HackerNews 06月05日 10:05
Meta 与 Yandex 被曝使用去匿名化的追踪技术​
index_new5.html
../../../zaker_core/zaker_tpl_static/wap/tpl_guoji1.html

 

一项由研究人员揭露的新型追踪技术,允许Meta和Yandex在数十亿安卓用户浏览网页时,即便用户开启无痕模式,也能实现有效去匿名化。该技术通过在后台监听网站数据,绕过安卓系统的安全防护。研究发现,包括Facebook、Instagram以及Yandex地图、浏览器在内的多款应用均涉及其中。该技术利用网站脚本与应用的隐蔽通道,规避隐私保护机制,甚至为恶意软件窃取用户数据敞开大门。虽然Meta已停止相关行为,但修复工作仍在进行中。

🕵️‍♀️ 研究表明,Meta和Yandex通过在安卓设备上秘密监听网站数据,从而实现对用户的追踪,即使在无痕模式下也无效。

🌐 该技术的核心在于利用网站嵌入的Meta Pixel或Yandex Metrica脚本,这些脚本通过本地回环接口与应用程序通信,将用户的浏览行为与真实身份关联起来。

🛡️ 这种追踪方式绕过了安卓系统的沙盒防护、Cookie清除和无痕模式等隐私保护机制,甚至突破了安卓的权限控制,使得恶意软件更容易窃取用户数据。

⚙️ Meta使用“SDP Minging”技术隐藏用户数据,而Yandex则通过特定的端口进行监听。研究人员指出,该漏洞影响了Chrome、Firefox和Edge等主流浏览器。

🚨 尽管Meta已停止相关行为,但研究人员警告需要更全面的措施才能彻底解决问题,主流安卓浏览器厂商正在部署补丁,以应对这一威胁。

HackerNews 编译,转载请注明出处:

安全研究人员揭露了Meta和Yandex使用的新型追踪技术,该技术能在数十亿安卓用户浏览网页时有效去匿名化,即使用户开启无痕模式也无效。根据西班牙IMDEA Networks研究所、荷兰拉德堡德大学及比利时鲁汶大学联合报告,当安卓用户浏览网页时,Yandex(俄罗斯主要科技公司)和Meta的应用程序会在后台通过本地端口通信秘密监听网站数据。

这种技术绕过了安卓系统与浏览器的沙盒防护及其他安全措施。研究发现:“包括Facebook、Instagram以及Yandex地图、浏览器在内的多款应用,会为追踪目的在固定本地端口静默监听”。其运作原理如下:

    网站脚本与应用的隐蔽通道:全球数百万网站嵌入了Meta Pixel或Yandex Metrica脚本。当用户访问这些网站时,脚本会通过本地回环接口(localhost)向对应应用发送数据,将浏览行为与实际用户关联。规避隐私保护机制:该方法无视清除Cookie、无痕模式等常规隐私防护,甚至突破安卓权限控制。更严重的是,它为恶意软件窃取用户网页活动数据敞开大门。

具体技术细节显示:

    端口监听机制:Meta Pixel通过WebRTC向UDP端口12580-12585传输Cookie,任何监听这些端口的应用均可接收;Yandex自2017年起使用端口29009、29010、30102和30103进行类似操作。数据隐藏手段:Meta采用“SDP Minging”技术将含用户数据的Cookie隐藏在互联网技术消息中,规避检测工具分析。波及范围:Meta Pixel嵌入超过580万个网站,Yandex Metrica覆盖近300万站点。

恶意软件可利用漏洞

    所有监听相同端口的应用均可截获网页追踪脚本与应用间的通信。实验证明Chrome、Firefox、Edge等主流浏览器均存在浏览历史泄露风险。仅Brave浏览器因拦截本地请求而免疫此问题,DuckDuckGo因屏蔽列表缺失部分域名受轻微影响。

跨平台风险与厂商响应

    iOS潜在威胁:虽然WebKit支持本地连接且应用可监听端口,但苹果对后台应用的严格限制可能阻止了该技术在iOS的部署。Meta已停止行为:截至6月3日,Meta Pixel脚本已停止向本地端口发送数据,相关代码几乎被完全移除。修复进展:主流安卓浏览器厂商已着手部署补丁,但研究人员警告需更全面的措施才能彻底解决问题。

两家公司均未在官方文档中披露此追踪机制,致使网站运营者与用户长期处于不知情状态。值得注意的是,这些追踪脚本甚至在用户看到Cookie同意弹窗前就已加载运行。

 

 

 


消息来源: cybernews

本文由 HackerNews.cc 翻译整理,封面来源于网络;

转载请注明“转自 HackerNews.cc”并附上原文

Fish AI Reader

Fish AI Reader

AI辅助创作,多种专业模板,深度分析,高质量内容生成。从观点提取到深度思考,FishAI为您提供全方位的创作支持。新版本引入自定义参数,让您的创作更加个性化和精准。

FishAI

FishAI

鱼阅,AI 时代的下一个智能信息助手,助你摆脱信息焦虑

联系邮箱 441953276@qq.com

相关标签

安卓 隐私 追踪 Meta Yandex
相关文章