Zoom все още не разбира GDPR

Бисквитки

Почти всеки уебсайт знае кога за последно сте го посетили. Уебсайтовете ви държат влезли и ви напомнят за пазарската ви количка и повечето потребители приемат това поведение за даденост.

Магията на персонализирането и персонализирането е възможна благодарение на бисквитките. Бисквитките са малки части от информация, които се съхраняват на вашето устройство и се изпращат с всяка заявка към уебсайт, за да му помогнат да ви идентифицира.

Въпреки че бисквитките могат да бъдат полезни за подобряване на сигурността и достъпността на уебсайтовете, отдавна има дебат относно проследяването на потребителите. Повечето от въпросите се отнасят до тормоза на потребителите в интернет чрез бисквитки, които се използват за реклама, както и как тази информация може да бъде използвана от трети страни за манипулация.

Откакто се появиха Директивата за ePrivacy и GDPR, темата за бисквитките се превърна в пречка за поверителността онлайн.

През последния месец, докато деинсталирахме Zoom (компания Threatspike EDR), открихме многократен достъп до бисквитки на Google Chrome по време на процеса на деинсталиране:

Това беше изключително подозрително. Решихме да направим малко проучване и да проверим дали това поведение е злонамерено.

Предприехме следните стъпки:

• Изчистени бисквитки
• Изтеглено увеличение
• Щракна върху сайта zoom.us
• Посетихме различни уебсайтове, включително и малко известни
• Запазени бисквитки
• Премахнато увеличение
• Запазихме бисквитките отново за сравнение и за да разберем кои конкретно засяга Zoom.

Някои бисквитки бяха добавени при посещение на уебсайта zoom.us, а други бяха добавени при влизане в сайта.

Това поведение е очаквано. Но когато се опитахме да премахнем клиента Zoom от компютър с Windows, забелязахме интересно поведение. Файлът install.exe има достъп и чете бисквитки на Chrome, включително бисквитки, различни от Zoom.

След като разгледахме четенията, се зачудихме - дали Zoom чете само определени бисквитки от определени уебсайтове?

Повторихме горните стъпки с различен брой бисквитки и различни уебсайтове. Причината, поради която Zoom чете бисквитките на фен уебсайт на поп звезда или италиански супермаркет, едва ли е кражба на информация. Въз основа на нашите тестове моделът на четене е подобен на двоично търсене на собствени бисквитки.

Все пак открихме необичайно и интересно поведение по време на процеса на изтриване, като сравнихме бисквитките преди и след. Процесът installer.exe записва нови бисквитки:

Бисквитките без дата на изтичане (известни също като сесийни бисквитки) ще бъдат изтрити, когато затворите браузъра си. Но бисквитките NPS_0487a3ac_throttle, NPS_0487a3ac_last_seen, _zm_kms и _zm_everlogin_type имат дата на изтичане. Последният запис е с продължителност 10 години:

Съдейки по името "everlogin", този запис определя дали потребителят е използвал Zoom. А фактът, че този запис ще се съхранява 10 години след изтриването на приложението, нарушава директивата за ePrivacy:

Всички постоянни бисквитки трябва да имат дата на изтичане, записана в техния код, но тяхната продължителност може да варира. Съгласно Директивата за поверителност те не трябва да се съхраняват повече от 12 месеца, но на практика могат да останат на вашето устройство много по-дълго, освен ако не предприемете действия.

Проследяването на активността на потребителите в Интернет само по себе си не е нещо ужасно. Въпреки това, обикновено потребителите няма да навлизат в подробности относно бутона „Приемане на всички бисквитки“. Често само компанията зависи дали ще спазва ePrivacy, GDPR или не.

Подобни констатации поставят под съмнение справедливостта на използването на лични данни в целия интернет и всички видове услуги.

Източник: www.habr.com