トラッキング on akky@サイボウズラボ・ブログ

[追記あり] DuckDuckGo のプライバシーブラウザアプリが Microsoft 系列のtrackerをブロックせず批難を浴びる

Fri, 27 May 2022 00:00:00 +0000

プライバシー研究者のザック・エドワーズ氏が、プライバシー重視のウェブ検索サービス DuckDuckGo が iPhone/Android 向けに出している DuckDuckGo ブラウザアプリ DuckDuckGo Privacy Browserが、その売り文句通りに Google や Facebook の広告ネットワークの追跡をブロックしているのに、Microsoft の広告ネットワークのトラッカーを素通ししている、と発表しています。

Sometimes you find something so disturbing during an audit, you've gotta check/recheck because you assume that *something* must be broken in the test.

But I'm confident now.

The new @DuckDuckGo browsers for iOS/Android don't block Microsoft data flows, for LinkedIn or Bing.🧵 pic.twitter.com/ol7Ydfo3BJ
— Zach Edwards (@thezedwards) May 23, 2022

Microsoft 系のトラッカーというのは、LinkedIn や Bing のものということで、このスマホアプリの通信をキャプチャして、linkedin.com と通信していることが証拠だと言っていますね。

DuckDuckGo はプライバシーを守れることを売りにしてきた企業なので、それで使っているユーザーの期待を裏切ってることになるのではと思いますが。

DuckDuckGo の CEO が Hacker News で Microsoft 系への通信を認めていますね。

blacklight - ウェブサイトが訪問者の何を何のために追跡しているか分析するサービス

Wed, 23 Sep 2020 00:00:00 +0000

blacklight - 紫外線を当てることで普段は見えない隠れたものを見つけるブラックライトからつけられた名前だと思いますが - は、ウェブサイトがどんな追跡コードを埋め込んで、訪問者のどんな情報を追跡可能にしているのか、を検出してくれるというツールサービスです。

このサイトのドメインを入れて試してみました。このサイトには追跡目的のトラッキングコードが入ってない、と出ました。

追跡目的のトラッキングコードとは、一覧とその説明文から、トラッキング広告トラッカーやサードパーティークッキー、広告ブロックを検出するコード、マウスやキーボードの動きを保存するセッションレコーダーやキーロガー、Facebookに訪問を知らせるFacebook pixel、Googleアナリティックスのターゲット広告用追跡コード、などです。

これらのすべてが悪意を持って悪用される追跡コードではないかもしれませんが、サイトが何を見ているかを気にすることは大事ですし、気になった時に簡単に調べてくれるのはいいですね。

適当なドメインを入れてみた結果。広告収入で運営されているサイトであれば、いろいろ入れてみてもこれぐらいは普通のようです。

サービスはヘッドレスブラウザを使ってそのドメインへ訪問し、自らのデータベースにある既知のトラッキングコードがあるかを突き合わせているようです。検出したトラッキングコードから、そのコードがどの団体へ情報を送っている可能性があるか、なども表示してくれました。

SocialSharePrivacy - ソーシャルメディアの埋め込みボタンに訪問を追跡させないライブラリ

Fri, 06 Sep 2019 00:00:00 +0000

SocialSharePrivacy は、ウェブサイトの提供者が、利用者に対してプライバシーが保たれるソーシャルメディアボタンを提供するためのライブラリです。

デモページを動かしてみました。スライダーでボタンを有効にしない限り、フェイスブックやツイッターのサーバに情報は送られません。

まずボタンを有効にするアクションを起こすと、初めてメディアが提供するボタンが有効となり、この時点でそのページに訪問したことは各サービスにも伝わります。そして、有効になったボタンをクリックすると、「イイネ」等をすることができます。

2回クリックをしなければならなくなった代わりに、そのページに訪問したことは各ソーシャルメディアサービスには知られずに済む、ということになります。

サイト訪問をしていることをソーシャルメディアから常時されるのは困る、しかし、イイネ等をしたい時にはできるようにしてほしい、という多少込み入った要件のサイトがあれば、このライブラリが一つの解決法となるでしょう。

SocialSharePrivacy のコードはすべてGitHub で公開されています。

ウェブ広告を片っ端からクリックすることで広告ネットワークの追跡に抵抗するブラウザ拡張 Adnauseam

Thu, 26 Jul 2018 00:00:00 +0000

AdNauseam は、ブラウザ上に表示された広告を、自動的に見つけてクリックしてくれるというブラウザ拡張機能です。

広告ブロックをする拡張 uBlock をベースに作られた AdNauseam は、ブロックした広告に対して、間隔を空けて(=人間がクリックするかのように、ということでしょう)一つずつ、クリックして背後で広告を読み込んでいきます。

なぜそんなことをさせるのか? AdNauseam の作者たちの主張はこうです。

ブラウザの"Do not track"(私を追跡しないで)ヘッダは、多数の企業が協力しなかったため、使い物にならなくなった。広告ネットワークが我々の閲覧情報を売り渡し続けるのであれば、広告をブロックした上で、その広告をすべてクリックするしかない。すべてをクリックすることで、あなたを追跡しようとする企業は混乱するだろう。

何に対して興味を持っているのか、追跡して分析されたくない、という意思表明(Do not track)をしても追跡されてしまうなら、全部の広告を押すというのは確かに効果があるのかもしれません。すべてに興味を示すユーザーは、何に興味を示しているのかわからなくなるのですから。

# ただ、いろんなものを「買うかもしれない」判定しちゃう広告ネットワークもあるかもしれませんが

2017年には、このAdNauseam拡張、Chrome の拡張Store から「利用規約違反」という理由で削除されています。違反してるとされた規約にどう違反してるかの詳細な説明は受け取ってないとこの作者たちは言っていますが。

ウェブサイト上の広告での儲けが主要な売り上げであるGoogle社としては、普及すると都合の悪い拡張機能でしょうね。

開発者モードで頑張ればChromeでもインストールできなくはないですが… Firefox版やOpera版は、それぞれの公式ストアからインストールできます。

現状のウェブと広告に対する抗議の意味を持った拡張機能ですが、議論を呼ぶものだし大なり小なり広告収入を得ている人にとっては迷惑と感じられるのかもしれません。

[動画] 「ダイヤモンドは永遠」

Wed, 27 Jun 2018 00:00:00 +0000

「ダイヤモンドは永遠」(Diamonds Are Forever)は、架空のダイヤモンド・オンラインというwebサービスで、ダイヤモンドの婚約指輪を購入する、というドラマ仕立ての動画です。

とあるカップルは、オンラインで婚約指輪を注文します。注文したダイヤモンドの状況をPCやスマートフォンから追跡できるトラッカー機能がついていて、いろいろな通知を受けることになります。

「おめでとうございます。少年奴隷のキンウェイがあなたのダイヤモンドを掘り始めました」「クール!」

「キンウェイは反政府軍のヤクブにダイヤモンドを引き渡しました。ヤクブは怪我しているキンウェイをダイヤモンド鉱道へ戻しました」

「ヤクブはダイヤモンドを内戦で組織的に地元市民を殺戮するための武器や現金と交換しました」

このあとダイヤは、密輸業者によって南アフリカから持ち出され、その船も海賊に奪われ、海賊は偽のダイヤモンド証明書をゲットし、ベルギーのダイヤ会社へ送られます。

パキスタンのサッカーボール工場とか、アフリカのコーヒー豆農園やチョコレート農園とか、先進国で気軽に買えるものの背後に児童労働や搾取が存在する、というニュースは良く見ますね。ダイヤモンドにもそういう経緯で流れてきたものと、そうでないものがあるのでしょう。

ダイヤモンドの発掘や流通に関わる人たちの悲惨な状況を、幸せそうな日常生活の中で受け取り、それを「クール」とか「そうでなくてはね」みたいに淡々とスルーする様子が、サイコパスのようで恐ろしくもあります。

動画は、消費者が生産・流通の過程をトラッキングできるという最近ありがちなオンラインショッピングの機能をうまく使って、搾取の存在をうまく啓発しているなと感じました。

Unicodeの空白文字を使ってクリックトラッキング

Wed, 18 Feb 2015 00:00:00 +0000

訪問するユーザー毎に、あるいはリンク元ごとに異なるURLを表示することで、どのリンクをクリックされたかを判別するクリックトラック。URL の末尾に ?utm_source= などで始まる長いパラメーターがついてれば、サイトの訪問者から見ても追跡していることは明らかですね。

コードとしては存在するんだけどちょっとあるように見えない文字、たとえば Unicode の幅の無い空白文字や幅がとても狭い空白文字を使うことで、気づかれにくいトラッキングができるのではないか、というブログ記事が Hacker News で上がっていました。

サンプルリンク

上のリンクの末尾には「幅ゼロのスペース(U+200B)」がつけられていますが、ブラウザでリンクを指してもパッと見にはわかりません。

20個以上あるという空白文字を組み合わせて使えば、一見何もついてないのにリンク元毎に追跡できるようなページやメールも作れるということでしょう。

これらの空白文字をもしホスト名の部分に使っているとしたら、それはフィッシング等悪用の可能性が高いため、ブラウザのブラックリストに入れられるだろう、という元記事へのコメント欄での指摘もあり、ドメイン名だけでなくパスやパラメーターに使うのも同様に問題となる可能性もあります。まあ自分で使うかは慎重にということですが、他人がこういう手段を使ってくることもあるかも、というのは知っていてもいいのかもしれません。

via Hacker News