Britse ISP monitort muisbewegingen op klantenportal
Dankzij de Firefoxplug-in NoScript hebben abonnees van de Britse internetprovider Sky ontdekt dat de ISP JavaScript op de klantenportal gebruikt om de muisbewegingen van klanten te monitoren. Veel websites plaatsen JavaScriptcode van derde websites en partijen op hun eigen website. NoScript blokkeert deze code en laat aan gebruikers zien van welk domein het JavaScript afkomstig is.
In het geval van Sky bleek de code van SessionCam afkomstig te zijn, een krachtige trackingtool om de activiteit van bezoekers te monitoren, zoals ingedrukte toetsen, muisbewegingen, mobiele bewegingen, ingedrukte muisknoppen en scrolbewegingen.
Abonnees
Het Britse ISPreview meldt dat dit soort tools handig zijn om de gebruikerservaring te verbeteren, maar dat het opmerkelijk is dat een provider de activiteit op betaalpagina's en andere gevoelige delen van de website gebruikt. De code is namelijk alleen actief op de My Sky pagina's, waar alleen abonnees toegang toe hebben. De verzamelde informatie zou op een beveiligde locatie worden opgeslagen.
Sky meldt niet welke onderdelen het van SessionCam precies gebruikt, maar laat in een verklaring weten dat de tool wordt ingezet om voor potentiële "technische problemen" te waarschuwen. Een rondvraag bij andere Britse providers wees uit dat ook BT een soortgelijk oplossing toepast, genaamd ClickTale.
Update: titel aangepast
Lijkt me verder ook niet heel vreemd dat dat soort tools worden ingezet om te zien hoe gebruikers je site gebruiken en of daar verbetering in mogelijk is. Ik zie ook niet helemaal wat nu precies gevoelig is aan dat soort activiteit. De gegevens die je op die site invoert gaan sowieso al richting Sky. Hoogstens dat ze moeten oppassen als ze op die betaalpagina's ook toetsaanslagen loggen en daarmee dus mogelijk betaalgegevens die wat meer bescherming vereisen dan tamelijk nietszeggende muisbewegingen.
En als je dat ook voor andere sites gebruikt (dom maar gebeurt) ze daar vaute dingen mee kunnen doen.
Kortom: het gebeurt hier ook!
Eèn en ander aan privacy maatregelen valt bijvoorbeeld in de about:config van mozilla browsers aan te passen.
Zie voor een uitgebreide about:config specifiecatie lijst : http://kb.mozillazine.org/About:config_entries
Met welke setting of combinatie van settings mouse tracking kan voorkomen is me nog niet geheel duidelijk.
Er zijn echter ook andere settings die het monitoren van je gedrag op een site ietwat inperken (true of false waarde ... zelf invullen / bepalen) :
* Copy content monitoring uitschakelen :
dom.event.clipboardevents.enabled;...
* "Used by the preferences dialog for tracking" :
dom.event.contextmenu.enabled;...
* De tijd dat je 'idle' bent (wel op de pagina maar niet actief aanwezig bent) :
dom.idle-observers-api.enabled;...
* Monitort je accu gebruik, dat is info over je systeem en kan wellicht ook misbruikt worden :
dom.battery.enabled;...
* In variatie daarop heb je ook de vibrator functie settings :
dom.vibrator.enabled;...
* Domstorage, kunnen dus ook flashcookies zijn. Bij uitzetten merk ik geen nadelig verschil :
dom.storage.enabled;...
* De hoeveelheid Dom storage? Zet maar eens op 0 en ontdek het verschil :
dom.storage.default_quota;0
* En ook deze Dom functie uitzetten geeft geen merkbare verschillen :
dom.indexedDB.enabled;...
* Aanpassing te overwegen? (mouseup verwijderen en testen?) :
dom.popup_allowed_events;change click dblclick mouseup reset submit
Wat het uitschakelen van deze settings heeft is me nog niet geheel duidelijk :
* Native cursor support :
dom.ipc.plugins.nativeCursorSupport;...
(welke onmisbare functionaliteit zou het betreffen?)
* Dom Workers / webworkers :
dom.workers.enabled;...
(voor long term scripts op de achtergrond bij bezoek van een webpagina, maar zou dat dan ook tracking code kunnen betreffen?)
* Meer privacy :
dom.disable_image_src_set;...
Dit verschil (uitzetten) merk je wel, met zoeken op afbeeldingen bijvoorbeeld, dan wordt niet alles geladen.
* Handig (?), bij laden van de pagina cursor weer als "klokje", geen idee waarom mozilla dit heeft uitgeschakeld (verlagen cpu belasting?) :
ui.use_activity_cursor;...
En er is meer om te overwegen buiten het installeren van addons die dat ook deels voor je doen,
tips? Any?
Dat is waar maar helaas blijft het daar niet bij.
Het privacy probleem voor bezoekers is nou juist dat er met deze gebruikersgegevens gehandeld wordt (lees : doorverkocht) en dat is bijvoorbeeld slecht voor je privacy!
Google verzamelt deze gegevens omdat daar hun bedrijfsmodel op gebouwd is, namelijk het gericht tonen van advertenties (GoogleTag-Services) op basis van het profiel dat ze van je hebben opgebouwd.
Nog vervelender, en als je erover nadenkt met de nodige maatschappelijke consequenties; het tonen van zoekresultaten op basis van je interesse history profiel.
Dat klinkt leuk, maar als je erover nadenkt betekent dat dat we uiteindelijk allemaal in bruine kleding met 'Brown Shoes' * lopen.
Killing voor creativiteit/afwijking/innovatief denken of anders gezegd, uiteindelijk dodelijk voor het afwijken van je eigen vaste patronen om nieuwe dingen te proberen.
Paar keer een bruine broek gekocht? Dan krijg je voortaan alleen nog maar bruine-broeken-ads voorgeschoteld, gevolg; jij loopt meer en meer in bruine broeken en krijgt alleen nog maar 'bruin' voorgeschoteld tot en daarna alles voor jou veranderd is in bruin.
Een self fulfilling prophecy (zichzelf voorspellende waarheid) dus waarbij jij minder en minder bereid bent om andere dingen uit te proberen omdat je geen andere dingen meer krijgt voorgeschoteld!
Daarom is het openslaan van een 'ouderwets' woordenboek (of een encyclopedie) nog zo leuk, omdat je zaken niet direct vindt maak je kennis met nieuwe woorden (of feiten etc.) en breid je daarmee je kennis en interesses (algemene ontwikkeling) uit.
* Frank Zappa, Brown Shoes Don't Make It (1967)
Brown Shoes don't make it
Quit school, why fake it
..
Be a loyal plastic robot
For a world that doesn't care
..
Be a jerk-go to work
Do your job, and do it right
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security Trainer
Heb jij net als de rest van ons een passie voor cybersecurity en wil je in een team werken met mensen die minstens zo enthousiast en gedreven zijn als jij? Lijkt het je tof om wereldwijd security trainingen te geven en je security kennis over te dragen? Dan zijn wij op zoek naar jou!
Are you ready for a challenge?
Ransomware voorkomen? Begrijpen waarom je niet overal hetzelfde wachtwoord moet gebruiken? Met eigen ogen zien waarom updaten zo belangrijk is? Ontwaak je Hacker Mindset met de Certified Secure Security Awareness Experience - LIVE Online!