{"id":1072,"date":"2010-03-21T19:09:11","date_gmt":"2010-03-21T19:09:11","guid":{"rendered":"http:\/\/nethemba.com\/sk\/deanonymizacne-utoky\/"},"modified":"2010-03-21T19:09:11","modified_gmt":"2010-03-21T19:09:11","slug":"deanonymizacne-utoky","status":"publish","type":"post","link":"https:\/\/nethemba.com\/sk\/deanonymizacne-utoky\/","title":{"rendered":"Deanonymiza\u010dn\u00e9 \u00fatoky"},"content":{"rendered":"

Predstavte si nasleduj\u00facu situ\u00e1ciu – z \u00faplne n\u00e1hodnej IP\u00a0adresy (pokojne aj z anonymnej P2P siete) otvor\u00edte svojim ob\u013e\u00faben\u00fdm prehliada\u010dom str\u00e1nku www.zistiktosom.com<\/strong> bez toho, aby ste sa kdeko\u013evek prihlasovali, po\u010dk\u00e1te p\u00e1r sek\u00fand a uveden\u00e1 str\u00e1nka v\u00e1m detailne vyp\u00ed\u0161e – ako sa vol\u00e1te na ka\u017edej soci\u00e1lnej sieti, ak\u00fa pou\u017e\u00edvate prez\u00fdvku, va\u0161ich zn\u00e1mych, va\u0161e z\u00e1ujmy a kopec in\u00fdch verejne dostupn\u00fdch inform\u00e1ci\u00ed, ktor\u00e9 o v\u00e1s archivuj\u00fa va\u0161e ob\u013e\u00faben\u00e9 soci\u00e1lne siete. Na z\u00e1klade toho v\u00e1m spust\u00ed \u00fazko cielen\u00fa reklamu na sushi, ktor\u00e9 m\u00e1te ur\u010dite radi, odporu\u010d\u00ed v\u00e1m najnov\u0161ie homeopatik\u00e1, lebo vie, \u017ee norm\u00e1lnym liekom ned\u00f4verujete, zist\u00ed, \u017ee ste z Bratislavy a pon\u00fakne v\u00e1m na predaj l\u00edstky na koncert va\u0161ej ob\u013e\u00fabenej kapely, ktor\u00e1 bude vystupova\u0165 o t\u00fd\u017eden.<\/p>\n

Znie to ako nevydaren\u00e9 sci-fi?<\/strong><\/p>\n

Publik\u00e1cia A Practical Attack to De-Anonymize Social Network Users<\/a> v\u00e1s presved\u010d\u00ed o tom, \u017ee je to \u00faplne re\u00e1lne a relat\u00edvne \u013eahko realizovate\u013en\u00e9!\u00a0A funguje to minim\u00e1lne u ve\u013ek\u00fdch soci\u00e1lnych sie\u0165ach ako je Xing<\/a>, Facebook<\/a>, LinkedIn<\/a>, \u010di in\u00fdch, ktor\u00e9 nepou\u017e\u00edvaj\u00fa kompletn\u00e9 n\u00e1hodne URL\u00a0linky, podporuj\u00fa verejn\u00e9 skupiny, ktor\u00fdch je relat\u00edvne dost ve\u013ea a ve\u013ea sa pou\u017e\u00edvaj\u00fa.\u00a0A \u010d\u00edm ste vo viac skupin\u00e1ch alebo tieto skupiny s\u00fa viac \u0161pecifick\u00e9, t\u00fdm viac sa v\u00e1s deanonymiza\u010dn\u00fd \u00fatok dot\u00fdka…<\/p>\n

Princ\u00edp je relat\u00edvne jednoduch\u00fd:<\/strong><\/p>\n

1. Str\u00e1nka www.zistiktosom.com<\/strong> spust\u00ed javascript s funkcionalitou „CSS history stealing“, ktor\u00fd lok\u00e1lne hrubou silou zist\u00ed, ktor\u00e9 presne URL z dan\u00e9ho obrovsk\u00e9ho zoznamu URL\u00a0danej soci\u00e1lnej siete ste v minulosti nav\u0161t\u00edvili (ide o HTTP\u00a0GET\u00a0\u017eiadosti, lebo HTTP\u00a0POST\u00a0\u017eiadosti sa do hist\u00f3rie prehliada\u010da neukladaj\u00fa) – pou\u017eije sa na to jednoduch\u00fd CSS\u00a0hack – URL str\u00e1nky, ktor\u00fa ste v minulosti u\u017e nav\u0161tivili m\u00e1 in\u00fa farbu ako str\u00e1nka, ktor\u00e1 nav\u0161t\u00edven\u00e1 e\u0161te nebola (t.j. m\u00e1 nastaven\u00fd „a:visited“ \u0161t\u00fdl v danom URL). Toto spr\u00e1vanie sa v prehliada\u010doch poklad\u00e1 za „feature“, ur\u010dite nie za chybu.
\nPekn\u00e1 demon\u0161tr\u00e1cia (dokonca bez pou\u017eitia javascriptu) je CSS history hack<\/a>, pr\u00edpadne str\u00e1nky CaughtYouWatching.com<\/a> alebo didyouwatchporn.com<\/a>, ktor\u00e9 v\u00e1m vyp\u00ed\u0161u zoznam zn\u00e1mych porno str\u00e1nok, ktor\u00e9 ste v minulosti prezerali.<\/p>\n

2. Z uveden\u00e9ho zoznamu HTTP\u00a0GET\u00a0\u017eiadost\u00ed, ktor\u00e9 ste v minulosti ur\u010dite zavolali nad Facebookom, \u010di inou soci\u00e1lnou sie\u0165ou je mo\u017en\u00e9 determinova\u0165 do ktor\u00fdch z\u00e1ujmov\u00fdch skup\u00edn, \u010di f\u00f3r ste sa pridali (nako\u013eko s\u00fa obvykle statick\u00e9 a daj\u00fa sa automatizovane enumerova\u0165)<\/p>\n

3. Na z\u00e1klade ve\u013ek\u00e9ho prieniku \u0161pecifick\u00fdch z\u00e1ujmov\u00fdch skup\u00edn je u\u017e relat\u00edvne jednoduch\u00e9 zisti\u0165 o ak\u00e9ho \u010dloveka presne ide, pod\u013ea spom\u00ednanej publik\u00e1cie a soci\u00e1lnej siete Xing je to mo\u017en\u00e9 zisti\u0165 exaktne <\/strong>a\u017e pre 42% v\u0161etk\u00fdch pou\u017e\u00edvate\u013eov danej soci\u00e1lne siete a a\u017e 90% pou\u017e\u00edvate\u013eov nieko\u013eko mili\u00f3novej soci\u00e1lnej siete je mo\u017en\u00e9 z\u00fa\u017ei\u0165 na mno\u017einu 2912 pou\u017e\u00edvate\u013eov.<\/p>\n

Samozrejme plat\u00ed, \u017ee \u010d\u00edm viac pestr\u00fdch skup\u00edn dan\u00e1 soci\u00e1lna sie\u0165 poskytuje a \u010d\u00edm viac \u013eud\u00ed v nich participuje, t\u00fdm je pravdepodobnos\u0165 presnej\u0161ej identifik\u00e1cie vy\u0161\u0161ia.<\/p>\n

\u010co si mo\u017eno m\u00e1lokto uvedomuje je fakt, \u017ee uveden\u00fd deanonymiza\u010dn\u00fd \u00fatok je mo\u017en\u00e9 aplikova\u0165 takmer na ak\u00e9ko\u013evek webov\u00e9 str\u00e1nky\u00a0(nielen soci\u00e1lne siete), ktor\u00e9 umo\u017e\u0148uj\u00fa ak\u00e9ko\u013evek profilovanie pou\u017e\u00edvate\u013eov a zaradzovanie do skup\u00edn. S\u00fa\u010dasne je mo\u017en\u00e9 takto z\u00edskan\u00e9 v\u00fdsledky z r\u00f4znych soci\u00e1lnych siet\u00ed a webov\u00fdch str\u00e1nok navz\u00e1jom korelova\u0165 a z\u00edskava\u0165 e\u0161te presnej\u0161ie inform\u00e1cie<\/strong> o ich pou\u017e\u00edvate\u013eoch.<\/p>\n

Napr\u00edklad tak\u00fdto sofistikovan\u00fd \u00fatok na www.zistiktosom.com\u00a0<\/strong>by dok\u00e1zal odhali\u0165 to, \u017ee pou\u017e\u00edvate odli\u0161n\u00e9 falo\u0161n\u00e9 identity, napr\u00edklad \u017ee va\u0161a identita na LinkedIn je Jozef Mak, na Facebook.com vystupujete ako An\u010da Obla\u010dn\u00e1 na Xing ako Dezider Hrub\u00fd\u00a0(samozrejme teraz odhliadnuc od faktu, \u017ee dan\u00fd jeden prehliada\u010d pou\u017e\u00edva viacero pou\u017e\u00edvate\u013eov naraz). A keby dan\u00fd \u00fatok robil e\u0161te korel\u00e1ciu s \u010fal\u0161\u00edmi va\u0161imi nav\u0161t\u00edven\u00fdmi str\u00e1nkami, tak dok\u00e1\u017ee identifikova\u0165 aj va\u0161e obl\u00faben\u00e9 sexu\u00e1lne praktiky, va\u0161u politick\u00fa, \u010di n\u00e1bo\u017eensk\u00fa orient\u00e1ciu v\u0161etko len na z\u00e1klade toho, ktor\u00e9 str\u00e1nky ste v minulosti otvorili.<\/p>\n

Samozrejme prev\u00e1dzkovatelia slu\u017eby www.zistiktosom.com <\/strong>s\u00fa \u0161ikovn\u00ed – hne\u010f ako z\u00edskaj\u00fa v\u00e1\u0161 kompletn\u00fd osobnostn\u00fd profil, tak v\u00e1m pon\u00faknu na mieru u\u0161it\u00fa cielen\u00fa reklamu – pod\u013ea va\u0161ich z\u00e1ujmov\u00fdch skup\u00edn Facebooku zistia, \u017ee m\u00e1te radi sushi, ste z Bratislavy, tak\u017ee v\u00e1m rovno pon\u00faknu don\u00e1\u0161kovu slu\u017ebu sushi v Bratislave…<\/p>\n

Samozrejme uveden\u00fd \u00fatok ide roz\u0161\u00edri\u0165 o twitter.com<\/a>\u00a0(nako\u013eko cez HTTP\u00a0GET \u017eiadosti sledujete va\u0161ich ob\u013e\u00fabencov), \u010di ak\u00e9ko\u013evek in\u00e9 slu\u017eby, ktor\u00e9 pou\u017e\u00edvaju HTTP\u00a0GET \u017eiadosti s akouko\u013evek „u\u017eito\u010dnou“ inform\u00e1ciou.<\/p>\n

Ochrana vo\u010di uveden\u00fdm \u00fatokom:<\/strong><\/p>\n