JavaScript trekerlari «Facebook bilan kirish» funksiyasidan foydalanib maxfiy ravishda ma’lumotlarni to’playdilar

JavaScript trekerlari «Facebook bilan kirish» funksiyasidan foydalanib maxfiy ravishda ma’lumotlarni to’playdilar

Ko’pgina veb-sayt egalari bu muammodan xabardor ham emaslar.

Turli reklama va tahlil xizmatlarining JavaScript kutubxonalari foydalanuvchi ma’lumotlarini «Facebook bilan kirish» funksiyasidan foydalanadigan veb-sahifalardan yashirincha to’playdi, bu esa foydalanuvchilarga o’zlarining Facebook hisob ma’lumotlari bilan ro’yxatdan o’tish imkonini beradi.

Prinston universiteti (AQSh) olimlari ☺, Alexa TOP 1M ro’yxatidagi 434 ta veb-sayt «Facebook bilan tizimga kirish» funksiyasi yordamida ma’lumotlarni to’playdigan uchinchi tomon xizmatlaridan JavaScript kodini yuklaydi.

Tadqiqotchilarning fikriga ko’ra, aksariyat veb-sayt egalari bu muammodan bexabar bo’lishlari mumkin. Ma’lumotlarni to’plash odatda ikkita usul orqali amalga oshiriladi. Birinchi holda, veb-saytlar foydalanuvchilarni autentifikatsiya qilish uchun «Facebook bilan kirish» funksiyasidan foydalanadilar.

Foydalanuvchi o’z akkauntiga kirganda, «Facebook bilan kirish» funksiyasi Facebook serverlariga so’rov yuboradi, ular esa akkaunt ma’lumotlarini ijtimoiy tarmoqqa qaytaradi. Kirish sahifasiga yuklangan uchinchi tomon JavaScript kodi bu ma’lumotlarni ushlab, uni chiqarib olishi mumkin. Tadqiqotchilarning fikriga ko’ra, ular ushbu usuldan foydalanadigan yettita tahlil xizmatini aniqladilar.

Ba’zi tahlil xizmatlari foydalanuvchi ilova identifikatorlarini to’pladi, ulardan Facebook identifikatoriga qayta o’zgartirilishi va keyin saytga tashrif buyuruvchi haqida ko’proq ma’lumot olish uchun foydalanish mumkin edi.

Ikkinchi holda, ma’lumotlarni to’plash jarayoni biroz murakkabroq. Veb-sayt «Facebook Login» tizimidan foydalanganda, uchinchi tomon tahlil xizmatlari foydalanuvchilarning brauzerlarini aldash uchun boshqa veb-saytlarga yashirin iframe joylashtirishi mumkin. Bu uchinchi tomon skriptiga hisob ma’lumotlarini ushlab olish va foydalanuvchi ma’lumotlarini olish imkonini beradi.

Tadqiqotchilarning fikriga ko’ra, ikkinchi stsenariy faqat bir marta aniqlangan va Bandsintown xizmati bilan ishlatilgan. Tadqiqotchilar xizmat vakillariga xabar berganlaridan so’ng, muammo hal qilindi.