פרופ' עמית קליין חוקר שיטות מעקב שמבוססות על מאפיינים של מערכת ההפעלה ופרוטוקולי TCP/IP, ומתריע בפני חברות טכנולוגיה על פרצות שמאפשרות זיהוי משתמשים בין אתרים גם בלי עוגיות צד־שלישי
“נניח שאתה גולש להנאתך מהטלפון או מהלפטופ ואתה מחפש תרופה למחלת לב מסוימת”, אומר פרופ’ עמית קליין, ראש מרכז פדרמן לחקר הסייבר באוניברסיטה העברית בירושלים. “אחרי שבוע אתה גולש באתר החדשות החביב עליך, ולהפתעתך אתה שם לב שבראש העמוד מופיע באנר פרסומת לתרופה שחיפשת. אוקיי, מוזר, אבל לא נורא – נכון? אלא שחולף עוד שבוע, ואתה מתחבר בכלל דרך הרשת של האוניברסיטה, ומחפש לקנות ביטוח בריאות – ואולם חברת הביטוח מציעה לך כיסוי רפואי רחב ויקר יותר. למה? כי היא יודעת שחיפשת מידע על תרופה למחלת לב”.
מאחורי הקלעים, מספר פרופ’ קליין, כל האתרים האלה משתפים פעולה. גם אם אנחנו מחליפים רשתות, ומחליפים דפדפנים ומחליפים יוזרים – כל זמן שאנחנו גולשים דרך אותו המכשיר, האתרים יודעים שזה אנחנו. כן, אפילו אם גלשנו בסתר (במצב אינקוגניטו).
מה השאלה? כיצד מצליחים אתרים שונים לזהות אותנו גם כשאנו מחליפים רשתות, דפדפנים או יוזרים?
מעקב כזה נקרא מעקב בין אתרים (cross-site tracking), ועקרונית אין עם זה כל בעיה: ישנן טכנולוגיות כמו עוגיות צד-שלישי (third-party Cookies) שמאפשרות לאתרים שונים לגמרי לאסוף עלינו נתונים בכל רחבי הרשת.
“אלא שהיום הדפדפנים מודעים הרבה יותר לחשיבות פרטיות, וחוסמים ומצמצמים טכנולוגיות מעקב כאלו”, אומר פרופ’ קליין. “אבל עובדה שעדיין עוקבים אחרינו בין אתרים. המפרסמים, האתרים ושאר השחקנים מחפשים שיטות אחרות לזיהוי. בזה עוסק המחקר שלי: בסוג מסוים של שיטת זיהוי. אני מצאתי טכניקות לזיהוי המכשיר, המחשב, באמצעות שדות ב-TCP/IP, שמערכת ההפעלה שלו שולחת כחלק מפרוטוקול התקשורת שבין המכשיר לאתר. כלומר, לא חשוב אם אתה מחליף לכרום או לפיירפוקס, נכנס דרך משתמש אחר או מתחבר דרך רשת אחרת – אני עדיין יודע שזה אתה לפי מערכת ההפעלה של המכשיר. כל עוד אתה לא מאתחל את המכשיר, אני אדע שזה אתה בכל אתר באינטרנט”.
פרופ’ קליין מדגיש כי הוא פועל בצורה אתית ואחראית, ומספיק זמן לפני שהמחקרים המדעיים על הפרצות שהוא מוצא מתפרסמים – הוא פונה לענקיות הטכנולוגיות ומתריע בפניהן על הפרצות במערכות ההפעלה.
“אני פונה למיקרוסופט או לאפל ואומר, תתקנו את הפרצה הזאת והזאת בחלונות או ב-iOS, והם באמת מתקנים. בכל פעם שאני מוצא טכניקה כזו בפרוטוקול שמאפשר מעקב בין אתרים, אני קודם כל פונה לחברה ומשתף אותה בטכניקה שמצאתי. אני אומר ‘שלום, אני חוקר אבטחת מידע, ומצאתי פרצה אצלכם’, והם הולכים וסוגרים אותה. זה שירות לציבור. הם שמחים ואני שמח. התחלתי לחפש פרצות כאלה בשדות של פרוטוקולים עוד בדוקטורט שלי, ואני ממשיך בכך עד היום. יש עוד עבודה”.
פרופ' עמית קליין מאתר פרצות במערכות הפעלה שמאפשרות לעקוב אחרינו בין אתרים
באשר לטענה לפיה מעקב מיטיב גם עם הגולשים, שכן הוא מאפשר להתאים פרסומות הרלוונטיות לתחומי העניין שלהם, פרופ’ קליין מסכים – עם סייג חשוב אחד.
“אין ספק שיש גם שימושים טובים למעקב. אם חיפשתי אחר תרופה למחלת לב, ואחר כך מופיעה לי פרסומת לתרופה הזאת באתר אחר, אולי אלחץ על הפרסומת הזאת כי היא רלוונטית לי – נכון? אולם ברגע שאני מתבקש לשלם מאות שקלים יותר מדי חודש על ביטוח, ברגע הזה אני מבין שלאובדן הפרטיות שלי יש מחיר. לכן העמדה שלי פשוטה: אין שום בעיה עם מעקב בין אתרים, כל זמן שהגולש מודע לכך ונותן לכך את הסכמתו. זאת ועוד, כשאני פונה למיקרוסופט למשל ומתריע על פרצה כזאת במערכת חלונות – היא יכולה להחליט שבמקום לסגור את הפרצה היא תולה באנר ענק כל אימת שנכנסים לחלונות: ‘מערכת ההפעלה שלנו מאפשרת לאתרים לעקוב אחריך’, אבל כמובן שהיא לא תעשה את זה, כי צעד כזה יהיה מאוד לא פופולרי”.
זהו רק פן אחד בלבד ממחקרו של פרופ’ קליין – שחוקר היבטים רבים של אבטחת רשת ומערכות הפעלה. אבל נדמה שזהו פן שנוגע לנו במיוחד, שכן הוא נוגע באופן ישיר לפרטיות שלנו.
FAQ קצר
מהו מעקב בין אתרים?
מעקב בין אתרים הוא איסוף מידע על משתמש כאשר הוא גולש באתרים שונים, במטרה לזהות אותו ולבנות עליו פרופיל פעילות.
האם מעקב כזה נעשה רק באמצעות עוגיות?
לא. עוגיות צד־שלישי הן שיטה מוכרת, אך קיימות גם שיטות אחרות, ובהן זיהוי מאפייני המכשיר, הדפדפן או מערכת ההפעלה.
מה מצא פרופ' עמית קליין?
לדבריו, אפשר לזהות מכשיר באמצעות שדות מסוימים בפרוטוקולי TCP/IP שמערכת ההפעלה שולחת כחלק מתקשורת האינטרנט.
למה זה חשוב לפרטיות?
מפני ששיטות כאלה עשויות לאפשר זיהוי משתמש גם כשהוא מחליף דפדפן, רשת או חשבון משתמש, ולעיתים בלי שהמשתמש מודע לכך.
האם כל מעקב הוא בעייתי?
לא בהכרח. מעקב יכול לשמש להתאמת שירותים ופרסומות, אבל הבעיה מתחילה כאשר הוא נעשה ללא מודעות והסכמה של המשתמש.
עוד בנושא באתר הידען:
