I. घटना: मैंने आपका एसएमएस क्यों पढ़ा?

खोज इंजनों में गोपनीय डेटा के रिसाव से संबंधित पिछली गर्मियों की घटनाओं ने प्रत्यक्ष या अप्रत्यक्ष रूप से उन सभी को प्रभावित किया जो मीडिया द्वारा प्रदान की गई खबर का अनुसरण करते हैं। खोज रोबोट और रूसी संघ के नागरिक का व्यक्तिगत डेटा "सिस्टम चाकू" के तहत गिर गया। हम थोड़ा गहरा खुदाई करते हैं और पता लगाते हैं कि निजी जीवन "पूर्ण दृष्टि से कैसा हो सकता है।"

गर्मियों की अवधि के बीच में, मीडिया ने एक दूसरे के साथ सबसे बड़े मोबाइल ऑपरेटरों के उपयोगकर्ताओं के एसएमएस ग्रंथों वाले वेब पृष्ठों से समाचार लीक के बारे में एक-दूसरे के साथ संपर्क किया। इस तथ्य के कारणों के बारे में कई परिष्कृत और अधिक या कम पर्याप्त संस्करणों के बीच, एक विचार आखिरकार सामने आया, जो अध्ययन के परिणामों द्वारा समर्थित था। Rdot.org फोरम में छद्म नाम "C3 ~ RET" के तहत एक प्रतिभागी ने एक छोटा शोध पत्र प्रकाशित किया, जिसने ऐसा करके, मीडिया में नए प्रकाशनों के लिए एक और, बहुत अच्छा वेक्टर सेट किया।

उसी समय, जबकि शोधकर्ताओं ने "कटलेट्स से मक्खियों" को अलग कर दिया, खुदाई करने वालों ने अधिक से अधिक खोज डॉर्क बनाए, व्यक्तिगत संसाधनों को संसाधित करने वाले वेब संसाधनों के मालिकों के साथ-साथ खोज इंजनों के मालिकों से समझौता किया जो माना जाता था कि इन आंकड़ों को उनके सर्वर पर समेकित रूप से समेकित किया गया था। इस तरह के लीक के उदाहरणों में, कोई भी खोज इंजन के कैश में आने वाली निम्न जानकारी का हवाला दे सकता है:

1) अंतरंग दुकानों के खरीदारों का व्यक्तिगत डेटा;

2) डाक टिकट के साथ "आधिकारिक उपयोग के लिए";

3) VKontakte सामाजिक नेटवर्क की हटाए गए फ़ोटो;

4) रूसी रेलवे टिकट के खरीदारों का व्यक्तिगत डेटा।

सतह की स्थिति

क्या वाकई कोई घटना हुई थी? वेब संसाधनों और खोज इंजन के बीच सीधा टकराव, जिसे "प्रचार विभाग" द्वारा खूबसूरती से वर्णित किया गया है, वास्तव में सिर्फ एक Google हैकिंग तकनीक है जिसे आम जनता के लिए प्रदर्शित किया जाता है , बस दूसरे खोज इंजन से एक उदाहरण के रूप में।



एक प्रसिद्ध तथ्य सभी द्वारा तेजी से कवर किया गया: एक खोज रोबोट की प्रलेखित कार्यक्षमता इसे अनुक्रमण पृष्ठों से मना करती है जो रूट वेब संसाधन में एक विशेष फ़ाइल "robots.txt" में समाहित नहीं होते हैं या एक विशेष HTML टैग "noindex" है , जो संयोगवश, यांडेक्स द्वारा प्रस्तावित किया गया था। । हालांकि, अगर केवल यैंडेक्स के व्यक्ति में "बलि का बकरा" को विशेष रूप से अनुक्रमित करने के साधन का उपयोग किया जाता है, तो शायद प्रचार जल्दी से समाप्त हो जाएगा, और यह सामग्री प्रकाशित नहीं होगी ...

सत्य की खोज में

शोधकर्ताओं के प्रमुख निष्कर्षों और घटना के कारणों के प्रारंभिक संस्करण, मुख्य रूप से खोज इंजन कैश में एसएमएस रिसाव से संबंधित हैं, लगभग इस तरह तैयार किए जाते हैं: गेटवे भेजने वाले लघु संदेश के क्लाइंट पक्ष पर, खोज इंजन डेवलपर कंपनी से ब्राउज़र में इंस्टॉल किए गए एक्सटेंशन ने सभी उपयोगकर्ता डेटा के हस्तांतरण को इस बहुत पक्ष में उकसाया। खोज इंजन। एसएमएस गेटवे वेब पेज के स्रोत कोड पर एक त्वरित नज़र, जो Google ऑपरेटर द्वारा गेटवे तक अस्थायी रूप से पहुंच बंद करने के बाद Google के कैश द्वारा प्रदान किया गया था, ने यह सुनिश्चित कर लिया कि जिन पेजों से संदेश भेजे गए थे उनमें जावास्क्रिप्ट कोड शामिल है, जो है Yandex.Metrica सेवा का एक हिस्सा, जो वेबमास्टरों के लिए एक उपकरण है और वेब पेज आगंतुकों के बारे में आंकड़े उत्पन्न करने के लिए डिज़ाइन किया गया है। इस प्रकार, हम यैंडेक्स खोज इंजन के कैश में गोपनीय जानकारी के रिसाव के लिए अभी तक एक और संभावित चैनल के साथ सामना कर रहे हैं।

उपयोगकर्ता समझौते के साथ परिचितता अंत में निम्नलिखित पैराग्राफ में देशद्रोह पर विरोधाभास देता है:

"8। ... विज़िट के सत्र रिकॉर्ड करने का कार्य पूरी तरह से स्वचालित रूप से काम करता है और यह नहीं जानता कि पेज पर पोस्ट की गई जानकारी की सामग्री और अर्थ का विश्लेषण कैसे किया जाए और तीसरे पक्ष (आगंतुकों) द्वारा उपयोगकर्ता की साइट के पृष्ठों पर फ़ील्ड में दर्ज किया गया है, और सामग्री की परवाह किए बिना इसे पूरी तरह से रिकॉर्ड करता है। ... "

दूसरे शब्दों में: उपयोगकर्ता समझता है कि Yandex.Metrica स्क्रिप्ट अंधाधुंध रूप से सब कुछ रिकॉर्ड करती है। हमारा काम विशेष रूप से यह निर्धारित करना है कि क्या।

इस परिकल्पना का परीक्षण करने के लिए, खोज परिणामों में उनके बाद की पहचान के उद्देश्य से उपरोक्त जावास्क्रिप्ट और अद्वितीय पाठ वाले तीन पृष्ठ बनाए गए थे। डिफेक्सटेक / p4ste3stOfYa फॉर्म का पहला पेज यांडेक्स सर्च रोबोट के लिए खुला था। एक और - defectech.ru/4tom1cprOfit robots.txt फ़ाइल में दर्ज किया गया है। यह पता खोज बॉट में उपलब्ध होने पर (जो हमें इस बात की अटकलें लगाता है कि क्या इस घटना में तथाकथित बुद्धिमान स्कैन था) सार्वजनिक पृष्ठ के बारे में और अधिक तेज़ी से बॉट को सूचित करने के लिए जो दिखाई दिया ( defectech.ru/p4ste3stOfYa ), इसके लिए एक लिंक रूट पेज ( defectech.ru ) पर रखा गया था।

दो दिन बाद। हमारे लिए सांत्वना परिणाम: जेएस कोड की नियुक्ति ने किसी भी तरह से उन पृष्ठों के सूचकांक को प्रभावित नहीं किया जो खोज बॉट्स के लिए बंद थे। इसके अलावा, सार्वजनिक पृष्ठों की अनुक्रमणिका का भी प्रदर्शन नहीं किया गया है, जो वर्ल्ड वाइड वेब की परिधि पर परीक्षण पृष्ठों की उपस्थिति के लिए विशेष रूप से बेहद कम समय के बारे में बोल सकता है, जिसने खोज रोबोट को अद्वितीय डेटा तक पहुंचने की अनुमति नहीं दी। फिर भी, वेब डेवलपर के लिए विश्लेषणात्मक प्रणाली का कोड पृष्ठों की अनुक्रमणिका को भड़काने का नहीं था, जिसका अर्थ है कि कम से कम इस स्तर पर यह खोज प्रणाली के डेटा रिसाव के लिए एक चैनल नहीं हो सकता है। यैंडेक्स प्रतिनिधियों के बयान के अनुसार, रिसाव की पहचान करने के बाद, Yandex.Metrica ने उपयुक्त सुधार किए ( http://bit.ly/qFtSs5 - खोज प्रणाली के प्रतिनिधियों द्वारा टिप्पणियां)। विवरण निर्दिष्ट नहीं हैं। हम आगे बढ़ते हैं।

कई Yandex खोज इंजन एक से अधिक Yandex से भरे हुए हैं, इस कारण से Google से एक समान JS कोड के कार्यों की सतही जांच करने का निर्णय लिया गया था। स्निफर लॉग्स के एक त्वरित निरीक्षण ने इस स्क्रिप्ट की गतिविधि के परिणाम दिखाए, जिसमें उपयोगकर्ता क्रियाओं के बारे में सांख्यिकीय जानकारी Google Analytics सेवा में स्थानांतरित की जाती है। इस जानकारी के बीच उस पृष्ठ का पता है जिस पर कोड स्थित है, जिसका अर्थ है कि Google इस पृष्ठ के अस्तित्व के बारे में कम से कम "जानता है" (कोड का उपयोग संसाधन के वेब व्यवस्थापक पैनल पर Google द्वारा प्रदर्शित आंकड़ों को उत्पन्न करने के लिए किया जाता है, लेकिन कौन जानता है कि कहां है अधिक डेटा छोड़ रहा है)।

गैस डिस्चार्ज प्रभाव

ब्राउज़रों के लिए एक्सटेंशन के रूप में खोज इंजन के डेवलपर्स द्वारा प्रदान किए गए अतिरिक्त सॉफ़्टवेयर के व्यवहार के विश्लेषण के परिणामस्वरूप, इन एक्सटेंशनों की तृतीय-पक्ष गतिविधि का पता चला था, जिससे तीसरे पक्ष को सूचना रिसाव हो सकता है। गोपनीय डेटा लीक चैनल को शुरू करने वाले प्रभाव की भयावहता को विज़ुअली विज़ुअलाइज़ किया जा सकता है, अगर हम गैस डिक्रिप्शन प्रभाव के साथ एक सादृश्य खींचते हैं। सटीक विज्ञान के जंगल में जाने के बिना, हम इस क्षय की प्रक्रिया को दिखाने वाली तस्वीर को देखें: बाहरी बल के प्रभाव में, प्राथमिक कणों का एक समूह अन्य प्राथमिक कणों के समूह से टकराता है; बदले में, वे समान टकराव करते हैं और परिणामस्वरूप हम एक हिमस्खलन प्रभाव देखते हैं। हमारे मामले में, गोपनीय जानकारी या इसका हिस्सा प्राथमिक कणों के रूप में कार्य करता है, जो रिसाव चैनलों के माध्यम से नेटवर्क के विभिन्न हिस्सों में पहुंच जाता है और परिणामस्वरूप इसकी व्यापकता के कारण सार्वजनिक हो जाता है। इस प्रकार, खोज इंजन में शामिल होने के परिणामस्वरूप निजी डेटा को उसके मालिक को विशिष्ट रूप से पहचाना जा सकता है।



आइए डेटा लीक चैनलों पर करीब से नज़र डालें जो कि Yandex.Bar और Google.Toolbar के उदाहरण का उपयोग करके खोज इंजन डेवलपर्स से उपयोगकर्ता ब्राउज़र के लिए उपरोक्त एक्सटेंशन खोलते हैं।

स्निफर लॉग में Google टूलबार की गतिविधि की जांच करते हुए, आप एक पंक्ति भी देख सकते हैं जिसमें उपयोगकर्ता के वर्तमान पृष्ठ का पता Google की सेवाओं में से एक को भेजा जाता है। इसके अलावा, यदि आप ब्राउज़र में कोई क्रिया नहीं करते हैं, तो आप प्लगइन की पृष्ठभूमि गतिविधि को नोटिस कर सकते हैं: एक निश्चित आवृत्ति के साथ, Google की सेवाओं में से एक को विचारोत्तेजक नाम "सेल्फब्रोज़िंग" कहा जाता है। कॉल की आवृत्ति इस तथ्य के कारण है कि प्लगइन काफी मात्रा में डेटा भेजता है।


Google टूलबार पृष्ठभूमि गतिविधि।


Yandex.Bar एक साथ HTTPS कनेक्शन पर डेटा के हस्तांतरण के बावजूद, HTTP के माध्यम से डेटा प्रसारित करता है।

हम यैंडेक्स से एक समान उत्पाद पर अपना ध्यान केंद्रित करते हैं। अध्ययन के परिणामों को "हॉट्टर" बनाने के लिए, एक लड़ाकू वातावरण में प्लगइन के व्यवहार पर विचार करें: हम सबसे बड़े रूसी बैंकों में से एक में स्थापित लोकप्रिय इंटरनेट बैंकिंग प्रणाली "हैंडबैंक" में भुगतान ऑपरेशन करेंगे।

शैली का क्लासिक्स: प्लगइन खोज इंजन सेवा के लिए पृष्ठ पते को स्थानांतरित करता है। भुगतान लेनदेन का विवरण दर्ज करें और "अगला" पर क्लिक करें। इंटरनेट बैंकिंग प्रणाली की स्क्रिप्ट GET अनुरोध में सभी दर्ज की गई जानकारी को स्थानांतरित करती है और यह गोपनीय जानकारी को यैंडेक्स सेवा में स्थानांतरित करती है। खिचड़ी भाषा ... इसके अलावा, सिस्टम के विक्रेता से।



त्वरित खोज के अलावा, Yandex.Bar वर्तमान पृष्ठ पर उपयोगकर्ता द्वारा दर्ज किए गए डेटा की वर्तनी जांचने की क्षमता प्रदान करता है। हम इस विकल्प को सक्रिय करते हैं और जो हम देखते हैं: प्लगइन विशेष रूप से बनाए गए XML फ़ाइल में भुगतान लेनदेन के विवरण के बारे में सभी जानकारी को यैंडेक्स स्पेलिंग चेकर में स्थानांतरित करता है (इस फाइल की संरचना संबंधित स्क्रीनशॉट में स्पष्ट रूप से दिखाई देती है)। और यह सब Ya.Bar असुरक्षित HTTP प्रोटोकॉल के माध्यम से HTTPS कनेक्शन को दरकिनार कर अपने सर्वर में स्थानांतरित करता है।

विश्लेषक की आंखों के माध्यम से

खोज इंजन एक ऑक्टोपस की याद दिलाते हैं जो अपने जाल के साथ वेब स्पेस में सूचना के सबसे दूरस्थ रिपॉजिटरी तक पहुंचने की कोशिश कर रहा है। ये टेंपल्स किसी भी तरह से सर्च बॉट्स तक सीमित नहीं हैं और यह एक तरफ विभिन्न प्लगइन्स, वेब डेवलपर टूल्स और अन्य उपयोगी सेवाओं के अलावा कुछ भी नहीं हैं, कृपया खोज इंजन द्वारा खुद को प्रदान किया जाता है ताकि अंत उपयोगकर्ताओं के लिए जीवन को सरल बनाया जा सके, और दूसरी ओर, अनुक्रमण प्रक्रिया को सरल बनाने के उद्देश्य से। "पूरा इंटरनेट।"

समाचार पर विशेष रूप से ध्यान, जो खोज इंजन की गतिविधियों की निगरानी के लिए एक प्रारंभिक बिंदु के रूप में कार्य करता है, संभवतः अप्रत्यक्ष रूप से उन घटनाओं के कारण होता है जो FZ-152 के आसपास सामने आए थे, जिनमें से बदलावों ने रूसी आईएस उद्योग को हिला दिया था। प्रकाशित एसएमएस पत्राचार और एक कोने में रखा गया मेगफॉन व्यक्तिगत डेटा की कथित खराब सुरक्षा का एक ज्वलंत प्रदर्शन है, जो कि अद्यतन परिभाषा के अनुसार, अब मानव जैसी प्राणी द्वारा बनाई गई लगभग किसी भी जानकारी को शामिल करता है। लेकिन वह एक और कहानी है।