分类: 数据泄露

Mozilla 创始人投诉谷歌:违反 GDPR 法规 泄露用户数据

新浪科技讯 北京时间9月13日晚间消息,Mozilla联合创始人布兰登·艾奇(Brendan Eich)创立的浏览器公司Brave今日在英国和爱尔兰对谷歌和其他广告公司进行了投诉,称这些公司泄露用户数据的行为违反了欧盟新生效的数据隐私法规《通用数据保护条例》(以下简称“GDPR”)。 GDPR于今年5月正式生效。该法规旨在赋予欧盟居民对个人数据有更多的控制权。如果一家公司不遵守这项条例,将面临最高相当于其全球年度营业额4%或2000万欧元(约合2340万美元)的罚款, Brave和其他一些原告称,谷歌和其他一些广告公司存在大规模、系统性的数据泄露行为。虽然GDPR在正式实施前,已经赋予企业两年的准备时间,但包括谷歌在内的广告科技公司至今仍未遵守该规定。 原告称,当用户访问网站时,谷歌和其他一些广告公司出于拍卖和投放广告的目的,将用户个人数据和访问记录发送到几十家、乃至上百家公司,而且是在用户不知情的情况下。毫无疑问,这违反了GDPR的规定。 对此,谷歌称,已与欧洲监管机构协商,实施了强有力的隐私保护措施,并已承诺遵守GDPR。   稿源:新浪科技,封面源自网络;

因追踪用户定位数据:谷歌可能在美国遭遇重罚

新浪科技讯 北京时间9月12日早间消息,据《华盛顿邮报》援引知情人士消息称,美国亚利桑那州正在调查谷歌追踪用户地理位置时采取的措施。如果此项调查发现谷歌侵犯用户隐私,该州总检察长马克·布诺维奇(Mark Brnovich)就有可能对谷歌处以高额罚款。 目前布诺维奇的办公室并未确认此事。 美联社上月的一项研究发现,谷歌通过Android设备提供的服务会追踪并存储用户的地理位置,即便用户在隐私设置中关闭地理位置历史也无济于事。 据悉,谷歌应用会存储带有时间戳的定位数据,借此发布精准的地理定位广告。谷歌对美联社表示,他们让用户了解这些定位数据获取工具,并且提供了“强大的控制,让人们可以自行打开或关闭功能,或者随时删除历史。” 布诺维奇可能将此事作为一起消费者保护官司进行起诉,并按照违规次数寻求每次最高1万美元的罚款,这有可能导致谷歌面临巨额处罚。 谷歌发言人对此发表声明称:“地理定位信息帮助我们在人们跟我们的产品互动时提供有用的服务,例如跟本地相关的搜索结果和交通预测。谷歌可以通过很多方法使用地理定位数据来改进用户体验,包括:定位历史、上网和应用活动,以及通过设备层面的定位服务来实现。人们可以随时通过myaccount.google.com删除定位历史或者上网和应用活动。”   稿源:新浪科技,封面源自网络;

macOS 应用被指偷窃和上传浏览记录 大牌开发商也不例外

当您在macOS上授予应用程序访问主目录的权限时,即使它是来自Mac App Store的应用程序,您也应该三思而后行。我们看到了一个来自著名的软件开发商趋势科技的Mac App Store应用程序,它说服用户让他们访问他们的主目录,并带有一些回报,例如免费提供病毒扫描或清理缓存,其背后的真正原因是收集用户数据 – 尤其是浏览历史记录 – 并将其上传到其分析服务器。 用户在Malwarebytes论坛和另一份报告中报告了此问题。其他研究人员随后发现,Mac App Store上“趋势科技”发布的应用程序收集并将用户的Safari、Chrome和Firefox浏览器历史记录上传到他们的服务器。该应用程序还将收集有关系统上安装的其他应用程序的信息,所有这些信息都是在启动应用程序时收集的,然后创建一个zip文件并将其上传到人员的服务器。 这款应用程序的名称叫“Dr. Unarchiver”,在使用应用程序解压缩zip文件后,它提供了“快速清理垃圾文件”选项。选择“扫描”会启动一个打开的对话框,其中选择了主目录,这就是应用程序访问用户主目录的方式,以便从浏览器中收集历史文件。在允许访问主目录后,应用程序继续收集私有数据并将其上传到他们的服务器(我们使用代理阻止了该数据)。以下是分析这款软件行为的截屏: 检查应用程序存档并分析上传到其服务器的文件,显示其确实偷窃了Safari,Google Chrome和Firefox的完整浏览器历史记录,甚至还单独保留了用户最近在Google搜索记录的单独文件以及包含所有已安装应用程序的完整列表的文件,包括有关它们是从何处下载的信息,是否是64位兼容的以及它们的代码签名。 截至今日,“Dr. Unarchiver”是美国Mac App Store中第12个最受欢迎的免费应用程序,这产生了一个巨大的隐私问题,但App Store的审核流程却并没有抓住这些做法,导致侵犯用户隐私的应用程序肆虐。虽然苹果正在通过macOS Mojave改善这种情况。   稿源:cnBeta,封面源自网络;

英国航空公司数据被盗 客户面临财务信息泄露风险

周四,英国航空公司(British Airways)表示正在调查导致客户数据被盗一事。虽然修补工作已完成,但若客户在过去几周内进行了预定,那他们的个人和财务信息可能已被窃取。在 8 月 21 日 ~ 9 月 5 号期间有过业务往来的客户,请务必留意。尽管 BA 的网站和 App 都遭到了破坏,但其声称被盗的数据不包括护照和旅行信息。 BA 母公司(国际航空集团 / International Airlines Group)表示,大约有 38 万持卡人受到了影响。BA 将会向他们发去通知,并建议他们与银行和信用卡提供商联系。 BA 首席执行官 Alex Cruz 在一份声明中称:“对本次因犯罪活动导致的中断,我们深表歉意,我司是非常重视客户数据保护的”。 外媒指出,这起泄露时间涉及在特定时间段内通过 BA 预定的客户,与此前影响百思买和阿迪达斯的黑客行为有类似之处。   稿源:cnBeta,编译自:Cnet,封面源自网络;

9 家仿美军招聘网站被FTC查封 以 10-40 美元价格出售给学校

美国联邦贸易委员会(FTC)本周四表示,已经查封了9家模仿美国军事招募网的网站,这些网站通过伪装来收集和销售用户的个人隐私。FTC在阿拉巴马州联邦法院提起的诉讼中表示:诸如Army.com和NavyEnlist.com等网站的运营者伪装成为美军的分支机构,以招募为幌子收集用户信息之后,然后以10-40美元的价格出售给专上教育(post-secondary education)机构。 FTC主席Joe Simons在一份声明中说:“那些正考虑开启军事生涯的人相信这些招聘是合法的,以为他们的个人信息不会被滥用。FTC目前已经威胁用户隐私安全的整个生态系统采取行动,包含买方和卖方。” FTC还表示在这些网站提交信息的人还接到了电话推销人员的后续电话。这些电话推销员会向这些人推销某个特定学校,让人误以为这些学校有美军背景成分。目前已经被FTC监管的网站包括Air-Force.com, AirForceEnlist.com, ArmyReserves.com, CoastGuardEnlist.com, MarinesEnlist.com和NationalGuardEnlist.com。     稿源:cnBeta,封面源自网络;

Cookie 机制问题多 Chrome 工程师提出改造方案

日前 Chrome 工程师 Mike West 发表了一篇文章提议改造 Cookie 标准,以强化 HTTP 状态管理。Mike 分析了目前 Cookie 存在的几个方面的问题,包括很难安全使用、浪费用户资源,以及隐私问题,通过它可以以令人惊讶的方式跟踪用户在网络上的活动。   关于浪费用户资源,Mike 解释,服务器可以为一个注册域名存储大量 Cookie,并且很多 Cookie 可以通过 HTTP 请求发送。例如 Chrome 允许为每一个域名存储大约 180 个 Cookie,相当于约 724kB 数据。在众多 Cookie 中,其请求头大小的中位数是 409 字节,但是其中却有 90% 有 1589 字节,95% 占了 2549 字节,99% 甚至达到了 4601 字节,另外有约 0.1% 的 Cookie 头非常大,超过了 10kB。如此滥用,效率低下。 隐私方面,众所周知 Cookie 可以用于身份验证,但它同时也可以用来悄悄跟踪用户的相关信息。 而关于安全使用的难处,Mike 列出了几条在开发中安全使用 Cookie 遇到的问题: Cookie 对 JavaScript 默认是可用的,这使得一次 XSS 可以获取持久凭证。虽然十年前引入了 HttpOnly 属性,目前也只有大概 8.31% 的人使用 Set-Cookie 进行相应设置。 默认情况下,Cookie 会被发送到非安全的源,这会导致凭据被盗。Secure 属性虽然可以标记安全的 Cookie 源,但目前只有大概 7.85% 的人使用 Set-Cookie 进行了设置。 Cookie 经常在请求发送者毫不知情的情况下被发送。SameSite 属性可以减少 CSRF 风险,但是目前只有大概 0.06% 的人使用 Set-Cookie 进行了设置。 Mike 认为,一方面 Cookie 采用的缓解安全问题的属性很差,Cookie 根本不符合我们决定对其它类型的 Web 可访问数据强制执行的安全边界。它们在给定的可注册域中流过源,它们忽略端口和方案,这意味着它们可以被网络攻击者轻易伪造,并且它们可以缩小到特定路径,这些特征使得它们难以推理,并制定激励措施来削弱平台其它部分的同源策略。 Mike 给出了一套新方案,他解释,用户代理可以通过为用户访问的每个安全源生成唯一的 256 位值来控制它代表用户表示的 HTTP 状态,此 Token 可以作为结构化 HTTP 请求头传递到源: Sec-HTTP-State:token = * J6BRKagRIECKdpbDLxtlNzmjKo8MXTjyMomIwMFMonM * 此标识符或多或少类似于客户端控制的 Cookie,但有一些值得注意的区别: 客户端控制 Token 的值,而不是服务器。 Token 只能用于网络层,而不能用于 JavaScript(包括类似网络的 JavaScript、例如 Service Workers)。 用户代理每个源只生成一个 256 位 Token,并且只将 Token 暴露给生成它的源。 不会为非安全源生成或传递 Token。 默认情况下,Token 将与同一站点请求一起提供。 Token 一直存在,直到服务器、用户或用户代理重置为止。 在些基础上,将为开发人员提供一些可通过 Sec-HTTP-State-Options HTTP 响应头触发的控制点,有如下选项: 1、某些服务器需要跨站点访问其 Token,其它服务器可能希望将交付范围缩小到同源请求,服务器可以指定任一选项: Sec-HTTP-State-Options: ..., delivery=cross-site, ... 或者: Sec-HTTP-State-Options: ..., delivery=same-origin, ... 2、某些服务器希望限制 Token 的生命周期,可以允许它们设置 TTL(以秒为单位): Sec-HTTP-State-Options: ..., ttl=3600, ... 时间到期后,Token 的值将自动重置。同时服务器也可能希望明确触发 Token 的重置行为(例如,在注销时),这可以通过设置 TTL 为 0 来实现: Sec-HTTP-State-Options: ..., ttl=0, ... 在任何一种情况下,都可以向当前运行的页面通知用户的状态变化,以便执行清理操作。当发生重置时,用户代理可以将消息发送到名为 http-state-reset 的源的 BroadcastChannel(并且可能唤醒源的 Service Worker 以响应用户驱动的重置): let resetChannel = new BroadcastChannel('http-state-reset'));resetChannel.onmessage = e => { /* Do exciting cleanup here. */ }; 3、对于某些服务器,客户端生成的 Token 足以维持状态,它们可以将其视为不透明的会话标识符,并将用户的状态绑定到服务器端。其它服务器需要额外的保证,他们可以信任 Token 的出处,为此,服务器可以生成唯一密钥,将其与服务器上的会话标识符相关联,并通过 HTTP 响应头将其传递给客户端: Sec-HTTP-State-Options: ..., key=*ZH0GxtBMWA...nJudhZ8dtz*, ... 客户端将存储该密钥,并使用它来生成某些数据集的签名,从而降低 Token 被捕获的风险: Sec-HTTP-State: token=*J6BRKa...MonM*, sig=*(HMAC-SHA265(key, token+metadata))* Mike 同时也表示,该方案并不是一个完全与 Cookie 不同的新东西,并不是要在目前替换掉 Cookie,虽然弃用 Cookie 是应该的,但是当下该方案只是提出了一种在 Cookie 同时存在的情况下也能发挥作用的补充机制。     稿源:开源中国,封面源自网络;

Android API breaking 漏洞曝光:可泄露设备相关数据

近日 Nightwatch Cybersecurity 的安全研究专家 Yakov Shafranovich 发现了 Android 系统中存在的漏洞,能够让网络攻击者秘密捕获 WiFi 广播数据从而追踪用户。这些数据涵盖 WiFi 网络名称、BSSID、本地 IP 地址、DNS 服务器数据以及 MAC 地址,尽管后者在 Android 6 及更高版本中就已经通过 API 来隐藏掉了。 常规 APP 通常会用于合法目的来截取这些数据。但流氓 APP 在窃听这些数据之后,极有可能会导致敏感数据的泄露。攻击者可能会用于发起针对本地 WiFi 的网络攻击,以及使用 MAC 地址来追踪指定的 Android 设备。此外使用数据库查找,还可以通过网络名称和 BSSID 进行地理标记。 研究人员表示“虽然系统中对于阅读此类消息的功能进行了严苛的限制,但应用开发者往往忽略了如何正确的部署这些限制以及如何更好的保护敏感数据。这在 Android 系统中 APP 比较普遍,一旦设备被恶意 APP 感染,就会被黑客处于监听的状态,并且截取其他 APP 的广播信息。”   稿源:cnBeta.COM,封面源自网络;

雅虎邮箱被曝大规模扫描用户邮件,将数据出售给广告商

援引华尔街日报报道,雅虎依然在扫描用户邮件并将这些数据销售给广告商,而这种行为目前已经被很多科技企业放弃。在报道中雅虎和多家广告业主进行洽谈,希望为后者提供一项分析超2亿封Yahoo Mail收件箱的电子邮件,从中提取消费者数据的服务。对此Oath并未立即就此事作出官方回应。 Oath向华尔街日报承认公司确实进行了邮件扫描,但通常只是扫描来自零售商的促销邮件信息。用户也可以在雅虎邮箱中进行设置,避免系统进行扫描。Oath认为电子邮件是非常昂贵的系统,人们不期望获得没有价值交换的免费服务。 报道中还指出,即使启用了雅虎的高级邮件服务(月费3.49美元),如果用户不选择禁用系统依然会对邮件进行扫描。在Oath的算法中,那些经常购买机票的用户就会标记为出差频繁人士,那么他收到的邮件邀请大多会包含Lyft或者出行方面的广告内容。广告业主可根据Oath的服务来更高效的投放广告。   稿源:cnBeta,封面源自网络;

擅自搜集数据,德国反垄断机构今年将对 Facebook 采取行动

网易科技讯 8月28日消息,据国外媒体报道,由于调查发现Facebook滥用自己的市场垄断地位,在人员不知情或未获得人员许可的情况下收集他们的数据,德国反垄断监管机构计划今年对Facebook采取调查后的第一步行动。 在对Facebook数千万用户的数据泄露和定位广告广泛的使用越来越担忧中,这次对这家社交媒体的调查在欧洲受到密切关注。 德国反垄断机构联邦卡特尔局(FCO)尤其反对Facebook从第三方应用获取人员数据的方法以及在线跟踪甚至非会员的人员信息。这里所述第三方应用,包括Facebook旗下WhatsApp和Instagram服务。 联邦卡特尔局局长安德烈亚斯·蒙特(Andreas Mundt)周一在一个新闻发布会上表示,“我们意识到,这应该而且必须迅速进行。”他还表示,他希望今年采取“第一步措施”。不过,他拒绝透露细节。 联邦卡特尔局的这一调查一般不会对facebook等违规企业处以罚款,这与欧盟的调查处理不同。谷歌因在Android智能手机预安装其应用,在遭遇欧盟调查后被处以数十亿美元处罚罚款。 然而,知情人士表示,如果Facebook未能自愿采取行动,联邦卡特尔局可能会要求Facebook采取行动来解决其担忧。 蒙特说,“我们需要确定这是否会影响我们的调查并解决我们的担忧。” 另外,蒙特证实了他在本月早些时候接受报纸采访时发表的言词,他当时表示,按照联邦卡特尔局能够开展全部门调查的新权力,他可能会对电子商务行业启动调查。 重点将放在所谓的“混合”平台上,比如美国电子商务巨头亚马逊,这些平台销售自己的产品和服务,但还托管着第三方商家。 蒙特表示,“我们的问题是:平台本身就是一个很强大的商家,这样的平台与使用这个平台的第三方商家之间是什么样的关系?”蒙特还称,亚马逊是最知名的电商平台,但他的调查对象还将扩大到其他公司。 联邦卡特尔局不会调查第三方商家在电子商务平台上涉嫌逃税的问题,这是德国政府誓言要解决的问题,这是经济决策者关注的事项。   稿源:网易科技,封面源自网络;

谷歌遭起诉:被指非法追踪 iPhone 和 Android 用户位置

新浪科技讯 北京时间8月21日早间消息,谷歌在一桩最新的法律诉讼中被指非法追踪成百上千万iPhone和Android智能手机用户的活动,哪怕用户试图利用隐私权设置来避免被追踪也不例外。 根据上周五提起的一桩诉讼,谷歌欺骗性地向用户保证,如果他们将手机上的“位置历史”(Location History)功能设置为“关闭”,那么就不会被追踪;但在实际上,谷歌则仍会监控和存储用户的活动,从而侵犯 了其隐私权。 这桩诉讼的原告方是来自圣地亚哥的拿破仑·帕塔希尔(Napoleon Patacsil),他在向旧金山联邦法庭提起的诉讼中指称:“谷歌表示用户‘可在任何时候关闭位置历史功能,当此功能关闭时,你们去的地方就不会再被存储下来’,但这并非事实。” 帕塔希尔正寻求代表关闭了追踪功能的美国iPhone和Android智能手机用户对谷歌发起集体诉讼,要求谷歌为故意违反加利福尼亚州隐私权法和侵犯用户私人事务支付数额不明的赔偿金。 美联社曾在8月13日刊文,对谷歌被指追踪用户活动一事作出过描述,该报当时指出普林斯顿大学的计算机科学研究人员证实了此事。 谷歌周一并未就此置评,代表帕塔希尔的律师事务所Lieff Cabraser Heimann & Bernstein合伙人迈克尔·索博尔(Michael Sobol)也尚未置评。 帕塔希尔指称,谷歌先是在他使用Android手机时对其进行了非法追踪,随后当他改用iPhone并下载了一些谷歌应用后,谷歌又对他进行了追踪。 他说道,谷歌的“主要目标”是“秘密监控”手机用户,并允许第三方也这样做。 根据谷歌网站帮助页面现在的说法,关闭“位置历史”功能“不会影响到其他位置服务”,并表示有些位置数据可能通过搜索和地图等其他服务被存储下来。   稿源:新浪科技,封面源自网络;