1. Зміст статті Коли ти дивишся на сайти, хтось спостерігає за тобою. Це стало майже звичним: збір...
2. узаконена стеження
3. Google Chrome
4. Продовження доступно тільки учасникам
5. Варіант 2. Відкрий один матеріал

Зміст статті

Коли ти дивишся на сайти, хтось спостерігає за тобою. Це стало майже звичним: збір статистики сьогодні вбудований не тільки в веб-сторінки, але і в багато програм. Ми провели дослідження, щоб розібратися, що саме дізнаються про тебе розробники популярних браузерів і наскільки це порушує приватність.

Методика

Коли мова йде про веб-серфінгу, слід розрізняти два принципово різних типи збору даних: той, що виконує сам браузер, і той, що виробляють скрипти на сайтах. Про другий аспект ти можеш почитати в статті « Тотальне стеження в інтернеті - як за тобою стежать і як покласти цьому край », А тут ми зосередимося на першому.

Визначитися з колом основних підозрюваних нам допомогла статистика OpenStat . Ми відібрали найпопулярніші в Росії браузери, виділивши з них версії для настільних комп'ютерів з Windows. Найпоширенішими виявилися Google Chrome (його частка становить майже половину), «яндекс.браузер», настирливо встановлюється за компанію з іншими програмами, Mozilla Firefox і Opera.

У список OpenStat входить і браузер Apple Safari, але його версія для Windows перестала оновлюватися в 2012 році і майже не використовується. Попередньо ж в Windows 10 браузер Edge ледь набрав півтора відсотка прихильників, але саме від нього ми найбільше очікували проявів «шпигунської активності». Від Edge і його старшого брата Internet Explorer, популярність якого завжди виявляється завищеною завдяки вмінню різних програм ідентифікувати себе як IE.

Рейтинг популярності браузерів

Оцінювали «шпигунське» поведінку браузерів в кілька етапів. Спочатку ми скачували останні версії дистрибутивів з офіційних сайтів, встановлювали їх в чистих ОС і запускали з настройками за замовчуванням. Потім міняли початкову сторінку на порожню і повторювали експеримент. На фінальному етапі влаштовували годину сидіння в засідці, під час якого браузер просто був відкритий з порожньою сторінкою (about: blank) і не повинен був виконувати ніяких мережевих запитів, крім перевірок доступності власних оновлень.

Всі тести проводилися в віртуальних машинах. Нам довелося використовувати як Windows 10, так і стару Windows XP для того, щоб відсіяти весь фоновий трафік. Як ти можеш пам'ятати з статті, де ми подібним чином досліджували Windows 10 , Ця ОС сама дуже пильно стежить за користувачем і відсилає на сервери Microsoft все дані, які технічно може зібрати. У цьому потоці трафіку активність браузера просто втрачається, тому що Edge (і, як з'ясувалося, не тільки він) вміє відсилати частина запитів від імені системних процесів, використовуючи їх в якості посередників. Тому прості засоби (наприклад, установка веб-проксі і фільтрація трафіку по іменах процесів) не гарантували можливість відловити весь цікавий для нас трафік.

Нам довелося підстрахуватися і застосувати відразу кілька інструментів для відстеження мережевої активності браузерів. Диспетчер TCPView показував всі мережеві підключення в реальному часі. З його допомогою було зручно визначати, які саме дії викликають появу нових з'єднань і які IP-адреси використовуються браузером найчастіше.

Левова частка трафіку відправляється браузерами в зашифрованому вигляді. Тому за допомогою MakeCert ми згенерували і встановили в систему лівий сертифікат безпеки, завдяки якому розшифрували весь перехоплений HTTPS-трафік.

В окремих випадках потрібно використовувати утиліту AppContainer Loopback Exemption, щоб обійти вбудовану в Windows 10 технологію ізоляції додатків і гарантовано перехоплювати трафік засобами Fiddler. В першу чергу це було необхідно зробити для Edge і Internet Explorer.

Перенаправляємо трафік Edge на локальний проксі в обхід захисту Windows

Ми також використовували сниффер Wireshark - для детального аналізу логів і пошуку закономірностей. Це найпотужніший інструмент, який, крім усього іншого, вміє збирати окремі пакети в потоки. Тому, знайшовши один підозрілий пакет, ми легко відновлювали весь процес обміну браузера з обраним віддаленим вузлом.

Перераховані програми вже стали стандартом де-факто для виконання тестів. Однак роботу програм обмежує операційна система. Браузери Internet Explorer і Edge так тісно інтегровані в Windows 10, що можуть використовувати її компоненти для відправки даних обхідними шляхами. Тому для гарантії того, що жоден пакет не пішов непоміченим, ми додатково використовували апаратний сниффер.

Проміжний роутер як сниффер

Ним став портативний роутер TP-Link MR3040 v. 2.5, який ми перепрошили останньою версією OpenWrt і підключили «в розрив», вибравши режим WISP. Весь трафік від тестових систем йшов через нього. Роутер показував всі мережеві з'єднання в реальному часі і вів докладний лог.

Всі з'єднання в реальному часі (фрагмент списку)

узаконена стеження

Сама думка про те, що дії користувача за комп'ютером стають відомими комусь ще, для багатьох стала звичною. Частково люди так спокійно до цього ставляться, тому що не розуміють обсяг і характер даних, що про їх активності. Справедливо і зворотне твердження: фанатично налаштовані правозахисники готові побачити порушення таємниці приватного життя в будь-який відправці балки з чисто технічними відомостями. Як завжди, істина десь посередині, і ми постаралися наблизитися до неї настільки, наскільки це можливо.

Більшість опитаних нами користувачів вважають, що все обмежується якоюсь абстракцією - «анонімної статистикою, яка збирається з метою поліпшення якості продукту». Саме так і було виявлене в формальному попередженні, яке браузери (та й інші програми) виводять на екран при установці. Однак формулювання в них використовуються досить витіюваті, а довгий перелік часто закінчується словами «... і інші відомості», що повністю розв'язує руки юристам компанії-розробника.

Google знає про всі контакти, адреси своїх користувачів і їх стан здоров'я. Microsoft - ще й почерк ідентифікує по «зразкам рукописного введення». Безкоштовні антивіруси (та й багато платних теж) взагалі можуть законно відправити своїм розробникам будь-який файл в якості підозрілого. Браузери на цьому тлі виглядають не шпигунами, а відносно нешкідливими Вуайеріст. Однак і від їх підглядання можуть бути відчутні наслідки. Подивимося, що і куди вони відправляють.

Google Chrome

При першому запуску браузер Chrome 56.0 встановлює дев'ять підключень до серверів Google, розташованим в чотирьох подсетях.

Підключення Chrome під час запуску браузера

Одна з підмереж знаходиться в Росії і обслуговується провайдером «Ростелеком».

Chrome завжди з'єднується з цими IP-адресами

У підмережа 173.194.44.0/24 браузер відправляє відомості про свою версію, версії ОС і недавньої мережевої активності користувача. Якщо її не було (перший запуск Google Chrome), то в балці з'являється запис «No recent network activity».

Chrome відправляє лог своїй активності

У підмережа 46.61.155.0/24 відправляється запит сертифіката для перевірки автентичності сайту Google.com і десятків його дзеркал (включаючи сайти збору статистики * .gstatic.com, google-analytics.com і інші). По ходу подальшої роботи браузера з ними періодично встановлюються окремі сполуки.

Якщо ти авторизувався в Google через браузер, то додатковий трафік піде в підмережа 74.125.232.0/24 і на сервери з адресами виду http: //clients#.google.com, де # - порядковий номер пулу. Аналогічні з'єднання Chrome встановлює і з підмережею 46.61.155.0/24 - ймовірно, щоб розподілити навантаження.

При відкритті нової вкладки Chrome завжди встановлював з'єднання з серверами з тих же самих підмереж.

Підключення Chrome при створенні нової вкладки

При цьому браузер генерує унікальний ідентифікатор виду X-Client-Data: CJC2yPGIprbJAQjBtskBCK2KygEIwcdKAQj6nMoBCKmdygE =, а сайт google.ru додатково використовує кукі з ідентифікатором NID =. Всі відкриті в одному браузері вкладки отримують загальний ідентифікатор X-Client-Data.

Час від часу Chrome встановлював підключення до сервера storage.mds.yandex.net, проте в нашому тесті, крім порожніх пакетів з заголовком connection keep alive, на нього нічого не відправлялося. Решта трафік, не пов'язаний з діями користувача в Chrome, був обумовлений роботою антифішингових системи Google SafeBrowsing і перевіркою наявність оновлень.

Продовження доступно тільки учасникам

Варіант 1. Приєднайся до товариства «Xakep.ru», щоб читати всі матеріали на сайті

Членство в співтоваристві протягом зазначеного терміну відкриє тобі доступ до ВСІХ матеріалами «Хакера», збільшить особисту накопичувальну знижку і дозволить накопичувати професійний рейтинг Xakep Score! Детальніше

Варіант 2. Відкрий один матеріал

Зацікавила стаття, але немає можливості стати членом клубу «Xakep.ru»? Тоді цей варіант для тебе! Зверни увагу: цей спосіб підходить тільки для статей, опублікованих більше двох місяців тому.