Panel superior:el sitio web de Bandsintown (representado como tracker.com) permite a los visitantes conocer conciertos locales y seguir a artistas que podrían interesarles. Para seguir a un artista, los usuarios deben iniciar sesión con Facebook y dar acceso a la aplicación de Facebook de Bandsintown a su perfil, ciudad, gustos, dirección de correo electrónico, y actividad musical. En este punto, Bandsintown tiene acceso a los tokens de autenticación necesarios para acceder a la información de la cuenta de Facebook. Panel inferior:Bandsintown ofrece un servicio de publicidad llamado "Amplificado", que está presente en muchos de los principales sitios relacionados con la música, incluido lyrics.com, songlyrics.com y lyricsmania.com. Cuando un usuario de Bandsintown navega a un sitio web que incorpora el producto publicitario Amplified de Bandsintown, el script publicitario incorpora un iframe invisible que se conecta a la aplicación de Facebook de Bandsintown mediante los tokens de autenticación establecidos anteriormente, y toma el ID de Facebook del usuario. Luego, el iframe devuelve el ID de usuario al script de incrustación. Crédito:Freedom to Tinker
Los rastreadores en línea ocultos apenas están seguros en su escondite, no después de los titulares de esta semana para las historias sobre cómo se puede capturar la información de los usuarios de Facebook. La información se puede obtener en varios sitios web que admiten el inicio de sesión a través de la plataforma social.
Muchos sitios web ofrecen "inicio de sesión con Facebook", pero los investigadores de la Universidad de Princeton encuentran algo de qué preocuparse aquí. Business Insider , uno de los numerosos sitios que examinan los hallazgos de los investigadores de Princeton, explicó cómo "los rastreadores pueden recopilar datos de usuario como la imagen de perfil, nombre, dirección de correo electrónico, la edad, y género, probablemente mucho más de lo que las personas pretenden dar cuando inician sesión en sitios que usan Facebook ".
Volviendo al punto de partida Fueron los investigadores de seguridad de Freedom to Tinker cuyos hallazgos llamaron la atención de los observadores de tecnología.
Libertad para jugar es alojado por el Centro de Política de Tecnología de la Información de Princeton; contempla las tecnologías digitales en la vida pública. Los rastreadores de terceros abusan del inicio de sesión de Facebook, informaron el miércoles. No hay forma de endulzarlo; la publicación lo llamó "recopilación subrepticia de datos por scripts de terceros".
El resultado es la exfiltración de identificadores personales de sitios web a través del "inicio de sesión con Facebook" y otras API de inicio de sesión social similares.
De acuerdo a Libertad para jugar , no pueden decir cómo los rastreadores utilizan la información que recopilan, pero podrían examinar su material de marketing para comprender cómo se puede utilizar, por ejemplo, recopilar datos para ayudar a los editores a monetizar mejor a sus usuarios.
Los investigadores discutieron tipos de eventos. Los investigadores identificaron siete terceros que estaban accediendo a los datos de los usuarios de Facebook, y encontraron un tercero que usa su propia "aplicación" de Facebook para rastrear a los usuarios en la web.
Libertad para jugar La publicación decía que "Esta exposición involuntaria de los datos de Facebook a terceros no se debe a un error en la función de inicio de sesión de Facebook. Más bien, se debe a la falta de límites de seguridad entre los scripts propios y de terceros en la web actual ".
Escribiendo en TechCrunch , Josh Constine pensó que "Facebook podría haber identificado estos rastreadores y prevenido estos exploits con suficiente auditoría de API".
No cometer errores, aunque, El tema de rastrear a los usuarios sin su consentimiento directo o incluso sin conocimiento es un tema que no descansa solo en Facebook, como señalaron varios observadores en sus comentarios sobre los hallazgos del equipo de Princeton. También, los investigadores realizaron investigaciones limitadas sobre el inicio de sesión de Facebook porque era el SDK social más utilizado en la web, no porque sea el único que involucra este tema más amplio de rastreo.
Como se indica en Libertad para jugar , "En esta publicación nos centramos en los sitios web que utilizan el inicio de sesión de Facebook, pero es probable que las vulnerabilidades que describimos existan para la mayoría de los proveedores de inicio de sesión social y en dispositivos móviles ".
TechCrunch :Hay otros gigantes tecnológicos que dependen de los datos de los usuarios y operan plataformas de desarrollo que pueden ser difíciles de controlar.
"Zuckerberg es un objetivo fácil porque el fundador de Facebook sigue siendo el director general, permitiendo que críticos y reguladores lo culpen por las fallas de la red social. Pero cualquier empresa que juegue rápido y suelto con los datos de los usuarios debería estar sudando ".
Princeton tenía algunas recomendaciones que hacer para futuras formas de lidiar con cuestiones de privacidad. "Todavía, Hay pasos que Facebook y otros proveedores de inicio de sesión social pueden tomar para prevenir el abuso:el uso de API puede ser auditado para revisar cómo, dónde, y qué partes acceden a los datos de inicio de sesión social. Facebook también podría no permitir la búsqueda de imágenes de perfil e ID globales de Facebook por ID de usuario en el ámbito de la aplicación. También podría ser el momento adecuado para hacer que el inicio de sesión anónimo con Facebook esté disponible después de su anuncio hace cuatro años ".
¿Qué dice Facebook sobre los informes de seguimiento de los usuarios? Constine informó que "Facebook confirma TechCrunch que está investigando un informe de investigación de seguridad que muestra que los datos de los usuarios de Facebook pueden ser capturados por rastreadores de JavaScript de terceros incrustados en sitios web que utilizan Iniciar sesión con Facebook ".
Constine continuó diciendo que "un portavoz de Facebook ahora nos dice que 'raspar los datos de los usuarios de Facebook es una violación directa de nuestras políticas. Mientras investigamos este problema, hemos tomado medidas inmediatas al suspender la capacidad de vincular ID de usuario únicos para aplicaciones específicas a páginas de perfil de Facebook individuales, y estamos trabajando para instituir autenticación adicional y limitación de velocidad para las solicitudes de imágenes de perfil de inicio de sesión de Facebook '".
© 2018 Tech Xplore
