image

Google laat websites via first-party cookies gerichte advertenties tonen

woensdag 12 oktober 2022, 11:58 door Redactie, 5 reacties

Google laat websites vanaf volgende maand first-party cookies gebruiken om gerichte advertenties aan hun bezoekers te tonen. Voorheen plaatsten webtrackers en advertentiebedrijven die als derde partij actief op een website zijn van een ander domein cookies bij gebruikers. Aangezien deze cookies van een ander domein dan het bezochte domein afkomstig zijn worden dit third-party cookies genoemd.

Via third-party cookies is het eenvoudig om gebruikers over het web te volgen, omdat de derde partij die via allerlei sites kan plaatsen en zo kan zien welke websites een gebruiker bezoekt. Vanwege de privacygevolgen hebben verschillende browsers inmiddels besloten om third-party cookies te blokkeren. Het is echter ook mogelijk om via first-party cookies gebruikers te volgen. Bijvoorbeeld wanneer websites voor een trackingbedrijf een subdomein aanmaken. Ook wanneer gebruikers op een website inloggen is het mogelijk om die via een first-party cookie op de betreffende site uitgebreid te volgen, aldus Google.

Volgens het techbedrijf beschikken niet alle websites over deze mogelijkheden om bezoekers op deze manier gericht te benaderen. Vanaf volgende maand is het mogelijk om first-party cookies van Google Ad Manager en AdSense ook voor gerichte reclame te gebruiken. Dit moet het eenvoudiger voor allerlei soorten websites maken om op basis van first-party cookies gepersonaliseerde advertenties te tonen.

Via Google Ad Manager en AdSense kunnen websites advertenties op hun eigen site tonen. Websites moeten straks wel toestaan dat Google van first-party cookies gebruik mag maken voor het tonen van advertenties. Vervolgens kijkt Google naar eerder vertoond gedrag van gebruikers op de betreffende website om de advertenties op de bezoek af te stemmen. Op deze manier moeten websites ook publiek kunnen bereiken in browsers waar third-party cookies niet beschikbaar zijn, aldus het techbedrijf.

Google stelt dat de first-party cookies van websites niet zijn te gebruiken om mensen over het web te volgen, aangezien ze per website zijn gedefinieerd en niet met andere websites worden gedeeld. Ook claimt Google dat ze niet met andere identifiers zijn te koppelen en gebruikers van tevoren toestemming moeten geven.

Reacties (5)
12-10-2022, 13:43 door Anoniem
nou nog de trackers blokken google ???????
12-10-2022, 17:57 door Erik van Straten
Bijvoorbeeld wanneer websites voor een trackingbedrijf een subdomein aanmaken.
De betrouwbaarheid van domeinnamen wordt steeds verder ondergraven door:

thirdparty.example.com

Dat ervan uitgaande dat je example.com vertrouwt maar geen idee hebt wie er achter thirdparty zit, laat staan of deze betrouwbaar is en niet is gehacked.

Deze constructie wordt al massaal misbruikt voor bulkmailers. Dit levert allerlei risico's op (zoek op internet naar "subdomain takeover"), wat wordt vergroot door dit uit te breiden naar "cookie-subdomeinen".

In dit geval zal een foute werknemer of externe cybercrimineel waarschijnlijk niet eens een https servercertificaat aan hoeven te vragen (dat is er al) en het gaat ook niet om een domein dat gisteren op naam is gezet (en daarom mogelijk niet wordt vertrouwd); sterker, zo'n subdomein kan meeliften als het hoofddomein op een "allow list" (voorheen whitelist) staat.

Nb. als je e-mail ontvangt van bijvoorbeeld noreply@e.example.com, is dat zelden afkomstig van example.com, maar van een derde partij:
1) Waarvan example.com jou wil doen geloven dat zij de afzender zijn;

2) Die jouw persoonsgegevens en wellicht andere (voor phishers interessante) informatie van example.com heeft gekregen (zonder dat jou daar toestemming voor gevraagd is). Gebruikelijk is het dat elke link in elke e-mail naar een website van die derde partij verwijst, zodat zij precies weten of en op welk moment precies jij op links in die mail klikt (meestal redirecten die sites jou vervolgens naar een pagina op de "echte" site, maar als ze gehacked zijn hoeft dat natuurlijk niet);

3) Sterker, example.com verbergt zo met wie zij jouw persoonsgegevens deelt. Bovendien kan example.com voor steeds andere subcontractors kiezen zonder dat doorsnee internetters hier iets van merken.

Ik hoop dat organisaties zo verstandig zijn om hiermee te stoppen i.p.v. dit uit te breiden met "cookie-subdomeinen". Wellicht wordt het tijd om bedrijven die zo omspingen met risico's (privacy en security) van hun klanten, publiekelijk aan de schandpaal te nagelen.
12-10-2022, 18:48 door Anoniem
@ Erik van Straten,

Neemt hiermee ook niet de scam- en phishing plaag verder toe?

Wil men perse een onhoudbare chaos veroorzaken.

Je zou bijna gaan denken dat vele partijen daar graag hun steentje toe bijdragen.

Of ben ik dan een conspiratie theorist?

luntrus
12-10-2022, 23:35 door Erik van Straten - Bijgewerkt: 12-10-2022, 23:38
Door Anoniem (luntrus): Neemt hiermee ook niet de scam- en phishing plaag verder toe?

Wil men perse een onhoudbare chaos veroorzaken.
De risico's nemen toe; wat dat in de praktijk gaat betekenen, zellen we moeten afwachten.

Maar het doel van de betrokkenen is m.i. niet een "onhoudbare chaos" veroorzaken. Ik ben geen expert op dit gebied, maar vermoed dat adverteerders en hun opdrachtgevers (waaronder eigenaren van websites die hun kosten gedeeltelijk of geheel voldoen via advertentie-inkomsten) steeds meer het gevoel hebben met hun rug tegen de muur te staan. Gerichte advertenties zijn het effectiefst, maar privacy-voorvechters verzinnen daar steeds meer maatregelen tegen, zoals het blokkeren van third party cookies. Dat adverteerders het publiek dan willen gaan volgen via "first party" cookies, zou geen verrassing moeten zijn.

Alleen zijn het geen echte "first party" cookies, maar third party cookies vanuit een first party domein. M.a.w. er wordt misbruik gemaakt van first party subdomeinen, met een heel scala aan risico's als gevolg.

Uit https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers:
they can potentially read cookies set from the main domain, perform cross-site scripting, or circumvent content security policies, thereby enabling them to capture protected information (including logins) or send malicious content to unsuspecting users.
Dit naast dat dit slecht is voor het vertrouwen dat mensen in domeinnamen kunnen hebben (voor zover zij het hiërarchische karakter daarvan begrijpen) en in https servercertificaten.

Leuk als we straks logischer en betrouwbaarder overheidsdomeinnamen hebben, zoals:
https://digid.gov.nl/ i.p.v. https://digid.nl/
https://cn.belastingdienst.gov.nl/ i.p.v. https://belastingdienst-cn.nl/
https://cn.politie.gov.nl/ i.p.v. https://www.politiecn.com/
https://leefbaarometer.gov.nl/ i.p.v. https://leefbaarometer.nl/
hebben als betrouwbare domeinnaam, maar dan is het niet uit te leggen als de server achter
https://googletagmanager.leefbaarometer.gov.nl/ niet van de overheid blijkt te zijn.
13-10-2022, 00:48 door Anoniem
Dank Erik, altijd een gedegen en professionele reactie van jouw kant.

Laten we hopen op iets afzwakken van de risico's via regulering.

luntrus
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.