青青子衿, 悠悠我心, 但为君故, 沉吟至今
« 月光博客精选文章推荐:第三期成都消费类网站为什么做不起来 »

是谁在偷窥我们的网络隐私

  1993年7月5日,彼得·施泰纳在《纽约客》上发表了一幅著名的漫画《在网上,没人知道你是一条狗》。用以描述互联网的匿名特性。

  可是,即便在十年前说这句话,也已经是不负责任的了。

  当然,这篇文章不是讨论如何防御病毒的,更不可能教授特工技能。但是,不要拿“国情”、“大家都没有隐私观念”之类当借口,只要是你的东西,在离开电脑以前,都是你的。

图1 《在网上,没人知道你是一条狗》

图1,《在网上,没人知道你是一条狗》

  精准广告(也叫定向广告)

  广告主绝对不是为了收集用户信息而收集用户信息的,他们日夜思念着的是钱。10前的互联网广告商就已经在收集用户信息,以推送最接近用户需求的信息。这使得互联网产业如此发达。

  所以,有关隐私的概念,其实是因人而异的。任何与你有关的内容,都可能是隐私,无非那些能直接关联到你身份信息的内容,更为重要而敏感。

  现在的广告商已经能整合大量的用户信息,以进行最优的猜测。一个著名的例子是,Gmail会根据用户邮箱中的内容,通过自动算法展示最相关的广告。现在这样的广告已经比比皆是。

  实际例子

图2,IE9跟踪保护中的“个人列表”

图2,IE9跟踪保护中的“个人列表”

  我们拿IE9为例:

  微软在IE8中悄悄地提供了一个叫InPrivate Filter的工具;在IE9里面,它被大张旗鼓地重命名为Tracking Protect List(跟踪保护列表),用户可以永久启用它。

  先做一个小实验:

  在TPL中开启“个人列表”,不导入任何定制的TPL列表,也不使用隐私浏览模式(InPrivate浏览)。

  1,打开一个导航网站,把其首页上的每个网站链接都打开一遍。

  2,再回到TPL的“个人列表”,原本的空白变成了一串黑名单:

  左侧有51yes,alimama,baidu,cnzz,doubleclick,googleadservices,google syndication,imrworldwide,qq,scorecardresearch,weibo,wrating

  右侧则频频出现log,stat,ads,beacon等词汇,以及like,followbutton

  只要你学过点英文,就猜得出这些内容多多少少和统计、广告有点关系。而且,你好像在什么地方也见到过“喜欢”按钮。

  等等,这个列表中的大部分网站刚才可没有访问过,何况你很可能都不认识它们。IE怎么会知道它们的存在,而且还要信誓旦旦地告诉你,这些内容被“自动阻止”了?

图3,IE9阻止了第三方收集信息

图3,IE9阻止了第三方收集信息

  打开IE自带的开发工具,以新浪首页为例,看看发生了什么:

  开发者工具显示,跟踪保护阻止了向这些第三方(即不是新浪的)网站发送数据。

  这样一个请求被阻止了,链接里面有这么一段s=1920x1080x32&l=zh-cn

  这句话就是说,笔者当前的显示器设置是1920×1080像素,32位色深,语言是zh-cn(中国大陆的简体中文)。

  这是什么意思呢

  按照业界常用的做法(这一点可以在各个统计服务、广告联盟的业务内容中看到),当你进入新浪首页的同时,你还会告诉Wrating(万瑞数据)、Imrworldwide(尼尔森)、Mediav(聚胜万合)以及Google Analytics(谷歌统计)这些内容:

  1,你从哪里来(ip地址),用的是什么语言,从哪个页面跳转来的

  2,你在新浪首页待了多久,关注了哪些部分(最近很流行的热力图)

  3,你接下来会去哪里(点击了页面上哪个链接)

  4,你的显示器分辨率设置是什么

  5,你的浏览器安装了哪些插件(plugin,注,非浏览器扩展--extension)

  然后,这四家公司都会在你的浏览器里留下各自的标记,这样以后只要你访问了使用到它们业务的网站,它们就能认出你。这种标记叫作Cookie,是一种很小的数据片段,网站通过在浏览器中保存cookie来识别用户,Mozilla曾经称之为“精致的美味”。

  当你访问的每一个网站都使用了相同的统计服务商时,就意味着他已经完整地知道了你的上网习惯。在全球范围里,Google Analytics正是这样的统计服务商。

  仅仅这样还不太容易将你的上网习惯与现实中的你关联在一起。因此有人(往往是收集信息的一方)觉得这不是个人隐私。

  社交网络

  如果前面的第三方统计只是过家家的话,这可就不得了:

  首先,你心甘情愿地告诉它你是谁,就读于哪个学校,家住哪里,在什么地方上班;然后,为了防止被盗号,你又告诉了它你的手机号码;为了维持和你的老同学之间的联系,你还上传了通讯录。关键的是,这一切都是你心甘情愿的。

  ——什么,你说人家有隐私条款?

  ——笔者:……

  泼出去的水是收不回来的。

  “分享”按钮

  你不点击,人家至少知道现实的你访问了这个网站;一旦你点击了,人家还能知道现实的你很在意这个页面。其价值不可估量。

  这种“分享”按钮方式要比悄悄地搜集信息人性化地多,无论如何,用户总是明确地知道他访问的网页上有第三方内容。当然,你同样不能拒绝这种信息收集,除非使用特制的工具。

图4,分享按钮

图4,分享按钮

  举个例子:

  情人节刚刚过去,MOMO看到蓝星人各种秀恩爱,心里不平衡了,于是也在网上浏览各种汪星人的照片。

图5,MOMO:“它怎么知道汪是汪星人,怎么知道汪想征婚?”

图5,MOMO:“它怎么知道汪是汪星人,怎么知道汪想征婚?”

  ——MOMO: “麻麻,好多照片,汪都要数不过来了。”

  ——麻麻:……

  ——MOMO:“麻麻,它怎么知道汪是想征婚的?汪不过看了几张照片而已。”

  ——麻麻:……

  实际上MOMO在浏览汪星人照片的过程中,发生了这么多事情。

图6,MOMO是这样收到精准广告的

图6,MOMO是这样收到精准广告的

  第三方服务商记录了MOMO的浏览历史,从而推测出他可能在找对象,于是,MOMO就收到了征婚广告。

  如何抑制提交个人信息

  向第一方信息提交是不可避免的,毕竟你也在使用人家的服务;然而向第三方提供信息,通常是不必要的,可以在这一点上出手。

  可惜的是,大部分旨在保护此类信息泄漏的工具都是Mozilla Firefox与Google Chrome独占的。如果你在使用国内的三大天王(IE6、IE8、360安全浏览器,只有它们的占有率超过20%,数据由CNZZ提供),大多数时候你只好望洋兴叹了。

  自动化工具:

  1,跟踪保护(TPL),适用于Microsoft Internet Explorer 9(8)

  前面提到的跟踪保护就是一个很方便的隐私保护工具。它是自动化的,只要启用“个人列表”,它就会在后台默默地阻断向第三方上传信息。在IE8中使用InPrivate Filter可能需要修改注册表。

  TPL实际上是一个设置内容策略的工具,因此也能导入定制好的列表。

  用户可以在微软官方提供的TPL订阅处获得几种常见的过滤配置,如EasyPrivacy,以更有效地阻止向第三方发送你的浏览历史。有些地方还提供了适用与TPL的广告过滤配置,然而,受到TPL性能的限制,你不能指望TPL在这一方面可以达到在Adblock Plus的效果。

  TPL“个人列表”的原理是:

  当IE9在多个(默认是3)网站的页面上发现相同的来自第三方的内容时,TPL就会将该内容自动加入“个人列表”。当该内容再次以第三方形式出现时,IE9就会阻止对其的访问,从而防止不必要的信息泄漏。

  2,Do Not Track Plus

  跟踪保护工具在阻止社交网络追踪时出现了问题,你不能在某些站点使用“喜欢”按钮的同时,阻止另外网站上社交网络的第三方信息收集行为。

  这个Firefox扩展程序解决了以上问题。你可以轻易地为不同网站设定规则,让社交网络、广告公司只能在限定的网站上记录你的信息。

图7,Do Not Track Plus

图7,Do Not Track Plus

  3,Adblock(适用于Google Chrome),Adblock plus(适用于Firefox,Google Chrome),以及其它本是用于过滤广告的工具

  某种意义上,阻止追踪和阻止广告是一回事。

  这两个浏览器扩展程序其实更为专业,它们本是用于过滤广告的。实际上,除了没有类似于“个人列表”的功能以外,它们是远比TPL强大的内容策略管理工具。在订阅这类模式中,它们的效果是最好的。

  其实Adblock Plus是地球上用户数量最多的浏览器扩展,仅在Firefox上就拥有几乎达到一千五百万的日均活跃用户。而Adblock在Chrome Web Store上,也是除了几个google官方的”快捷方式”以外,最流行的扩展程序。

  Easylist、EasyPrivacy、Chinalist等列表从一开始就是为Adblock Plus设计的。至于那些提供过滤功能的杀毒、安全软件,你也可以通过一些自动化工具,将这些列表翻译成兼容的版本以使用。

  4,Noscript(适用于Firefox),ScriptNo(适用于Google Chrome)

  第三方在搜集用户信息时,主要依靠在用户浏览器中执行一些javascript程序实现的。这两个浏览器扩展都能让用户决定浏览器可以执行来自哪些域名的javascript代码,浏览器插件等元素。当出现不必要的第三方成分时,这两个扩展就会给出提示,由用户决定是否阻止它们运行。这两个工具各自还有一些独有的功能,供进阶者使用。正确使用它们需要一定的互联网知识。

图8,NoScript

图8,NoScript

  5,RequestPolicy

  还是Firefox扩展,它适合专业的、或有明确需要(如抵御CSRF)的用户。它通过约束网络请求的来源及目标,以控制一切内容的访问。这是一个大杀器,提供了非常严格的控制,作为日常使用的话,开销很大。

图9,RequestPolicy

图9,RequestPolicy

  6,浏览器的隐私模式,限制浏览器记录cookie

  浏览器在开启隐私模式后,将不会向外发送已有的cookie信息。在登录特定的互联网服务的账户以前,统计商、广告商将难以知道你的身份。限制cookie记录也能达到类似效果。作为代价,用户需要付出丧失浏览历史等代价。

  7,有一些广告公司组成联盟,允许用户设定为“不要追踪”的状态。大部分读者就别指望了,这份名单中只有google analytics在国内是有业务的。

  为什么“三大天王”浏览器不行?

  你根本找不到适用它们的工具,即便有用于广告过滤的扩展,也是语法不通用,且没有人撰写、翻译相应的规则。
IE8的InPrivate Filter的功能与IE9的跟踪保护(TPL)完全相同。然而你必须修改注册表才能让它保持运行,此外,它不兼容TPL的过滤规则。

  几乎所有的方案都集中在Mozilla Firefox,Google Chrome上面。

  值得一提的是,市面上有很多的Chromium”克隆版”,它们往往能兼容Chrome的扩展。至于如何判断”克隆”Chromium,这里引用一句来自《苹果APP审核指南》的话:“最高法院的法官曾有言:‘它出现时我自然心中有数’。”

  阻断第三方信息记录的代价:

  如果MOMO真的彻底阻断了广告商记录你的信息,就会发生这样的事情:

图10,阻断向第三方提供信息后,MOMO收到了不合适的广告

图10,阻断向第三方提供信息后,MOMO收到了不合适的广告

  虽然抑制了信息泄漏,但MOMO却也是自找苦吃;对于广告商、广告主,则是浪费。对谁都不讨好。

  另一方面,用户多少要在操控这些隐私保护工具上,总要浪费一些时间;因为设计缺陷或者可能会导致网页的正常运行;同时,这些工具大多又是用javascript写的,执行效率普遍不高(即便有JIT),会拖慢浏览器的速度。其次,它们往往是开发者在业余时间编写的,代码质量没有保证,也不太可能进行大规模的稳定性测试(除了非常流行的工具以外),比一般软件更有可能会带来新的漏洞。

  笔者的观点

  互联网离不开第三方的信息收集,但你总是可在能力范围之内,阻止不必要的部分。

  现在的网络不太可能是匿名的,但是,获得个人信息应是有成本。

  版权说明

  1,漫画《在网上,没人知道你是一条狗》是1993年7月5日彼得·施泰纳在《纽约客》上发表的,在本文中出现属合理使用。

  2,[email protected]

  3,如”Mozilla Firefox”等某些图标、名称可能是商标等有版权的。

  附录:Chromium”克隆版”:

  指那些基于Chromium源代码进行二次开发,并且与Chromium有相似界面的浏览器。它们的扩展接口通常和Chromium、Google Chrome的完全相同,因此可以使用在Chrome webstore中提供的扩展程序。

  Chromium是Google主导开发的开源浏览器,因为它所使用的开源条款(BSD等)相对宽松,加上Google Chrome的流行,因此有很多的“克隆”Chromium。

  Google Chrome是Google在Chromium的基础上,加入了一些私有的代码后的产品。

  浏览器插件(plguin)与扩展(extension)

  文中扩展(Extension)指那些利用浏览器的底层能力,并加以扩展的浏览器辅助程序。插件(Plugin)往往指使用了浏览器本身并不具备能力的辅助程序。比方说Adblock Plus for Chrome利用了Chrome提供的Extension.WebRequest API对内容进行拦截,是扩展;Adobe Flash Player则通过ActiveX/NPAPI/PPAPI接口为浏览器提供了播放Flash内容的能力,是插件。正文中提到的所有辅助工具都是扩展,或浏览器本身具备的能力。

  来源:fcerebel投稿。



  除非注明,月光博客文章均为原创,转载请以链接形式标明本文地址

  本文地址:http://www.williamlong.info/archives/3001.html
  • 文章排行:
  • 1.天外飞火
  • 还有个山寨天王没怎么提到么
    重庆长峰医院 于 2012-2-18 9:02:23 回复
    提老马又是给他打广告了
    乱语啊 于 2012-2-18 21:56:41 回复
    不一样,有些搜集后,会出卖给第三方商业公司...而老马的,这些起码不会去做...

    某些时候,买保险的时候,对方不给你投保,知道原因出在什么地方了?搜索引擎中搜索你的病因的时候,这类信息被卖到保险公司了....
    nuooo 于 2012-2-18 23:52:23 回复
    当然会卖了,无非就是把能直接联系到名字的部分划划掉而已。
  • 2012/2/17 23:54:49   支持(42)反对(27) 回复
  • 2.五指前端
  • 分析的很彻底,谢谢楼主。
  • 2012/2/18 23:16:18   支持(22)反对(11) 回复
  • 3.陈同江e-works
  • 好文推荐,深入浅出,从技术看隐私保护,再观察互联网盈利模式,自有不同感受。
  • 2012/2/18 7:22:35   支持(29)反对(20) 回复
  • 4.产品老兵
  • 我们为什么要关心对方是狗还是其他神马东西,未来的趋势不是“物联网”嘛?未来的交流对象很可能就是 家电、汽车等等包含各种传感器的“物”。
  • 2012/2/17 23:24:49   支持(21)反对(14) 回复
  • 5.ssssss我
  • sss我的对对对地对地导弹的对对对
  • 2012/2/19 14:02:09   支持(17)反对(10) 回复
  • 6.Tracy
  • 在互联网上隐私的保障还是比较难的~
  • 2012/2/19 16:27:38   支持(22)反对(16) 回复
  • 7.从此心安
  • 我也支持实名制啊

    另外好专业
  • 2012/2/20 20:14:52   支持(23)反对(17) 回复
  • 8.饕餮之怒
  • 社会工程学啊社会工程学
  • 2012/2/17 23:29:40   支持(25)反对(20) 回复
  • 9.www点3600mm点com
  • 无语啊 顺便留个链接再请教一下频繁更改网站名和关键词的后果
  • 2012/2/20 14:13:14   支持(14)反对(9) 回复
  • 10.多一些调查你再发言
  • 据国外媒体报道,谷歌、苹果和微软等全球科技巨头都曾经暗中使用Kill Switch工具远程限制和删除用户设备中的数据。(著名英文计算机网站 computerworld,标题Google throws 'kill switch' on Android phones)
    苹果产品黑客、Accuvant安全公司研究员查理-米勒(Charlie Miller)表示:“对于大多数用户来说,远程删除程序的功能确实有益。然而,我却并不希望谷歌或其他拥有此功能的公司告诉我何种程序可以安装,何种程序不可以安装,并且远程管理我的电脑和手机。对于我个人来说,安全运行环境的额外付出并不包括放弃设备管理权和隐私权。”
  • 2012/2/18 19:50:21   支持(21)反对(17) 回复
  • 11.techolics
  • 我觉得用于数据分析收集一些数据是合理的,但是不能乱用,还有安全性。
  • 2012/2/18 22:35:00   支持(16)反对(12) 回复
  • 12.waiting的无限博客
  • 说句实在话 偷窥我们隐私的东西网络上无处不在 典型的也很多 就不点名了 大家心里都有数 可是咱们又能有什么办法呢?
  • 2012/2/17 23:01:13   支持(28)反对(26) 回复
  • 13.where2hide
  • 微博的出现 已经没有隐私可言
  • 2012/2/17 23:36:26   支持(21)反对(19) 回复
  • 14.XFabs
  • 我的隐私早就被人当作生意买卖了。
  • 2012/2/18 13:18:02   支持(24)反对(22) 回复
  • 15.tkiller
  • 艹,路由器屏蔽类似cnzz的毒瘤,这样的话也要删除???
  • 2013/6/22 0:22:31   支持(10)反对(8) 回复
  • 16.penggy的世界
  • 你真聪明:正所谓“乱离人、不及太平犬”!可以组建个“超生游击队”了!
  • 2012/2/17 23:12:15   支持(16)反对(15) 回复
  • 18.萨嘎个
  • 我也是醉了。就我在浏览这个网页的时候,京东左侧的广告栏都是精准广告,全是我最近浏览过的东西,有的已经买了特么还给我广告
  • 2015/12/11 13:39:45   支持(0)反对(0) 回复
  • 19.1466063780822
  • hello true,
    楼主,你的ads用法不对吧,Beikao帝(Http://Www.Beikaodi.Com/word/ads.html)中的例句好像不是你这么用的
    time:3:56:20 PM
  • 2016/6/16 15:58:07   支持(0)反对(0) 回复
  • 21.大快克
  • 今天,嘛都要实名制,去哪儿都得管着
  • 2012/2/17 23:00:30   支持(20)反对(22) 回复
  • 22.-ranran-
  • 互联网上的数据挖掘无处不在,隐私保卫战对技术要求越来越高,该技术贴值得一看。
  • 2012/2/17 23:29:40   支持(10)反对(13) 回复
  • 23.龙亮臻-产品经理
  • 19年的历程,想尽各种办法来知道你是什么,你喜欢什么,你会要什么,你想做什么,就算你是一条狗也要千方百计来挖掘。
  • 2012/2/18 3:02:13   支持(19)反对(23) 回复
  • 24.tkiller
  • 非常好,其实应该最彻底的方法是把这些广告统计的服务器ip加入到路由器的防火墙列表里,永久屏蔽并定期更新!!!
    还不放心,就在本机屏蔽ip解析到127.0.0.1,开启abp,订阅隐私保护list,
  • 2013/6/22 0:00:27   支持(7)反对(11) 回复
  • 25.tkiller
  • 这些js代码质量低劣,执行效率不高,严重拖慢你访问网络的速度,很多人说网速慢,其实都是这些广告统计代码在作怪,通通屏蔽!!!
    路由器里屏蔽最好,然后就是浏览器安装abp,还有杀毒软件的web保护里面也屏蔽,多管齐下,让这些js代码通通见鬼去吧!
    很多人都靠这个盈利赚钱!!!
  • 2013/6/22 0:02:52   支持(6)反对(10) 回复
  • 26.淘百度
  • 看来,所谓的隐私其实并不是别人不知道,而是补说给你知道而已···
  • 2012/2/18 21:19:28   支持(16)反对(21) 回复
  • 27.白咖啡
  • 现在的网络真的是。。。。
  • 2012/2/19 10:26:46   支持(15)反对(20) 回复
  • 28.营养师工会
  • 互联网我觉得还是实名制一点比较好,受教了。 谢谢楼主。
  • 2012/2/18 10:12:01   支持(17)反对(23) 回复
  • 29.s
  • 我 firefox 上面没有开 ABP,你的站点有广告所以搬到 IE 来看。。。
  • 2013/4/19 20:01:22   支持(2)反对(8) 回复

发表评论:

 请勿发送垃圾信息、广告、推广信息或链接,这样的信息将会被直接删除。

订阅博客

  • 订阅我的博客:订阅我的博客
  • 关注新浪微博:关注新浪微博
  • 关注腾讯微博:关注腾讯微博
  • 关注认证空间:关注QQ空间
  • 通过电子邮件订阅
  • 通过QQ邮件订阅

站内搜索

热文排行


月度排行

本站采用创作共用版权协议, 要求署名、非商业用途和相同方式共享. 转载本站内容必须也遵循“署名-非商业用途-相同方式共享”的创作共用协议.
This site is licensed under a Creative Commons Attribution-NonCommercial-ShareAlike 3.0 License.