Ukládání hesel do počítače se vám nemusí vyplatit. Společnosti získávají vaše data díky správcům hesel

Téměř každý webový prohlížeč dnes již obsahuje nástroj pro správu hesel (správce hesel), který si uloží vaše přihlašovací údaje a ušetří vám čas i nervy při opakovaném vyplňování e-mailu a hesla. Nový průzkum princetonské univerzity však ukazuje, že firmy mohou na vaší lenosti snadno vydělat.

Vaše uživatelská data mohou být totiž snadno zneužita třetími stranami a využita pro cílení reklamy. Výzkumníci zkoumali skripty AdThink a OnAudience, které získávají informace o uživatelích prostřednictvím správců hesel. Tyto skripty pracují tak, že na pozadí webové stránky vytvoří neviditelné přihlašovací formuláře, které jsou pak automaticky vyplněny. Z nich získané informace jsou jakýmsi trvalým identifikátorem uživatele napříč navštívenými stránkami i aplikacemi.

Jak to funguje?

1. Uživatel vyplní běžný přihlašovací formulář na stránce a požádá prohlížeč o uložení přihlašovacích údajů.
2. Poté navštíví jinou stránku, která obsahuje sledovací skript třetí strany.
3. Ten do ní vloží neviditelný přihlašovací formulář, který pak správce automaticky vyplní.
4. Skript třetí strany formulář přečte, získá z něj cenná data a posílá je třetím stranám, které s nimi mohou zacházet podle svého uvážení.

E-mailové adresy jsou vynikajícím identifikátorem, protože se málokdy mění. Jejich prostřednictvím je tak možné sledovat uživatele napříč různými zařízeními, prohlížeči i aplikacemi. Pluginy se sice většinou zaměřují na získávání uživatelských jmen, ale díky skriptům je možné stejným způsobem shromažďovat také hesla.

Podle profesora Arvinda Narayanana, který se na princetonské univerzitě zabývá počítačovými vědami, je zapotřebí upravit způsob fungování správců do té míry, aby vyžadovali výslovné schválení uživatele s odesláním údajů.  Automatické vyplňování formulářů totiž  interakci s uživatelem často nevyžaduje (s výjimkou Chromu, který pole hesla nevyplní, dokud uživatel na stránku neklikne) a vyplní údaje bez ohledu na viditelnost formuláře.

„Tyto problémy vznikají částečně proto, že provozovatelé webových stránek nevěnovali skriptům třetích stran na svých stránkách patřičnou pozornost a neuvědomili si možné důsledky,” dodal Narayanan.

V rámci výzkumu vznikla také stránka, na které si můžete vyzkoušet, jak obdobné získávání údajů funguje.

Zdroje: freedom-to-tinker.com, theverge.com