Хакер показал, сколько всего можно узнать о пользователе через один клик в браузере
На фоне последних событий со сбором персональных данных в интернете главный редактор TJournal Никита Лихачёв рассказал о том, как его знакомый хакер под ником Bo0oM показал, как легко собрать максимальное количество данных о пользователе просто через открытие одной ссылки в браузере.
По ссылке ниже демонстрируется работа объединенных техник сбора информации (ссылка, открывайте исключительно на свой страх и риск, хотя хакер утверждает, что отображаемые там данные он не сохраняет и не использует).
Bo0oM утверждает, что использовал измененную версию p0f от ValdikSS, известную ранее технику по поиску скачек с торрентов, детектор социальных сетей через favicon, обнаружение локального IP-адреса через Webrtc, а также интеграцию с DMP Facetz, чей ключ API лежал в открытом доступе.
В случае главреда TJournal сайт показал небольшую историю посещений сайтов, полную информацию об IP и операционной системе, а в подвале сайта нашлось несколько полезных ссылок на информацию, которую уже собрали инструменты Google, YouTube и Twitter.
По словам Bo0oM Никита, видимо, редко пользуется «ВКонтакте» — а так демосервис может показать даже конкретные загрузки порно с торрентов, фотографии, любимые страницы во «ВКонтакте» и историю изменений IP-адресов. При этом с мобильных Chrome и Safari сервис почему-то не сработал.
Как рассказал Лихачёв, кто еще удивляется утечкам данных, могут посмотреть, что обычно видно владельцу сайта при посещении пользователя. На сайте объединены различные техники сбора данных, которых даже без учета clickjacking-методов по деанонимизации социальных сетей достаточно для того, чтобы задуматься.
По мнению хакера, никакой анонимности в интернете нет: все сайты записывают хотя бы минимальную информацию о посещающих их пользователях, а потом обмениваются ими с другими сайтами через различные сервисы и скрипты — рекламные баннеры, виджеты соцсетей, сервисы статистики, подключаемые шрифты: «И даже если стирать свои cookie, менять IP и выходить в интернет со стиральной машинки с консолью, данные о посещениях есть у провайдера, а слишком большие усилия по собственной деанонимизации тоже могут привлечь внимание заинтересованных лиц».