Britse ISP monitort muisbewegingen op klantenportal
Dankzij de Firefoxplug-in NoScript hebben abonnees van de Britse internetprovider Sky ontdekt dat de ISP JavaScript op de klantenportal gebruikt om de muisbewegingen van klanten te monitoren. Veel websites plaatsen JavaScriptcode van derde websites en partijen op hun eigen website. NoScript blokkeert deze code en laat aan gebruikers zien van welk domein het JavaScript afkomstig is.
In het geval van Sky bleek de code van SessionCam afkomstig te zijn, een krachtige trackingtool om de activiteit van bezoekers te monitoren, zoals ingedrukte toetsen, muisbewegingen, mobiele bewegingen, ingedrukte muisknoppen en scrolbewegingen.
Abonnees
Het Britse ISPreview meldt dat dit soort tools handig zijn om de gebruikerservaring te verbeteren, maar dat het opmerkelijk is dat een provider de activiteit op betaalpagina's en andere gevoelige delen van de website gebruikt. De code is namelijk alleen actief op de My Sky pagina's, waar alleen abonnees toegang toe hebben. De verzamelde informatie zou op een beveiligde locatie worden opgeslagen.
Sky meldt niet welke onderdelen het van SessionCam precies gebruikt, maar laat in een verklaring weten dat de tool wordt ingezet om voor potentiële "technische problemen" te waarschuwen. Een rondvraag bij andere Britse providers wees uit dat ook BT een soortgelijk oplossing toepast, genaamd ClickTale.
Update: titel aangepast
Lijkt me verder ook niet heel vreemd dat dat soort tools worden ingezet om te zien hoe gebruikers je site gebruiken en of daar verbetering in mogelijk is. Ik zie ook niet helemaal wat nu precies gevoelig is aan dat soort activiteit. De gegevens die je op die site invoert gaan sowieso al richting Sky. Hoogstens dat ze moeten oppassen als ze op die betaalpagina's ook toetsaanslagen loggen en daarmee dus mogelijk betaalgegevens die wat meer bescherming vereisen dan tamelijk nietszeggende muisbewegingen.
En als je dat ook voor andere sites gebruikt (dom maar gebeurt) ze daar vaute dingen mee kunnen doen.
Kortom: het gebeurt hier ook!
Eèn en ander aan privacy maatregelen valt bijvoorbeeld in de about:config van mozilla browsers aan te passen.
Zie voor een uitgebreide about:config specifiecatie lijst : http://kb.mozillazine.org/About:config_entries
Met welke setting of combinatie van settings mouse tracking kan voorkomen is me nog niet geheel duidelijk.
Er zijn echter ook andere settings die het monitoren van je gedrag op een site ietwat inperken (true of false waarde ... zelf invullen / bepalen) :
* Copy content monitoring uitschakelen :
dom.event.clipboardevents.enabled;...
* "Used by the preferences dialog for tracking" :
dom.event.contextmenu.enabled;...
* De tijd dat je 'idle' bent (wel op de pagina maar niet actief aanwezig bent) :
dom.idle-observers-api.enabled;...
* Monitort je accu gebruik, dat is info over je systeem en kan wellicht ook misbruikt worden :
dom.battery.enabled;...
* In variatie daarop heb je ook de vibrator functie settings :
dom.vibrator.enabled;...
* Domstorage, kunnen dus ook flashcookies zijn. Bij uitzetten merk ik geen nadelig verschil :
dom.storage.enabled;...
* De hoeveelheid Dom storage? Zet maar eens op 0 en ontdek het verschil :
dom.storage.default_quota;0
* En ook deze Dom functie uitzetten geeft geen merkbare verschillen :
dom.indexedDB.enabled;...
* Aanpassing te overwegen? (mouseup verwijderen en testen?) :
dom.popup_allowed_events;change click dblclick mouseup reset submit
Wat het uitschakelen van deze settings heeft is me nog niet geheel duidelijk :
* Native cursor support :
dom.ipc.plugins.nativeCursorSupport;...
(welke onmisbare functionaliteit zou het betreffen?)
* Dom Workers / webworkers :
dom.workers.enabled;...
(voor long term scripts op de achtergrond bij bezoek van een webpagina, maar zou dat dan ook tracking code kunnen betreffen?)
* Meer privacy :
dom.disable_image_src_set;...
Dit verschil (uitzetten) merk je wel, met zoeken op afbeeldingen bijvoorbeeld, dan wordt niet alles geladen.
* Handig (?), bij laden van de pagina cursor weer als "klokje", geen idee waarom mozilla dit heeft uitgeschakeld (verlagen cpu belasting?) :
ui.use_activity_cursor;...
En er is meer om te overwegen buiten het installeren van addons die dat ook deels voor je doen,
tips? Any?
Dat is waar maar helaas blijft het daar niet bij.
Het privacy probleem voor bezoekers is nou juist dat er met deze gebruikersgegevens gehandeld wordt (lees : doorverkocht) en dat is bijvoorbeeld slecht voor je privacy!
Google verzamelt deze gegevens omdat daar hun bedrijfsmodel op gebouwd is, namelijk het gericht tonen van advertenties (GoogleTag-Services) op basis van het profiel dat ze van je hebben opgebouwd.
Nog vervelender, en als je erover nadenkt met de nodige maatschappelijke consequenties; het tonen van zoekresultaten op basis van je interesse history profiel.
Dat klinkt leuk, maar als je erover nadenkt betekent dat dat we uiteindelijk allemaal in bruine kleding met 'Brown Shoes' * lopen.
Killing voor creativiteit/afwijking/innovatief denken of anders gezegd, uiteindelijk dodelijk voor het afwijken van je eigen vaste patronen om nieuwe dingen te proberen.
Paar keer een bruine broek gekocht? Dan krijg je voortaan alleen nog maar bruine-broeken-ads voorgeschoteld, gevolg; jij loopt meer en meer in bruine broeken en krijgt alleen nog maar 'bruin' voorgeschoteld tot en daarna alles voor jou veranderd is in bruin.
Een self fulfilling prophecy (zichzelf voorspellende waarheid) dus waarbij jij minder en minder bereid bent om andere dingen uit te proberen omdat je geen andere dingen meer krijgt voorgeschoteld!
Daarom is het openslaan van een 'ouderwets' woordenboek (of een encyclopedie) nog zo leuk, omdat je zaken niet direct vindt maak je kennis met nieuwe woorden (of feiten etc.) en breid je daarmee je kennis en interesses (algemene ontwikkeling) uit.
* Frank Zappa, Brown Shoes Don't Make It (1967)
Brown Shoes don't make it
Quit school, why fake it
..
Be a loyal plastic robot
For a world that doesn't care
..
Be a jerk-go to work
Do your job, and do it right
Deze posting is gelocked. Reageren is niet meer mogelijk.
Triage Officer
bij het NCSC
Voor de komende jaren staat er het nodige te veranderen voor het NCSC. Het NCSC kent een uitdagende groei- en ontwikkelambitie. Dit biedt volop kansen en mogelijkheden. De doorontwikkeling van onze waakdienst is daarvan een erg belangrijke! Hiervoor zoeken wij meerdere Triage Officers, die de ogen en oren van cybersecurity Nederland worden. Welkom bij #TeamNCSC!
Technical Security Trainer
Is security je passie? Dan ben je bij ons aan het juiste adres. Wij zijn 24/7, 365 dagen per jaar bezig met security. Je werkt in een team van internationaal bekende security-experts, het delen van kennis staat centraal. We zijn een organisatie met een informele bedrijfscultuur. Security is serious fun! Als technical security trainer geef je hands-on security trainingen op basis van de Certified Secure challenges en certificeringen.