Deanonimizacja użytkownika i uzyskiwanie informacji Opcje

[Blame]

Ostatnimi czasy obejrzałem film, w którym niejaki Billy Hoffman pokazuje m.in. jak potężnym narzędziem może być javascript jeśli chodzi o zbieranie informacji o użytkowniku.
Postanowiłem więc założyć ten temat, jako dyskusja o metodach dowiadywania się jak najwięcej o odwiedzających nasze strony userach.

Zaciekawiła mnie szczególnie metoda uzyskiwania informacji za pomocą js i ramek. Załóżmy na przykład, że umieszczamy na naszej stronie ramkę do facebook'a. Jeśli akurat user jest na niego zalogowany, to teoretycznie powinniśmy być w stanie uzyskać np. jego imię i nazwisko, zawarte chociażby w <title></title>, które mogą być pomocne przy spamujących natrętach itp. Niestety nie wiem czy ten sposób działa, nie mam tego aktualnie jak sprawdzić, więc może ktoś z was się pokusi? (IMG:style_emoticons/default/smile.gif)

Czekam na wasze pomysły dot. deanonimizacji nie koniecznie za pomocą js (IMG:style_emoticons/default/winksmiley.jpg)

[Puciek]

Dość długo siedziałem cicho, ale teraz powiem, publicznie: o szacunku do innych powinieneś być ostatnią osobą, która ma coś na ten temat do powiedzenia. Ostatnie upomnienie z mojej strony.

A pozniej co, wystawisz mi warna ? O jeju jeju czarodzieju. Tylko nie zapomnij przygotowac sobie punktu regulaminu ktory zlamalem bo juz kilka osob probowala dac mi warna za nieistniejace punkty (nulla poena sine lege).

Na szacunek należy zapracować, ale jeśli do osoby "na dzień dobry" podchodzisz per "Ty ułomie", to nie dziw się, że do Ciebie wielu nie ma szacunku. Dla mnie jak wspomniałem nie liczy się tylko wiedza ale i kultura osobista. Ty jej nie masz patrząc pod kątem forumowego zachowania i stąd naprawdę musiałbyś zmienić swoje podejście by wpierw wyjść z mułu a dopiero potem jeszcze się podnieść na tyle bym zaczął Cię za osobę godną szacunku uznać. I akurat niewiele mnie obchodzi co Ty o mnie uważasz. Bo czemu miało by mi zależeć na zdaniu osoby, której nie szanuję? (IMG:style_emoticons/default/winksmiley.jpg)

I vice versa, mam zerowe zainteresowanie w tym zeby ktos kogo uwazam za gorszego od siebie mnie szanowal (znaczy sie jakies 98% spoleczenstwa).

A czy spędzać godziny nad tym? Nie. Nikt nie każe Ci tego implementować przecież, ale nazywanie czegoś debilizmem tylko na podstawie własnego "widzimisię" jest po prostu śmieszne i nieprofesjonalne. To, że jeden lub więcej z linków w opracowaniu nie działa (tu raczej należy chwalić FB, że je niweluje), nie zmienia faktu, że pozostają inne lub wręcz nowe powstałe przy okazji udostępniania nowych funkcjonalności o których w zestawieniu nie wspomniano. Czy jesteś w stanie obiektywnie ocenić, że nie da się tego zastosować w obliczu ciągle następujących zmian/łataniu? Mało to co chwila informacji o lukach w serwisach typu social? FB jest popularny, zmierza do załatania co się da, ale mentalności ludzkiej nie zmienisz łatwo. Dopóki nie będzie całkowitej "desocjalizacji" portali społecznościowych (toż to zaprzeczenie idei takiego portalu) wyciąganie informacji będzie możliwe i ich analiza także. Z czasem skuteczność będzie się zmieniała (w zależności od wykrywanych luk), ale tak naprawdę skuteczność będzie się wiązała z odpowiednio dużą porcja danych dla algorytmów oraz czasem. Co do kosztów, to w czasach obecnych, gdzie wynajęcie mocy obliczeniowych botnetów jest za śmieszne pieniądze argument po prostu upada. Jedyną przeszkodą jest napisanie algorytmu i znalezienie podatnych linków do niego. A te póki co istnieją. Jest ich mniej, ale wciąż są. Łącząc zaś dane analizowane z kilku sociali (user będzie w różnych podobne tematycznie wybierał) prawdopodobieństwo trafienia wzrośnie. Czy tak trudno posłużyć się rozumem by do owych wniosków dojść? Nie sądzę. Jak więc wspomniałem to kwestia głównie czasu i ilości danych na wejściu. Pierwszy w zasadzie mamy niegraniczony, drugie dostarczą nam crawlery do tego celu napisane.

Sobie uargumentowalem moje nazwanie tego debilizmem, a ze nie chce mi sie rozpisywac na pol/pietnascie stron na ten temat to fakt lenistwa. A jezeli dyskusja miala by sie sprowadzic to wynajdywania co chwile nowych exploitow w systemie to nigdy sie ona nie zakonczy poniewaz programy zawsze beda mialy bugi, i w mysl takiego podejscia moznaby znacznie uproscic proced sprawdzanie kim ktos jest (prosty przyklad do jeden z miliarda exploitow w JVM ktory pozwala na uruchomienie remote shella na dowolnej maszynie i sprawdzenie na kogo zainstalowane sa programy/system operacyjny) tak wiec dysputa powinna toczyc sie wobec metod ktore sa dostepne "z zalozenia" a nie luk w systemie. Dla przykladu takie to przynaleznosc do grup, sprawdzenie jakie linki kliknal itd. A poki ktos mi nie pokaze efektywnej takiej detekcji w praktyce to pozwole sobie byc sceptykiem z racji chociazby na problem wydajnosci tak ogromnej bazy danych (samo zaoranie facebooka dalo by mase danych ktora zagnie nie jeden serwer, nie mowiac o resztach spolecznosciowek) co uczyni atak niepraktycznym i nieoplacalnym.

A tak offtopem: dowód na 2+2=3 jest do wyprowadzenia na około pół strony. To coś co poznaje się na 1 semestrze studiów z algebry.

Uwierze na slowo, mnie matma przestala interesowac w okolicy ulamkow i procentow.