BrowserGate in Linked In: Ihr Browser Fußabdruck könnte Ihre professionelle Identität zeigen

In den letzten Tagen wurde der Alarm über Tracking-Techniken, die wir bisher mehr mit Werbefirmen oder Schadorganen als mit professionellen Netzwerken assoziiert hatten, wieder aufgenommen: ein Bericht, der als "BrowserGate.", entwickelt von Fairlinked e.V., stellt sicher, dass LinkedIn in seinen Plattform-Fragmenten von JavaScript integriert ist, die in der Lage sind, jeden Besucher-Browser zu überprüfen, welche Erweiterungen installiert sind und sammeln zahlreiche Gerätedaten.

Die Sorge für diejenigen, die den Bericht gelesen haben, ist, dass die Ergebnisse dieser Überprüfung, laut der Autoren, nicht anonym sind: sie würden mit tatsächlichem Linked verknüpft werden In Konten, die es erlauben würde, eine Liste von Erweiterungen, die mit bestimmten Namen, Unternehmen und Jobs installiert sind, zu verknüpfen. Wenn dies der Fall wäre, könnten die Informationen kommerzielle Werkzeuge zeigen, die von den Mitarbeitern eines Unternehmens verwendet werden, und schließlich Karte, welche Unternehmen bestimmte Wettbewerbsprodukte verwenden, eine Anschuldigung, dass der Bericht durch die Angabe bekannter Verkaufs- und Prospektionsnamen veranschaulicht.

Einige dieser Ansprüche wurden unabhängig überprüft. Technische Mittel wie BlepingComputer haben Überprüfungen wiederholt und auf der Linked beobachtet Vor Ort das Laden eines zufälligen Namensskripts, das Tests auf der Anwesenheit von Tausenden von Erweiterungen in Chromium Browsern durchführt. Die Technik ist bekannt: Das Skript versucht, Ressourcen (z.B. Bilder oder Dateien) mit bestimmten Erweiterungskennungen zu laden; wenn die Ressource vorhanden ist, ist es ein Hinweis, dass die Erweiterung vorhanden ist. Ein Beispiel für dieses Verfahren ist in BrowserLeaks, die dokumentiert, wie bestimmte Merkmale und Routen installierte Erweiterungen melden können.

Die gefundenen technischen Daten zeigen einen störenden Verlauf: Die gleiche Art von Skript wurde zuvor mit einer Abdeckung von etwa 2.000 Erweiterungen, dann ein öffentliches Repository in GitHub Die jüngsten Überprüfungen zeigen, dass die Erkennung 6.000 Erweiterungen überschreiten könnte. Zusätzlich zu den Erweiterungen sammelt das gleiche Skript Informationen über den Computer und den Browser: Anzahl der CPU-Kerne, verfügbarer Speicher, Bildschirmauflösung, Zeitzone, Sprache, Batteriestatus und andere Parameter, die zusammen helfen, einen einzigartigen Geräte-Fußabdruck aufzubauen.

Warum sollten wir uns darum kümmern, auch wenn wir nicht Nutzer von kommerziellen Werkzeugen sind? Da die Kombination von Erweiterungskennungen mit einem realen Konto auf einem professionellen Netzwerk die Gleichung ändert. Ein isolierter Browser-Fußabdruck ist bereits eine Bedrohung für die Privatsphäre, aber wenn sie mit einer bestimmten professionellen Identität verbunden ist, öffnet sich die Tür zu Anwendungen, die über bloße Telemetrie hinausgehen: von der Identifizierung potenzieller Kunden eines Tools, um kommerzielle oder technische Entscheidungen über bestimmte Nutzer zu treffen.

LinkedIn leugnet ihrerseits die Erkennung von Erweiterungen nicht. Das Unternehmen hat erklärt, dass es das Vorhandensein bestimmter Erweiterungen zum Schutz der Plattform verfolgt, das Abkratzen verhindert und automatisierte Verhaltensweisen erkennt, die die Stabilität oder Privatsphäre der Mitglieder beeinflussen können. Nach der Version, die Sie transzendiert haben, nutzt LinkedIn die Existenz statischer Ressourcen, die mit einigen Erweiterungen verknüpft sind, um diejenigen zu identifizieren, die Code oder Bilder in Ihre Seiten injizieren, und verteidigt, dass dieser Prozess für Sicherheitszwecke und die Einhaltung Ihrer Nutzungsbedingungen durchgeführt wird. Er stellte auch fest, dass ein Teil der Debatte aus einem rechtlichen Konflikt mit dem Entwickler einer spezifischen Erweiterung kam und dass ein deutsches Gericht die von diesem Entwickler beantragten Interimsmaßnahmen zurückwies.

Es gibt jedoch einen grauen Raum: weder Fairlinkeds Bericht noch journalistische Verifikationen konnten öffentlich und schlüssig nachweisen, wie diese Daten in großem Umfang verwendet werden oder ob sie mit Dritten geteilt werden. Die Geschichte des Trackings zeigt, dass sich zunächst aus Sicherheitsgründen gerechtfertigte Techniken auf breitere kommerzielle Anwendungen entwickeln können; daher ist es sinnvoll, Transparenz und klare Grenzen für die Datenerhebung, -speicherung und -zwecke zu verlangen.

Die Technik selbst ist nicht neu; die Sicherheits- und Datenschutz-Community warnt seit Jahren über den Aufbau von Fingerabdrücken aus Browser- und Systemparametern. Organisationen wie die Electronic Frontier Foundation haben lange erklärt, warum die Kombination von vielen kleinen Funktionen eines Browsers es zu einer persistenten Kennung machen kann ( Panopticlick / EFF) Die Neuheit in diesem Fall ist der Maßstab und Kontext: ein professionelles Netzwerk, in dem Profile an reale Identitäten gebunden sind.

Wenn Sie eine regelmäßige Linked Im Benutzer und Sie sind besorgt über Ihre Privatsphäre, gibt es praktische Maßnahmen, die Sie wissen sollten. Es geht nicht darum, alarmiert zu werden, sondern um das Verständnis des Ökosystems: Überprüfung der installierten Erweiterungen, Minimierung derjenigen, die umfangreiche Berechtigungen haben, mit Browsern mit Anti-Fingerprinting-Schutz und halten Profile und Sitzungen auseinander, wenn mit sensiblen professionellen Konten sind Aktionen, die die Belichtungsoberfläche reduzieren. Browser, die auf Privatsphäre wie Tor Browser oder Messing Sie bieten eine größere Verteidigung gegen diese Art von Techniken, obwohl mit ihren eigenen Einschränkungen für den täglichen Gebrauch.

Die Geschichte von "BrowserGate" stellt Fragen auf die Tabelle, die über LinkedIn hinausgehen: Welche Grenzen sollten für die Browser-Signalerfassung in Websites bestehen, die echte Identitäten benötigen? Inwiefern kann die Sicherheit solche aufdringlichen Inspektionen rechtfertigen? Und vielleicht vor allem, wie wird es von der Gemeinschaft und den Regulierungsbehörden überprüft, dass diese Daten nicht enden, kommerzielle Aktivitäten zu füttern, die den Wettbewerb oder die Privatsphäre der Menschen beeinträchtigen?

Solange die beteiligten Parteien ihre Argumente vorgeben, sollten Regulierungsbehörden, unabhängige Prüfer und die technische Presse weiterhin den Zugang zu Beweisen und Kontrollen fordern. Das Vertrauen in Plattformen, die professionelle Identität und technische Daten mischen, hängt sowohl von legitimen Sicherheitsmaßnahmen als auch von Transparenz und klaren Grenzen der Nutzung der gesammelten Informationen ab. Der ursprüngliche Bericht kann unter: BrowserGate, die journalistischen Kontrollen in BlepingComputer und Beispiele für die Erkennung von Erweiterungen BrowserLeaks und in öffentlichen Repositorien wie Repository zitiert in GitHub.

Zusammenfassung: es gibt technische Beweise, die Linked In läuft ein Skript, das Tausende von Erweiterungen identifizieren und Geräteparameter sammeln kann; das Unternehmen besteht darauf, dass es dies tut, um die Plattform zu schützen; und die aktuelle Debatte konzentriert sich auf Transparenz über die Nutzung dieser Daten und auf die Privatsphäre und Wettbewerb Implikationen, die von der Verknüpfung von technischen Drucken zu realen Identitäten abgeleitet werden können.