זום עדיין לא מבין את GDPR

עוגיות

כמעט כל אתר יודע מתי ביקרת בו בפעם האחרונה. אתרים משאירים אותך מחובר ומזכירים לך את עגלת הקניות שלך, ורוב המשתמשים מתייחסים להתנהגות זו כמובן מאליו.

הקסם של התאמה אישית והתאמה אישית אפשרי הודות ל-Cookies. עוגיות הן פיסות מידע קטנות המאוחסנות במכשיר שלך ונשלחות עם כל בקשה לאתר כדי לעזור לו לזהות אותך.

למרות שקובצי Cookie יכולים להיות שימושיים בשיפור האבטחה והנגישות של אתרי אינטרנט, קיים כבר זמן רב ויכוח על מעקב אחר משתמשים. רוב השאלות נוגעות להטרדה של משתמשים ברחבי האינטרנט באמצעות עוגיות המשמשות לפרסום, וכן כיצד מידע כזה יכול לשמש חברות צד שלישי לצורך מניפולציות.

מאז שנכנסו הוראת הפרטיות האלקטרונית וה-GDPR, נושא העוגיות הפך לאבן נגף לפרטיות מקוונת.

במהלך החודש האחרון, בעת הסרת ההתקנה של Zoom (חברת Threatspike EDR), גילינו גישה חוזרת לקובצי Cookie של Google Chrome במהלך תהליך ההסרה:

זה היה חשוד ביותר. החלטנו לעשות מחקר קטן ולבדוק האם ההתנהגות הזו היא זדונית.

נקטנו בצעדים הבאים:

• קובצי Cookie נמחקו
• הורדת זום
• לחצו על האתר zoom.us
• ביקרנו באתרים שונים, כולל אתרים לא מוכרים
• עוגיות שמורות
• הוסר זום
• שמרנו שוב את העוגיות לשם השוואה וכדי להבין על אילו מהן זום משפיע במיוחד.

חלק מהעוגיות נוספו בעת ביקור באתר zoom.us, וחלק נוספו בעת הכניסה לאתר.

התנהגות זו צפויה. אבל כשניסינו להסיר את לקוח Zoom ממחשב Windows, שמנו לב להתנהגות מעניינת. הקובץ install.exe ניגש וקורא לעוגיות של Chrome, כולל עוגיות שאינן זום.

לאחר שהסתכלנו על הקריאות, תהינו - האם זום קורא רק עוגיות מסוימות מאתרים מסוימים?

חזרנו על השלבים לעיל עם מספר שונה של קובצי Cookie ואתרי אינטרנט שונים. הסיבה שבגללה זום קורא את העוגיות של אתר מעריצים של כוכב פופ או סופרמרקט איטלקי, לא סביר שהיא גניבת מידע. בהתבסס על הבדיקות שלנו, דפוס הקריאה דומה לחיפוש בינארי אחר עוגיות משלו.

עם זאת, עדיין מצאנו התנהגות חריגה ומעניינת במהלך תהליך המחיקה על ידי השוואת קובצי Cookie לפני ואחרי. תהליך installer.exe כותב עוגיות חדשות:

קובצי Cookie ללא תאריך תפוגה (הידועים גם כקובצי Cookie של הפעלה) יימחקו כאשר תסגור את הדפדפן שלך. אבל לעוגיות NPS_0487a3ac_throttle, NPS_0487a3ac_last_seen, _zm_kms ו-_zm_everlogin_type יש תאריך תפוגה. לערך האחרון יש משך של 10 שנים:

אם לשפוט לפי השם "everlogin", ערך זה קובע אם המשתמש השתמש בזום. והעובדה שרשומה זו תישמר למשך 10 שנים לאחר מחיקת האפליקציה מפרה את הוראת הפרטיות האלקטרונית:

לכל קובצי ה-Cookie הקבועים יש לרשום תאריך תפוגה בקוד שלהם, אך משך הזמן שלהם עשוי להשתנות. לפי הוראת הפרטיות, אין לאחסן אותם יותר מ-12 חודשים, אך בפועל הם יכולים להישאר במכשיר שלכם להרבה יותר זמן, אלא אם תנקוט פעולה.

מעקב אחר פעילות משתמשים באינטרנט אינו דבר נורא בפני עצמו. עם זאת, בדרך כלל משתמשים לא יפרטו על כפתור "קבל את כל העוגיות". לעתים קרובות, זה רק תלוי בחברה לכבד ePrivacy, GDPR או לא.

ממצאים כאלה מטילים ספק בהוגנות השימוש בנתונים אישיים בכל רחבי האינטרנט ובכל מיני שירותים.

מקור: www.habr.com