вопрос доверия. Можно ли доверять сайтам, которые позволяют рекламным сетям, лайкокнопкам и всяким аналитиксам собирать информацию о своих пользователях? Например, opennet.ru делится как минимум с Google, Facebook, Gravatar и Yandex.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено vitalif , 28-Дек-17 20:42 
Более того, и бороться с этим бесполезно, т.к если у тебя на сайте в профиле введен емейл, точно так же можно его взять и на стороне сервера скормить рекламной сети. А при выходе запомнить в куках.

Единственный момент - надо, конечно, сделать, чтобы в невидимые формы ничего не подставлялось. Но проблему отслеживания это не решит...

Ну или уже по дефолту вообще всю информацию надо очищать, то есть перетаскивать функционал тор браузера в ФФ.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Гентушник , 29-Дек-17 15:56 
Тут как бы весь цимес в том что пользователь идентифицируется даже если он на сайт не залогинен и кукисы не сохраняет.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Ordu , 28-Дек-17 21:06 
NoScript успешно спасает от этих проблем. Даже если разрешить выполнение скриптов на демостранице, всё равно ничего не работает, потому что third-party скрипты не отрабатывают. Надо разрешить скрипты с левого домена (на демостранице это rawgit.com), чтобы это заработало.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 22:36 
Хватит форсить этот древний бренд. Давеча на форчане появились малварные домены. Утята с носкриптом удивлялись, почему это у них не ломается вёрстка, а юзеры юматрикса жалуются и шумиху поднимают. Наивно вякая: да не разрешайте сторонние скрипты и всё ок. А разгадка одна: носкрипт не блочит XHR запросы, а суть была именно в них, никаких скриптов с тех малварных доменов не тянулось, всё чисто на родных скриптах форчана (и если левые домены не отвечали на XHR запросы, свои скрипты ломали css сайта). И утята, посещая форчан и разрешая 1st-party скрипты, делают те же запросы, что и люди без носкрипта.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 23:46 
>носкрипт не блочит XHR запросы

Их только юматрикс блокирует?
Или, например, адблок-плюс тоже может?


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 01:15 
ABP может (наверное, юблок точно может), но проблема в том, что там блеклист (с вайтлистом). И новых доменов в фильтрах не будет, как не было сейчас в случае с форчаном.
Суть юматрикса и аналогов (Request Policy, покойный Policeman) в подходе source-destination и 1st-party/3rd-party, а не конкретных фильтрах на основе доменов/url. Дефолтные настройки юматрикса разрешают из 3rd-party только css и картинки, всё остальное (отправка кук, аудио-видео, плагины, скрипты, XHR (и вебсокеты), фреймы и оставшиеся запросы, не попавшее в существующие категории) запрещено. И даже если ты разрешил на условном форчане скрипты и XHR гугла, для работы рекапчи, то когда там внезапно появляются новые левые домены, ты от них по дефолту защищён.
Носкрипт же может блочить (говорю про старую версию, новым не пользовался) скрипты, фреймы, плагины, аудио-видео, шрифты и webgl. Но не XHR, куки и сетевые запросы без категорий. Может он может что-то ещё через ABE-правила, но кто их использует-то? И дополнительный его фейл был в том, что он рулил скриптами только на основании destination, без source. Т.е. если ты разрешил где-то example.com (на нём самом или на example.org), то он будет разрешён везде. Касается и постоянных, и временных правил (из-за чего временные очень желательно очищать в нём вручную). Весьма весёлая фича.

Предсказывая возможный коммент с волшебными базвордами носкрипта (XSS, clickjacking), отправляю читать это: https://github.com/gorhill/uMatrix/issues/297#issuecomment-1...
> Clickjacking = Blocking third party frames
> As far as XSS is concerned, there are a myriad of techniques for it, most of which rely on scripts, frames and browser exploits (one could in theory execute JavaScript via HTML IMG tags, but browsers no longer allow that to happen).
> The only thing NoScript has on uMatrix (which does not make up for its deficiencies and lower performance) is the feature referred to as 'surrogate scripts'. Essentially mirroring a library, or a modified version of a given library (e.g. mootools, or jquery). uBlock used to have this.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено DmA , 29-Дек-17 08:56 
И даже если ты разрешил
> на условном форчане скрипты и XHR гугла, для работы рекапчи, то
> когда там внезапно появляются новые левые домены, ты от них по
> дефолту защищён.

Наконец-то понял, для чего сайты запршивают капчю с дорожными знаками и фасадами зданий :) - чтобы я этого сайта скрипты и XHR разрешил хотя бы временно в своём  uMatrix :)
В общем, если встретите капчю "а ля дорожные знаки", то бегите с этого сайта!


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 13:38 
А сайт и рад - чел с блокировщиком рекламы и слежки дохода не приносит, а ресурсы сервера тратит.

Вот только с такими замашками вообще от инета надо отключаться, потому что удаком быть выгоднее, и кто не будет использовать малейшую возможность использовать что-то для потенциальной выгоды проиграет конкурентам, обанкротится и вылетит с рынка на йух. Рыночек порешал. Естественный отбор в действии.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 10:30 
Спасибо!
В Adblock-plus блеклист (с вайтлистом) я не использую, потому что они уж очень большие, а блокирую вручную то, что мешает, как мне кажется.
Т.е. всякие лишние картинки.
Или открываю Open blockable items и смотрю там, что можно заблокировать, в т.ч. скрипты и xss, хотя из-за последнего может нарушаться разметка.
Куки у меня разрешены только на сайтах, где я авторизуюсь.

Вопрос (извините, я не специалист): как через Adblock-plus найти и вручную заблокировать шпионские скрипты и XHR?



"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 11:49 
> Вопрос (извините, я не специалист): как через Adblock-plus найти и вручную заблокировать шпионские скрипты

||example.com/js/main.js или ||example.com/*$script
Но есть ещё инлайн-скрипты.
> и XHR?

Только полностью домен блокировать ||example.com^
С 1st-party XHR не получится блокировать (это только в юматриксе видел).
Лучше юблок, юматрикс или RP юзать для этого. С ABP какое-то извращение.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 29-Дек-17 18:34 
>> Вопрос (извините, я не специалист): как через Adblock-plus найти и вручную заблокировать шпионские скрипты
> ||example.com/js/main.js или ||example.com/*$script
> Но есть ещё инлайн-скрипты.
>> и XHR?
> Только полностью домен блокировать ||example.com^
> С 1st-party XHR не получится блокировать (это только в юматриксе видел).
> Лучше юблок, юматрикс или RP юзать для этого. С ABP какое-то извращение.

Спасибо!



"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Ordu , 29-Дек-17 00:15 
> Хватит форсить этот древний бренд.

Что ж ты так переживаешь, что кто-нибудь что-нибудь зафорсит, да тебя не спросит? Вся жизнь -- игра^W информационная война? Хочешь я тебе подкину пару ресурсов, которые специализированы на осасывании информационных военов из прочих частей интернета -- им там весело жить таким воюющим концентратом, и другим они при этом не столь мешают. Всем хорошо.


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 23:34 
В Firefox about:config
signon.autofillForms -> false
http://kb.mozillazine.org/Signon.autofillForms

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 28-Дек-17 23:37 
1. Не использовать менеджер паролей.
2. Использовать для электронной почты отдельный браузер.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено ryoken , 29-Дек-17 07:16 
> 2. Использовать для электронной почты

...почтовый клиент


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 13:43 
> 1. Не использовать менеджер паролей.
> 2. Использовать для электронной почты отдельный браузер.

в firefox есть контейнеры


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено DmA , 29-Дек-17 08:42 
Давно отключаю в Firefox запоминание истории, не фиг мой диск изнашивать всякими временными страницами, для этого есть оперативная память, а если в оперативной памяти уже нет этой страницы(вытеснилась), то пусть она снова запрашивается из Интернета.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено DmA , 29-Дек-17 09:04 
Мозиле фундешен нужно разок проучить всех пользователей Firefox: добавить  в какую-нибудь свежию версию автоматическую отсылку всех сохраннёных паролей и прочих полей на сервера Мозиллы и потом опубликовать это всё...
А может они уже это делали не раз :)
Вообще вводить какую-то критическую  для пользователя информацию(пароли,кредитки итд) в любых современных браузера просто небезопасно. Считайте, что клавиатура вашего компьютера принадлежит ещё вам, а вот всё что видите на экране можно считать общеизвестной информацией! Вы сели за компьютер - значит вы собираетесь какую-то информацию о себе поведать миру :)

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено DmA , 29-Дек-17 13:44 
> Мозиле фундешен нужно разок проучить всех пользователей Firefox: добавить  в какую-нибудь
> свежию версию автоматическую отсылку всех сохраннёных паролей и прочих полей на
> сервера Мозиллы и потом опубликовать это всё...
> А может они уже это делали не раз :)
> Вообще вводить какую-то критическую  для пользователя информацию(пароли,кредитки итд)
> в любых современных браузера просто небезопасно. Считайте, что клавиатура вашего компьютера
> принадлежит ещё вам, а вот всё что видите на экране можно
> считать общеизвестной информацией! Вы сели за компьютер - значит вы собираетесь
> какую-то информацию о себе поведать миру :)

А ещё лучше не только сохранённых паролей, но и вводимых пользователем без сохранения...


"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 13:30 
между действительностью и её описанием всегда есть глубокий разлом, переполненный трупами доверчивых пользователей



"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено eganru , 30-Дек-17 13:40 
Bы сели за компьютер - значит вы собираетесь какую-то информацию о себе поведать миру :) - я просто стучу по клавишам!

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 30-Дек-17 13:44 
На себя стучишь.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 31-Дек-17 09:54 
Какие будут ваши предложения? Не сохранять пароли, это первое правило. Отчищать куки по таймеру это второе правило. Отчищать DOM cache и вообще любой cache это тертье правило. Ну и отбрасывать хедеры с ETAg, блокировать canvas, ставить блокировщики рекламы, научиться пользоваться iptables и контейнерами, наконец, настроить браузер, использовать VPN и шифрование DNS. Если всех этих мер не принял, считай что ты и без паролей и кредиток слил свою третим лицам, которые ей уже активно пользуются.

"Утечка идентификаторов пользователя через встроенный в брауз..."
Отправлено Аноним , 31-Дек-17 09:50 
> во встроенных в браузеры менеджерах паролей

Кто ими пользуется ССЗБ.