Facebook и Yandex использовали свои Android-приложения для деанонимизации сеансов в браузерах

я иногда видела на сайтах скриптятину, которая шарашит по разным портам локалхоста. прямо на десктопе. я ещё подумала: что за нафиг, какая-то странная попытка собирать данные? теперь я думаю, что такие сайты просто ищут вредоносное ПО на машине юзера, чтобы... тут можно включать воображение и дописывать любые сценарии.

понятно, что браузер сидит в песочнице и никакого доступа куда попало у него нет. и я сразу пресекала методом блокировки такое странное и непонятное зло. но сколько там ещё подобного дерьма, если включать скрипты где попало, я даже представить не могу. я видела такие скрипты, подгружающиеся с сайтов разных сомнительных контор по «безопасности». многие веб-сервисы понавключали подобную хрень и получили искаропки троянских коней для своих посетителей. думаю, они сами не знают, что тащится с их сервера. а некоторые тут удивляются, мол, зачем проверять жабаскрипты. ну, вот хотя бы за этим. и да, жабаскрипт в том виде, как он сейчас реализован - это зло и малварь, по сути.

но ведь режим инкогнито очень редко используют

я не пытаюсь обелить яндекс: их поиск к примеру, это полный трэш. да и про яндекс бар я с EXL согласен.

но конкретно здесь - хз. с точки зрения здравого смысла, не влезая в технические детали, наиболее правдопободной версией ввглядит обычное растяпство

Потрясающе, сколько труда и изощренной технической мысли потрачено на то, чтобы предложить мне купить штаны, которые я не куплю. Да я буквально центром вселенной себя ощутил, спасибо вам, мудаки из фб и яндекса!

а некоторые тут удивляются, мол, зачем проверять жабаскрипты

Ты имеешь ввиду читать код скрипта?

и это тоже, хотя он часто обфусцирован и вообще результат автоматической генерации из другого представления. и фильтровать скрипты по домену загрузки (хотя бы чтобы избегать XSS, хотя и загрузка скриптов с запрашиваемого домена ничего не гарантирует. и проверка того, какие запросы улетают из твоего браузера наружу - вот особенно это важно проверять и банить, банить, банить.

У В.О.Пелевина есть один рассказ об обезьянке Акико, прямо таки об этой ситуации написан.

Лень читать все, последние пять абзацев.

Ты же понимаешь, что всё это провернуть, сможет меньше 1% от всех юзеров. Ты так пишешь, что нужно и читать скрипт, и смотреть что куда запросы отправляет. Если бы поголовно, все пользователи браузера, могли бы дрянь всю в нем находить, то эту дрянь никто бы и не внедрял :)

конечно, понимаю. потому и говорю, что нам нужен «более лучший веб» и нормальные безопасные и свободные браузеры. по-настоящему свободные, а не на подачках от копрорастов, с бэкдорами и рекламой.

Ушлепки. Даже файрфокс пропустил.

Не надо притягивать объяснения к статье. Слежкой занимаются все без исключения интернет-гиганты, просто в данном случае написали про конкретных двух. Что касается «использования любых продуктов моветон» - это тоже касается их всех. Но яндекс тут далеко не в топе - у него аудитория в основном локализована в РФ (то есть масштабы принципиально меньше), в отличие от уже упомянутого фейсбука, а так же всяких гуглов эпплов микрософта. Я же надеюсь ты не используешь гуглхром, андроид, макос, иос и оффтопик?

Ну вот ещё, буду я в систему это российское говно пихать

Я пользовался Юмани и 2ГИС, пока это было возможно. Это были лучшие сервисы в своем роде, которые трудно в чем-либо упрекнуть или заподозрить. Контактик при Пашке тоже был очень неплох.

...хотя бы в Европе...

Она в деле.

Вроде бы можно у конкретных приложений отнять конкретные права. Но что-то я не припомню, чтобы что-то запрашивало разрешения на запуск веб-сервера, похоже, это можно всем и без дополнительных разрешений.

Не только на сайты, но и в андроидных приложениях оно встраивает рекламу по запросам в браузерах

Может и можно, точно не знаю, но насколько я понимаю, приложение знает что у него что-то забрали. Нельзя сделать «теневой бан», чтобы приложение получало доступ к фейковым (пустым) контактам, слушало порт, но к нему никто не мог подключиться и т.д.

разрешения на запуск веб-сервера,

Ну на хабре написано прямо:

Android позволяет любому установленному приложению с разрешением INTERNET открывать прослушивающий сокет на интерфейсе loopback (127.0.0.1).

Вот же нехорошие компании какие, а??? Это единственная фраза, которую я могу написать, остальные писать нельзя.

Navitel и 2GIS как минимум

Я видел много клоунов, но ты превзошёл их всех.

Можно. Напиши, излей душу, пожалуйся сам на себя и удали :)

Неужели существовали люди, верящие, что упомянутые компании ничем подобным не занимаются?

приложения начинали принимать соединения не сразу после установки, а примерно через три дня

Прелестно, прелестно … Скрытая слежка и действия направленные на предотвращение обнаружения слежки. Прелестно …

Даже элементарные вопросы о расстояниях.

Расстояниях между чем и чем?

А вообще Алиса - баба довольно полезная. У соседа недавно инжектор на ниве накрылся,так он Алису спрашивал как чинить. И как ни странно - починил! Я случайно зашел и было прикольно услышать вполне грамотные технические объяснения голосом девки. Причем у него Алиса живет в отдельном девайсе и даже денег стоит, вроде 100р в месяц что ли.

А еще он же рассказал что Алису в виде такого девайса заводят себе слабовидящие люди и очень довольны.

ну когда уже люди поймут что нельзя проприетарщину к себе на машины ставить

Те кто ставит - те не поймут никогда. Потому что им просто наплевать на утечки личной информации. Они даже сами кучу всего вываливают например в соцсети,добровольно. Я думаю это такая современная форма эксгибиционизма,перешедшего с физического на ментальный уровень.

Нельзя сделать «теневой бан», чтобы приложение получало доступ к фейковым (пустым) контактам, слушало порт, но к нему никто не мог подключиться и т.д.

Можно. См. firejail например.

На ведроиде тоже можно, просто по каким-то неведомым причинам взлом всяких сраных ведроидных «защит», рутование и замена бутлоадера или ядра не приветствуются в среде тех, кто пишет софт для ведроида. Например автора Magisk вообще гугль купил с потрохами, и даже разрешили дальше разрабатывать Magisk но с одним условием - чтобы в Magisk не было никаких попыток дезинформации приложений корпораций, банков и прочих ублюдков, даже самых невинных типа скрытия того, что у пользователя может быть root.

Тут проблема не софтверная, тут проблема исключительно социальная. Писатели под ведроид не желают по каким-то дебильным соображениям писать тулзы подменяющие окружение для говноприложений без возможности говноприложений определить что их загнали в клетку и кормят баландой. А тех кто пытается - либо покупают, либо подвергают остракизму разными способами.

так ведь не только их личная информация утекает. они сливают в сеть и чужие данные, через эти дыры. надоело просить удалить меня из всяких там смертьфонов. потому что как только какой-то контакт осел в чьей-то карманной переносной помойке, так сразу начинает валить спам, флуд, хрен знает что. поэтому это не просто личная проблема, это всеобщая проблема.

про эксгибиционизм - да, совершенно верно. от фоточек «я посрал» до выкладывания в сеть критической информации по банковским аккаунтам и прочему такому.

firejail/apparmor и другие песочницы - это в нынешние времена просто must have. джентльменский набор необходимых инструментов и средств самозащиты. жаль, что на всяких смертьфонах этого нет прямо искаропки. а по идее именно там оно должно быть вообще предустановлено сразу.

так ведь не только их личная информация утекает. они сливают в сеть и чужие данные

Да, это так. И это тоже совсем не ново. Во все времена начиная с доисторических были люди которым нельзя было доверять ничего конфиденциально-личного ибо всё равно разболтают. А в СССР был даже плакат «Болтун-находа для шпиона». Конкретные способы разбалтывания здесь не принципиальны. Это и без интернета отлично происходило.

это не просто личная проблема, это всеобщая проблема.

Да, это всеобщая проблема но она вовсе не какая-то новая. Она была всегда. И о своей конфиденциальности всегда приходилось заботиться самому. Иногда даже и весьма варварскими методами типа отрезания языка кому-нибудь. С этой точки зрения даже стирание памяти в чьем-нибудь смартфоне выглядит вполне гуманно.

болтун и просто пассивный дурак, у которого есть шпионящий за ним гаджет - это всё-таки разные вещи. дурак даже ничего не делает, чтобы слить данные налево. часто он вообще не понимает, что его лопатник ворует данные. так что проблема перешла на другой уровень.

болтун болтает сам. а шпионящие гаджеты - это уже слежка. и ни один болтун не наболтает столько, сколько личных данных наворовали копрорасты.

Смартфоны производятся вовсе не для того, чтобы обеспечивать удобство и приватность пользователя, а совершенно наоборот.

Когда вспоминают тендер DARPA на проект LifeLog, почему-то вспоминают только про Цукерберга, который его выиграл и получил бабло на сервера для Facebook. А ведь в тендере этом было ещё и носимое устройство, которое собственно и предполагалось использовать для наполнения баз данных содержимым о личной жизни поднадзорных.

А на ЛОРе при этом почему-то запрещено постить ссылки и рецепты для взлома защит ведрофонов их софта от контроля пользователем. Пункт 6.2 правил. При этом в пункте не указано, законодательство какой страны используется для определения нелегальности ПО.

Насколько я знаю, в РФ распространять ПО для взлома и устранения шпионского софта недружественных стран, а также предназначенное для обеспечения нормальной работы оборудования на запрещено законом.

поднадзорных

вот это очень правильное слово. оно прямо отражает всю суть этой системы, со всех сторон. и сразу всё встаёт на свои места.

Смартфон,как и абсолютное большинство вещей, делаются их производителями вовсе не для нашего с вами удобства,а для извлечения прибыли. Это цель прямо написана в уставе любой коммерческой фирмы. Естественно,производитель не будет встраивать в смартфон то что будет уменьшать его прибыль.

Также если к примеру Яндекс предоставляет нам что-то бесплатно (хотябы поиск) - то на чем-то он должен зарабатывать деньги чтобы этот поиск мог работать. Вот он и собирает наши данные чтобы потом перепродать их другим коммерсантам в виде таргетированной рекламы. Другой вопрос что на мой взгляд ценность рекламы сильно преувеличена. Но другие коммерсанты продолжают за нее платить. Хотя у большинства известных мне людей реклама вызывает только отрицательную реакцию («опять г-но впаривают»). Я не знаю где те толпы народа которые увидев товар в рекламе тут же бегут в магазин покупать его.

«опять г-но впаривают»

так то, что не говно, не надо впаривать. его и так люди берут. впаривают, по определению, то, что не продаётся иначе. так что реклама - двигатель говна. это тот самый мощный вентилятор, на который набрасывают, да. и результаты потрясающие: всё вокруг в этой субстанции и почему-то никому это не нравится.

пассивный дурак он вообще не понимает,

Он точно также не понимал и в доинтернетные времена. Вы дали ему конфиденциальное письмо для передачи другому человеку и просили хранить это в тайне - а он мог «пассивно» оставить это письмо на видном месте где его прочитает кто-то другой. И куча подобных вариантов именно пассивного бездействия в сохранении и чужих и своих тайн. Это было всегда.

шпионящие гаджеты - это уже слежка

Слежка тоже была всегда. В старинных зданиях нередко имелись даже некоторые технические ухищрения для этого дела. Типа слуховых труб или всяких устройств для подсматривания.

ни один болтун не наболтает столько, сколько личных данных наворовали копрорасты.

С этим могу согласиться. Но количество данных отчасти компенсируется неэффективностью их использования. Ну покажут вам или мне таргетированную на основании этих данных рекламу какой-нибудь фигни. Так ведь мы фигню всё равно не купим. У людей постепенно вырабатывается встроенный в мозги спам-фильтр. Умение фильтровать спам постепенно становится таким же востребованным навыком как умение читать. Хотя еще сотню лет назад немало людей и без умения читать обходились.

я бы не стала сравнивать пассивное бездействие и глупость и активное сознательное и направленное действие третьих лиц. это разные вещи. хотя одно не отменяет другое.

Далеко не факт, что «платежи за рекламу», на которые якобы живёт всякая социальщина являются оными на самом деле. Поэтому тебе и кажется странным что кто-то платит за рекламу которая не может работать.

Платят социалочкам совсем за другое, хотя это те же самые персонажи, которые владеют корпорациями которые типа платят всяким гуглям якобы за рекламу. Эти же самые персонажи владеют ещё и политиками, и, в общем-то, в конечном итоге, населением той или иной страны. А получают они вовсе не покупателей, а подробные досье на каждого поднадзорного.

правильное слово. оно прямо отражает всю суть этой системы

Так это для любого государства применимо с весьма древних времен и до наших дней. Власть имущие везде и всегда занимались надзором за подданными. Сейчас это стало хотябы достаточно гуманно и добровольно. Смартфоном ведь можно и не пользоваться,как я например. И в соцсетях регистрироваться тоже не обязательно. Опять же - меня там нет и ничего, не помер.

реклама - двигатель говна.никому это не нравится.

Вот меня и удивляет что реклама не нравится никому,а коммерсанты почему-то уверены в ее эффективности и продолжают сливать большие деньги на рекламу.

Смартфоном ведь можно и не пользоваться,как я например. И в соцсетях регистрироваться тоже не обязательно. Опять же - меня там нет и ничего, не помер.

таких людей тут двое: ты и я. и всё, наверное. ну, может ещё парочка наскребётся, если сделать голосование на тему. а в остальном люди готовы бездумно следовать моде, трендам, чему попало, что впаривают в мудоскопе, рекламе и прочем подобном.

однако, глупость и небрежность - ещё не повод грабить людей, например. а воровство данных - это такое же воровство, как и любое другое, по сути.

сила самоубеждения. ну и да, рекламщики-то им втирают, что прямо вот щаз все побегут покупать их говённую продукцию. только пусть платят бабло рекламщикам. пока это работает, их доят.

пассивное бездействие и глупость и активное сознательное и направленное действие третьих лиц.

Я и не сравниваю. Я говорю о том что бездействием и глупостью одних всегда и во все времена пользовались другие. Собирать и анализировать всякие слухи сплетни начали совсем не сегодня. Как и охотиться за чужими секретами. Одни не заботятся о конфиденциальности(например пассивно не убранный в сейф ценный документ) - другие извлекают из этого личную выгоду. В истории было множество случаев когда секреты утекали на сторону именно по раздолбайству секретоносителей,а не только потому что они что-то целенаправленно выбалтывали.

разница тут в том, что обычная халатность, проявленная не на рабочем месте, где расписаны обязанности и ответственность за нарушения, а просто где-то в приватной ситуации, не наказуема. а вот воровство наказуемо и должно считаться таковым и преследоваться по закону. только вот почему-то «это другое»(TM).

подробные досье на каждого поднадзорного.

Так ведь досье имеет смысл только если его можно как-то монетизировать. Если не продажей чего-нибудь посредством таргетированной рекламы - то как еще?

Кроме того - я вижу вокруг огромное количество именно рекламы,которая не возникает сама по себе,а ее производство и размещение кто-то оплачивает. Вот и возникает вопрос - зачем они это оплачивают.

Так ведь досье имеет смысл только если его можно как-то монетизировать.

Эти персонажи печатают деньги. За каким хреном им что-то монетизировать? Для них деньги не цель, а инструмент, и их у них бесконечное количество.

Вот и возникает вопрос - зачем они это оплачивают.

Чтобы прикрыть свою реальную деятельность.

кстати, да, о деятельности часто это именно так. я просто офигеваю, сколько у нас ювелирных и меховых магазинов. мы прямо все с ног до головы в ювелирке и мехах ходим, судя по их количеству и оборотам бабла. но что-то не срастается. а аптеки, по четыре на каждом перекрёстке, - неужели это всё окупается? конечно, нет. это всё отмывание теневых доходов - верный признак гнилой экономики.

таких людей тут двое: ты и я.

Конкретно тут в этой теме - ну может быть и так. А вообще людей которые не ЗЛОупотребляют «современными» технологиями я знаю довольно много. А последние десяток-полтора лет вокруг развелось еще и значимое количество людей у которых дома даже телевизора нет. В деревне кстати очень заметно по сократившемуся количеству телеантенн на домах,особенно там где сезонные дачники живут.

бездумно следовать моде

Этого тоже стало меньше даже по сравнению с моей молодостью. И тем более молодостью более старшего поколения людей,из рассказов которых я знаю что тогда мода принимала чуть ли не характер ментальной эпидемии. То были модны широкие брюки - буквально все ходили в широких. Были модных узкие - ходили в узких. Также с прическами. Слушали одну и ту же музыку. Ну и так далее. А сейчас ходят в чем хотят,слушают что хотят, прически носят какие хотят. Никакого порядка и единообразия:)

Про общее отношение к рекламе я тоже уже говорил. Впаривание уже не работает так как работало в 90х.

не повод грабить людей

Всё же грабёж и воровство - это разные статьи:) Да и явным воровством не злоупотребляют. Чаще это имеет характер злоупотребления доверием или мошенничества,в результате которого люди расстаются с данными без применения насилия. Весьма часто во всяких соглашениях об использовании прямо написано о доступе к данным. Но юзеры часто нажимают «Окей» не читая или не вникая в прочитанное. Им реально пофиг на конфиденциальность! Если уж они всё о себе сами в соцсети вываливают то о каком грабеже говорить можно…

рекламщики-то им втирают пока это работает

Так сколько лет-то уже одни втирают,а другие втираемому верят и платят:(

прямо вот щаз все побегут покупать

И где все эти бегущие покупать толпы-то?

развелось еще и значимое количество людей у которых дома даже телевизора нет

ну, вот у меня его нет. уже 30+ лет как я его не смотрю. да и раньше я его не смотрела как-то. нечего там смотреть. но я не думаю, что таких людей тоже много, не считая дачников, у которых ящик для овощей просто сопрут из бытовки, пока те в отъезде.

То были модны широкие брюки - буквально все ходили в широких. Были модных узкие - ходили в узких. Также с прическами. Слушали одну и ту же музыку.

представь себе страну, где ничего нельзя, но вот широкие брюки и длинные волосы - пока можно. вот молодёжь и отрывалась, как могла. хотя бы так проявить неординарность. но тогда были другие времена. люди были намного наивнее. и добрее.

Весьма часто во всяких соглашениях об использовании прямо написано о доступе к данным.

даже если человека заранее предупреждают, что его будут грабить, то это не отменяет факт хищения данных.

воровство наказуемо и должно считаться таковым и преследоваться по закону.

А если в пользовательском соглашении написано «мы будем собирать ваши данные» - то это уже никак не воровство. Ибо определение кражи предполагает тайное хищение. А оно именно так у всех крупных и написано. И каждая программа в андроиде честно запрашивает доступ примерно ко всему. И юзеры разрешают даже не читая и не думая.

обычная халатность,

Если в результате случился некий объективный вред то это можно подтянуть под «нанесение ущерба деловой репутации» или «распространение порочащих сведений». Но почти никто не пытается отстаивать свою конфиденциальность.

И где все эти бегущие покупать толпы-то?

ты когда-нибудь видел так называемые «чёрные пятницы» (или понедельники, неважно)? я в такие дни даже из дома выходить опасаюсь. люди настолько дичают, что прут в магазины, как лошади, топча всё на своём пути.

я до сих пор помню, как в школе, где я училась, толпа детей, несущихся на перемене в столовую, затоптала насмерть маленького мальчика. там был довольно узкий лестничный пролёт и туда устремлялась вся огромная школа на 6000 человек. и мальчик упал, а все остальные просто бежали по нему, потому что в этой давке было вообще невозможно выбирать направление. вот примерно то же самое поведение бывает и у взрослых людей: ажиотаж, бездумное хаотичное движение. и это опасно.

За каким хреном им что-то монетизировать?

Тогда зачем им досье на большинство людей,в политику не лезущих и их власти вообще никак не угрожающих?